4. 高风险变更场景识别：直接操作etcd、非标准API调用、大规模资源删除、配置项篡改

在Kubernetes集群中，并非所有变更都经过API Server的准入控制链。部分高风险操作会绕过或削弱内置的安全门禁，直接威胁集群的稳定性与数据完整性。本章聚焦四类必须被etcd准入策略覆盖的高风险变更场景，帮助运维与安全团队建立精准的检测与阻断基线。

4.1 场景一：直接操作etcd

攻击者或内部人员通过etcdctl、etcd客户端库或直接访问etcd数据目录，绕过Kubernetes API Server对集群状态进行任意读写。这是风险等级最高的操作，因为所有准入控制、审计日志、RBAC检查均被跳过。

4.2 场景二：非标准API调用

非标准API调用指通过Kubernetes API Server的聚合层（Aggregation Layer）或自定义资源定义（CRD）扩展出的接口，绕过原生资源的准入控制逻辑。这类调用可能利用API Server的代理功能直接访问后端服务，或通过CRD的验证/变更Webhook配置缺陷实现越权。

• 聚合API滥用： 攻击者注册一个恶意的聚合API服务，将请求代理到内部etcd端点，实现间接操作。
• CRD Webhook绕过： 利用CRD定义中缺失的 admissionReviewVersions 或 sideEffects 配置，使Webhook不生效，直接写入非标准资源。
• Proxy子资源利用： 通过 /api/v1/namespaces/default/pods/mypod/proxy 将流量转发到Pod内的etcd客户端，实现二次跳转。

# 非标准API调用示例：通过聚合API代理写入etcd
# 攻击者首先注册一个聚合API服务
apiVersion: apiregistration.k8s.io/v1
kind: APIService
metadata:
  name: v1alpha1.etcd-proxy.example.com
spec:
  group: etcd-proxy.example.com
  version: v1alpha1
  service:
    name: etcd-proxy-svc
    namespace: malicious
  insecureSkipTLSVerify: true
---
# 然后通过该API发送etcd写请求
curl -k -X PUT \
  https://<api-server>/apis/etcd-proxy.example.com/v1alpha1/etcddata \
  -d '{"key":"/registry/secrets/default/steal","value":"..."}'

4.3 场景三：大规模资源删除

大规模资源删除操作（如删除整个Namespace、批量删除Deployment或Pod）会触发etcd中大量key的级联删除。这类操作不仅造成服务中断，还会在etcd端产生巨大的写事务压力，可能导致集群性能抖动甚至数据不一致。

4.4 场景四：配置项篡改

配置项篡改指修改Kubernetes核心组件的配置数据，如kube-system命名空间下的ConfigMap、Secret、ClusterRole、ClusterRoleBinding等。这类篡改可直接导致集群权限失控、组件行为异常或敏感信息泄露。

• kube-controller-manager配置篡改： 修改 kube-controller-manager 的启动参数ConfigMap，关闭安全特性或增加恶意控制器。
• kube-apiserver审计策略篡改： 修改 audit-policy ConfigMap，禁用对特定操作的审计记录。
• RBAC权限提升： 向 cluster-admin ClusterRoleBinding 中添加恶意用户或ServiceAccount。
• etcd加密配置篡改： 修改 encryption-config 对象，移除或替换加密密钥，使静态存储的Secret可被明文读取。

# 配置项篡改示例：修改kube-controller-manager的启动参数
# 原始ConfigMap
apiVersion: v1
kind: ConfigMap
metadata:
  name: kube-controller-manager
  namespace: kube-system
data:
  controllers: "*,bootstrapsigner,tokencleaner"
---
# 篡改后：移除了tokencleaner控制器，使过期无法被清理
data:
  controllers: "*,bootstrapsigner"

4.5 四类场景的etcd准入策略覆盖矩阵

以下矩阵展示了四类高风险变更在etcd准入策略层面的检测与阻断能力。策略应覆盖所有写操作路径，包括Put、Delete、Txn（事务）以及Watch（用于检测大规模删除的预兆）。