强化Kubernetes集群：SRE团队的实用安全指南

场景

某公司运行一个多租户Kubernetes集群，多个团队部署工作负载。安全审计发现，某些Pod能够访问宿主机文件系统，原因是使用了特权容器或hostPath卷。

症状

• Pod内可以读取宿主机的/etc/shadow等敏感文件。
• 安全扫描工具报告违反Pod安全标准。
• 非预期的网络连接或资源访问。

诊断

1. 检查特权容器： bash kubectl get pods --all-namespaces -o jsonpath='{range .items[*]}{.metadata.namespace} {.metadata.name} {.spec.containers[*].securityContext.privileged}{"\n"}{end}' 输出中若出现true，则存在特权容器。
2. 检查hostPath卷： bash kubectl get pods --all-namespaces -o jsonpath='{range .items[*]}{.metadata.namespace} {.metadata.name} {.spec.volumes[*].hostPath}{"\n"}{end}'
3. 检查RBAC权限： bash kubectl get rolebindings,clusterrolebindings --all-namespaces -o wide 查找不合理的绑定，如将cluster-admin授予普通用户。

风险控制

• 应用Pod安全准入控制器（Pod Security Admission），设置全局策略为restricted。
• 使用OPA/Gatekeeper或Kyverno强制禁止特权容器和hostPath。
• 实施网络策略（NetworkPolicy）限制Pod间通信。
• 采用最小权限原则配置RBAC，避免使用*通配符。
• 启用审计日志，定期审查。

回滚

若策略导致应用异常，可通过GitOps回滚配置：

git revert <commit-hash>
kubectl apply -f <previous-config>

或临时删除准入控制器Webhook配置。

验证

• 重新运行诊断命令，确认无特权容器。
• 使用kube-bench进行安全基准测试： bash kubectl run kube-bench --image=aquasec/kube-bench:latest --restart=Never --rm --command -- /kube-bench run --targets=master,node
• 检查审计日志中是否有违反策略的拒绝事件。

何时提交OpsGlobal工单

• 当需要批量修复大量历史工作负载时。
• 若已发现安全漏洞，需快速取证和隔离。
• 当集群策略需要统一管理且团队缺乏经验时。