构建坚不可摧的防线：企业级 Kubernetes 零信任安全架构与加固实战

apiVersion: apiserver.config.k8s.io/v1
kind: EncryptionConfiguration
resources:
  - resources:
    - secrets
    providers:
    - aescbc:
        keys:
        - name: key1
          secret: <BASE64-encoded 32-byte key>
    - identity: {} # fallback

并在 API Server 启动参数中添加 --encryption-provider-config=/etc/kubernetes/enc.yaml。

3. RBAC 权限矩阵

杜绝使用 cluster-admin 分发给普通开发者。务必遵循“角色分离”：

命名空间级别：使用 Role 和 RoleBinding 限制开发者只能访问特定 Namespace。
Cluster 级别：仅限于运维核心团队，且最好配合 Impersonation（模拟头）进行临时提权审计。

【架构师手记】

血泪教训：

我见过太多团队为了图省事，给 CI/CD 系统绑定了 cluster-admin。这是巨大的隐患——如果你的构建脚本被注入了恶意代码，攻击者就能直接在集群里部署挖矿程序。

排查技巧：定期使用 kubectl auth can-i --list --as=system:anonymous 检查匿名用户的权限，使用 kubectl get clusterrolebinding 搜索是否有 subjects.name 为 group:system:authenticated 且绑定了高权限角色的配置，这是很多自动化安装脚本留下的“后门”。

关于 Etcd 加密：开启加密后，旧数据不会自动加密。你需要执行 kubectl get secrets --all-namespaces -o json | kubectl replace -f - 来触发数据重写加密。

第三部分：遏制逃逸——节点与工作负载的强隔离配置

【专栏正文】

容器逃逸是 K8s 安全中最致命的攻击链。攻击者突破容器边界，获得宿主机 Root 权限，进而控制整个节点。

1. 弃用 PSP，拥抱 Pod Security Standards

Kubernetes v1.25 彻底移除了 PodSecurityPolicy (PSP)。取而代之的是 Pod Security Standards (PSS) 和 Pod Security Admission (PSA)。PSS 定义了三个级别：

Privileged：无限制（仅受信系统组件可用）。
Baseline：最小限制，禁止已知的特权提升。
Restricted：高度受限，符合最佳安全实践。

实战配置：

我们可以通过 Namespace Label 来强制执行策略：

# 标记 namespace 为强制执行 restricted 级别
kubectl label --overwrite ns production \
  pod-security.kubernetes.io/enforce=restricted \
  pod-security.kubernetes.io/audit=restricted \
  pod-security.kubernetes.io/warn=restricted

2. 安全上下文

在 Pod 或 Container 层面配置 securityContext：

RunAsNonRoot：禁止以 Root 用户运行容器。
ReadOnlyRootFilesystem：挂载根文件系统为只读，防止恶意写入。
AllowPrivilegeEscalation：设为 false。
Capabilities：删除 ALL 默认能力，仅按需添加（如 NET_BIND_SERVICE）。

3. 宿主机加固

Kubelet 认证：开启 Kubelet 的 --authorization-mode=Webhook，确保只有 API Server 调度的任务能运行。
内核隔离：利用 Linux 内核特性，如 Seccomp（限制系统调用）和 AppArmor（强制访问控制）。

【架构师手记】

实战避坑指南：

很多业务部门会抱怨：“Restricted 策略太严了，我的应用跑不起来！”

这里的陷阱在于：业务应用往往习惯写 /tmp 或 /var/log。当你开启 readOnlyRootFilesystem 时，应用会崩溃。

解决方案：不要为了业务妥协关闭安全策略，而是配合业务方挂载 emptyDir 到临时目录。例如，挂载 /tmp 为 emptyDir，既满足了应用读写需求，又保护了根文件系统不可篡改。

