4. Secrets 静态存储风险：etcd 未加密、Base64 编码误解、RBAC 配置不当等常见漏洞

在云原生环境中，Secrets 的静态存储安全是准入策略评审的核心关注点。许多团队误以为将 Secret 存入 Kubernetes 即“安全”，但实际上，Secrets 在 etcd 中的存储方式、编码认知偏差以及访问控制缺失，构成了三大主要风险面。本章将逐一剖析这些漏洞，并提供对应的评审与加固策略。

4.1 风险全景：Secrets 静态存储三大漏洞

下表总结了 Secrets 在静态存储阶段最常见的三类安全漏洞及其影响范围：

4.2 etcd 未加密：静态存储的“最后一公里”风险

Kubernetes 默认将所有 Secret 对象以 Base64 编码 的形式存储在 etcd 中。如果 etcd 本身未启用静态加密（Encryption at Rest），任何能够直接访问 etcd 数据目录或备份文件的攻击者，都可以通过简单的 Base64 解码获取所有 Secrets 的明文内容。

4.2.1 评审要点：etcd 静态加密配置

在准入策略评审中，应检查集群是否启用了 EncryptionConfiguration 资源。以下是一个合规的加密配置示例：

apiVersion: apiserver.config.k8s.io/v1
kind: EncryptionConfiguration
resources:
  - resources:
      - secrets
    providers:
      - aescbc:
          keys:
            - name: key1
              secret: <base64-encoded-32-byte-key>
      - identity: {}  # 降级策略，仅用于迁移

4.2.2 风险影响链路

下图展示了 etcd 未加密场景下，Secret 泄露的完整攻击链路：

4.3 Base64 编码误解：不是加密，只是编码

Kubernetes Secret 对象中的 data 字段使用 Base64 编码，但 Base64 不是加密算法。任何拥有 Secret YAML 文件读取权限的人，都可以通过 echo <base64-string> | base64 --decode 获取明文。

4.3.1 编码 vs 加密：概念对比

4.3.2 常见泄露场景

• Git 仓库泄露： 开发人员将包含 Base64 Secret 的 YAML 文件提交到公共仓库。
• CI/CD 日志： kubectl get secret mysecret -o yaml 的输出被打印到构建日志。
• 错误消息： 应用启动时打印包含 Base64 编码的配置信息。

4.4 RBAC 配置不当：谁可以读你的 Secrets？

Kubernetes RBAC 是控制 Secret 访问的核心机制。配置不当的 RBAC 策略可能导致非授权用户或 Pod 能够读取集群中的所有 Secrets。

4.4.1 最小权限原则评审清单

在准入策略评审中，应逐项检查以下 RBAC 配置：

1. ClusterRole 聚合： 检查是否存在通配符 resources: ["*"] 或 verbs: ["*"] 的 ClusterRole。
2. Secrets 的 get/list/watch 权限： 确认只有必要的 ServiceAccount 拥有这些权限。
3. RoleBinding 范围： 确保 RoleBinding 绑定到正确的命名空间，避免跨命名空间访问。
4. 自动挂载： 检查 Pod 是否禁用了 automountServiceAccountToken，避免不必要的 Secret 访问。

4.4.2 风险 RBAC 配置示例

以下是一个典型的 高风险 RBAC 配置，应被准入策略拒绝：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: secret-reader-all
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get", "list", "watch"]  # 允许读取所有命名空间的 Secrets

4.4.3 合规 RBAC 配置示例

以下是一个符合最小权限原则的配置：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: production
  name: secret-reader-app
rules:
- apiGroups: [""]
  resources: ["secrets"]
  resourceNames: ["db-credentials", "api-"]  # 仅允许读取指定 Secret
  verbs: ["get"]

---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  namespace: production
  name: app-secret-reader
subjects:
- kind: ServiceAccount
  name: my-app
  namespace: production
roleRef:
  kind: Role
  name: secret-reader-app
  apiGroup: rbac.authorization.k8s.io

4.5 静态存储风险加固策略总结

下表汇总了针对上述三大漏洞的加固策略与准入策略评审要点：