3. 节点池安全基线定义
节点池安全基线是云原生环境中对一组同质化工作节点（Node Pool）所施加的最低安全配置要求集合。它定义了节点操作系统、容器运行时、kubelet 参数、网络策略及访问控制必须满足的合规阈值，是集群安全治理从“单节点巡检”走向“池级批量审计”的核心抽象。
3.1 什么是节点池安全基线
节点池安全基线将安全配置要求与节点池的标签、实例类型、可用区等元数据绑定，实现以下目标：
- 批量合规：一次基线定义，覆盖池内所有节点，避免逐台手工加固。
- 漂移检测：通过 OPA/Rego 策略持续审计节点配置，发现与基线的偏差。
- 自动化修复：基线可作为基础设施即代码（IaC）的输入，联动节点池滚动更新。
核心公式： 节点池安全基线 = 节点级安全标准（CIS/NIST） + 池级上下文（标签、污点、实例角色） + 合规阈值（通过/警告/阻断）
3.2 常见基线标准
| 标准 | 发布组织 | 覆盖范围 | K8s 相关版本 |
|---|---|---|---|
| CIS Benchmark for Kubernetes | CIS (Center for Internet Security) | Master 节点、Worker 节点、kubelet、etcd、API Server、控制平面组件 | v1.24 – v1.30 |
| NIST SP 800-190 | NIST (National Institute of Standards and Technology) | 容器镜像、容器运行时、编排层、主机 OS、供应链 | 通用框架，不绑定版本 |
| NSA/CISA Kubernetes Hardening Guide | NSA & CISA | Pod 安全、网络隔离、日志审计、密钥管理 | v1.24+ |
实践建议： 多数企业以 CIS Benchmark 为“必须通过”基线，以 NIST 框架为“风险治理”参考。OPA 策略可直接将 CIS 控制项翻译为 Rego 规则，实现自动化审计。
3.3 基线在 K8s 中的映射
安全基线不能停留在文档层面，必须映射到 K8s 可观测、可审计的配置对象上。下表展示了 CIS 控制项与 K8s 资源对象的典型映射关系：
| CIS 控制编号 | 控制描述 | K8s 映射对象 | 审计方式 |
|---|---|---|---|
| 4.2.1 | kubelet 匿名认证必须关闭 | Node / kubelet-config ConfigMap | 检查 kubelet 参数 --anonymous-auth=false |
| 4.2.6 | kubelet 必须启用证书轮换 | Node / CSR 对象 | 验证 rotateCertificates 配置 |
| 5.1.5 | 确保容器运行时非 root | Pod Security Admission / OPA Gatekeeper | 检查 Pod securityContext.runAsNonRoot |
| 5.3.2 | 限制节点对宿主机文件系统写入 | Pod / Volume / HostPath | 审计 allowedHostPaths 策略 |
3.4 节点池基线架构图
下图展示了从“基线标准”到“节点池策略”再到“OPA 持续审计”的完整映射链路：
3.5 基线策略示例（Rego）
以下 Rego 策略片段演示如何将 CIS 4.2.1 控制项（kubelet 匿名认证关闭）映射为节点池基线审计规则：
package security.node_pool_baseline
# 从节点池标签获取待审计节点列表
nodes := data.inventory.nodes[_]
node_pool_label := "pool-type"
# 基线规则：kubelet 必须禁用匿名认证
deny[msg] {
node := nodes[_]
node.metadata.labels[node_pool_label] == "production"
kubelet_config := node.status.nodeInfo.kubeletVersion
not node_has_anonymous_auth_disabled(node)
msg := sprintf("节点 %v 未禁用 kubelet 匿名认证，违反 CIS 4.2.1", [node.metadata.name])
}
node_has_anonymous_auth_disabled(node) {
# 实际审计逻辑：检查 kubelet 配置或节点注解
node.metadata.annotations["security.kubelet.anonymous-auth"] == "false"
}
注意： 基线策略应区分“强制阻断”与“仅告警”两种模式。对于生产节点池，建议将 CIS 4.2.1 设为阻断；对于开发测试池，可先设为告警，逐步推进整改。
3.6 基线生命周期管理
- 定义阶段：根据企业合规需求选择 CIS / NIST 控制项，编写 Rego 策略。
- 绑定阶段：将策略与节点池标签（如
pool-type: production）关联。 - 审计阶段：OPA 定期或事件驱动执行策略，输出合规报告。
- 修复阶段：对漂移节点触发滚动更新或自动修复流程。
- 迭代阶段：随 K8s 版本升级更新基线控制项版本。
通过以上映射，节点池安全基线不再是静态文档，而是可编程、可审计、可自动修复的云原生安全治理核心组件。