关于特权容器：除非运行网络插件（CNI）、存储插件（CSI）或监控组件（Agent），否则绝对禁止在 Pod 中设置 privileged: true。如果你必须用，请将其隔离在专门的 kube-system 或高危节点，并通过 Taints 污染限制调度。

第四部分：重塑边界——微隔离与网络零信任

【专栏正文】

Kubernetes 默认网络是“扁平”的，即任何 Pod 都可以与集群内任何其他 Pod 通信。这违背了零信任原则。

1. Network Policy (网络策略)

Network Policy 是 K8s 原生的防火墙规则。其核心设计哲学是：默认拒绝所有，显式允许。

实战配置：

下面的示例展示了“白名单模式”：只允许 Ingress 流量来自具有 app: frontend 标签的 Pod，且只允许 Egress 流量访问 DNS。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: backend-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: backend
  policyTypes: ["Ingress", "Egress"]
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - protocol: TCP
      port: 8080
  egress:
  - to:
    - namespaceSelector: {}
    ports:
    - protocol: UDP
      port: 53

2. 服务网格

Network Policy 只能控制 IP 和端口（L3/L4），无法对应用层（L7）进行精细控制。引入 Istio 或 Linkerd 可以实现：

mTLS（双向 TLS）：服务间通信全加密，不仅防窃听，还防冒充。
L7 策略：例如“只允许 GET 请求，禁止 DELETE”。

【架构师手记】

架构师的反思：

为什么很多公司落地 NetworkPolicy 失败了？因为 CNI 网络插件的选择。

重要细节：K8s 原生 NetworkPolicy 的实现依赖于底层的 CNI 插件。如果你使用的是简单的 flannel（未配合 backend 插件），NetworkPolicy 不会生效！必须使用支持策略的插件，如 Calico、Cilium 或 kube-router。

推荐方案：强烈推荐 Cilium。它基于 eBPF 技术，不仅在 L3/L4 表现优异，还能在内核态直接处理 L7 策略，性能损耗极低。Cilium 的 Network Policy 功能比传统的 iptables 方案要强大得多，且支持可视化流量图谱，这对排查安全故障至关重要。

第五部分：守卫国门——供应链安全与准入控制

【专栏正文】

现代攻击往往发生在软件构建阶段（供应链攻击）。如果镜像在构建时就被植入了木马，运行时再怎么防御也无济于事。

1. 镜像漏洞扫描

在 CI/CD 流水线中集成扫描工具（如 Trivy）。只有通过扫描的镜像才允许打标签。

2. 镜像签名

确保镜像的完整性。我们使用 Sigstore/Cosign 对镜像进行签名。K8s 集群在部署时，验证签名，拒绝运行未签名或签名不匹配的镜像。

3. 动态准入控制

K8s 提供了 Admission Webhook 机制，在对象持久化到 Etcd 之前进行拦截。

ValidatingWebhook：校验规则（如：禁止运行 latest 镜像，禁止挂载宿主机路径）。
MutatingWebhook：自动注入配置（如：自动注入 Sidecar 代理）。

实战工具：使用 OPA Gatekeeper 或 Kyverno 来管理这些策略。Kyverno 更为推荐，因为它使用 K8s 原生的 YAML 语法，学习成本低。

Kyverno 策略示例：禁止特权容器：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: deny-privilege-escalation
spec:
  validationFailureAction: enforce # 阻止创建
  rules:
  - name: validate-privilege-escalation
    match:
      resources:
        kinds:
        - Pod
    validate:
      message: "Privilege escalation is disallowed."
      pattern:
        spec:
          containers:
          - securityContext:
              allowPrivilegeEscalation: false

【架构师手记】

生产环境落地经验：

开发人员 vs 安全团队的博弈：如果 Gatekeeper 直接拦截所有违规请求，会导致开发体验极差。

最佳实践：采用 validationFailureAction: Audit 模式。在策略上线初期，只记录违规行为而不阻断，生成违规报告发给开发团队整改。待环境成熟后，再逐步切换到 Enforce 模式。

关于镜像扫描：不要只扫一次！漏洞库每天都在更新。你应该部署 Trivy Operator 在集群中，定期扫描正在运行的 Pod，并生成 VulnerabilityReport 资源。这能帮你发现那些“运行时才爆出 0day 漏洞”的存量风险。

第六部分：实战总结——构建持续合规的安全运维体系

【专栏正文】

安全不是一次性的状态，而是一个持续的过程。要维护一个安全的 K8s 集群，你需要建立一套自动化的运维体系。

1. 基线扫描

定期使用 Kube-bench 对集群节点进行 CIS (Center for Internet Security) 基线扫描。它能自动检查你的 K8s 配置是否符合安全标准（如：API Server 参数是否合规、kubelet 权限是否过大）。

kubectl apply -f https://github.com/aquasecurity/kube-bench/releases/download/v0.7.2/job.yaml

2. 运行时监控与应急响应

传统的防火墙无法防御已经发生的攻击。你需要 Falco 这样的运行时安全工具。Falco 基于 eBPF 或内核模块，监控系统调用。

告警场景：在容器中启动 Shell、修改 /etc 文件、建立非预期的网络连接。
集成：将 Falco 告警推送到 Prometheus Alertmanager 或 Slack/钉钉，实现秒级响应。

【架构师手记】

架构师的终极建议：

最后，我想强调一点：安全监控的成本是必须支付的，不要试图为了节省资源而关闭日志或告警。

故障排查思路：当收到 Falco 的告警（如 “Shell in container”）时，不要慌张。

首先确认是否是运维人员正常的调试操作（通过 kubectl logs 或审计日志确认用户身份）。
如果是未知操作，立即查看该 Pod 的父进程、挂载的 Volume 和 Network Policy。
必要时，直接 kubectl cordon 隔离节点，kubectl delete pod 终止容器，并进行取证分析（导出容器文件系统）。

Kubernetes 的安全加固是一场没有终点的马拉松。从 4C 模型的顶层设计，到每一行 YAML 的细节落地，再到 24/7 的持续监控，唯有体系化的防御，才能让你在云原生的浪潮中立于不败之地。

亚马逊云科技技术品牌专区

更多推荐

open-code-review Codex 插件教程：对话式调用评审技能指南

本文是一份面向新手的 **open-code-review Codex 插件教程**，教你在 Codex 中通过对话式方式调用 open-code-review 的 AI 代码评审技能。open-code-review 是阿里巴巴开源的 AI 代码评审工具，采用"确定性流水线 + LLM Agent"混合架构，内置多语言评审规则（NPE、线程安全、XSS、SQL 注入等），可在 Codex 里用一

亚马逊云科技技术品牌专区

OBS Studio 完整指南：免费开源录屏与直播软件从零上手

想做一场像模像样的直播，或者把屏幕内容录成教程视频，但一想到商用软件的订阅费就有些犹豫？其实你不需要花一分钱。OBS Studio 是一款免费开源的直播与录屏软件，支持 Windows、macOS 和 Linux，采集、混音、编码、推流、录制，一条流水线全包了。## 先搞清楚 OBS Studio 是什么OBS Studio 是一个"场景化"的采集合成工具：你把摄像头、窗口、浏览器、图片、

亚马逊云科技技术品牌专区

如何用MediaCrawler爬取小红书抖音数据？7大平台爬虫从安装到实战完整指南

MediaCrawler 是一个支持小红书、抖音、快手、B站、微博、百度贴吧、知乎的开源自媒体数据采集工具。它能按关键词、按帖子、按创作者主页三种方式抓取笔记/视频内容、评论甚至二级评论，并把结果存成 JSON、CSV、Excel 或数据库。适合做市场调研、竞品监控、内容选题的运营人员，以及想要现成爬虫框架而不想从零写 JS 逆向的开发者。## 从一次"手动抄数据"说起想象这个场景：你负责