3. K8s配置对象概览：Pod、Deployment、Service、ConfigMap、Secret、RBAC、NetworkPolicy等关键资源的配置要点

在 Kubernetes 集群中，一切皆对象。合规核验的第一步，是准确理解每个核心配置对象的结构、字段含义与安全基线。本章将逐一拆解 Pod、Deployment、Service、ConfigMap、Secret、RBAC、NetworkPolicy 七类关键资源，聚焦于合规性检查点与环境一致性要求。

3.1 Pod —— 原子调度单元的安全基线

Pod 是 Kubernetes 中最小的部署单元，合规核验需关注以下字段：

# 合规 Pod 示例片段
apiVersion: v1
kind: Pod
metadata:
  name: secure-pod
spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1001
    fsGroup: 2000
  containers:
  - name: app
    image: myapp:1.0.0
    imagePullPolicy: IfNotPresent
    resources:
      requests:
        memory: "256Mi"
        cpu: "250m"
      limits:
        memory: "512Mi"
        cpu: "500m"
    securityContext:
      capabilities:
        drop: ["ALL"]
      readOnlyRootFilesystem: true

3.2 Deployment —— 声明式更新与副本合规

Deployment 是工作负载管理的主要对象，合规核验重点在于更新策略与副本一致性：

• strategy.type：生产环境建议 RollingUpdate，避免 Recreate 导致服务中断。
• revisionHistoryLimit：建议保留 3~5 个历史版本，便于回滚审计。
• minReadySeconds：至少 30s，确保新 Pod 稳定后再切换流量。
• progressDeadlineSeconds：设置 600s 超时，避免滚动更新卡死。
• pod template 标签：必须与 Service 的 selector 精确匹配，否则流量丢失。

3.3 Service —— 网络端点与暴露控制

Service 定义了 Pod 的访问方式，合规核验聚焦于暴露范围与端口命名：

端口命名规范：每个端口必须包含 name 字段，格式为 <protocol>-<app>（如 http-web、grpc-api），便于 Istio 等服务网格识别协议。

3.4 ConfigMap —— 非敏感配置管理

ConfigMap 用于存储非敏感配置数据，合规要点包括：

• 数据大小限制：单个 ConfigMap 不应超过 1MB，避免 etcd 压力。
• 不可变配置：对于生产环境，设置 immutable: true 防止意外修改。
• 挂载方式：优先使用 subPath 挂载单个文件，而非整个卷，避免覆盖目录。
• 环境变量注入：使用 valueFrom.configMapKeyRef 时，必须设置 optional: false 确保配置必达。

# 不可变 ConfigMap 示例
apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
immutable: true
data:
  app.properties: |
    log.level=INFO
    max.connections=100
  database.url: jdbc:mysql://db-internal:3306/app

3.5 Secret —— 敏感数据安全基线

Secret 是合规检查的重中之重，任何泄露都可能导致严重安全事件：

3.6 RBAC —— 权限模型与最小授权

RBAC（基于角色的访问控制）是 Kubernetes 安全的核心防线。合规核验需覆盖以下四个对象：

• Role / ClusterRole：定义权限规则，必须遵循“最小权限”原则，禁止使用 * 通配符。
• RoleBinding / ClusterRoleBinding：将角色绑定到用户或 ServiceAccount，必须明确绑定范围。
• 聚合规则：使用 aggregationRule 动态组合 ClusterRole，避免手动维护庞大权限列表。
• 自动化的权限审计：定期使用 kubectl auth can-i --list 或工具（如 rbac-lookup）检查有效权限。

# 最小权限 Role 示例
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: app-team
rules:
- apiGroups: [""]
  resources: ["pods", "services"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["apps"]
  resources: ["deployments"]
  verbs: ["get", "list", "watch", "update"]

3.7 NetworkPolicy —— 微隔离与流量管控

NetworkPolicy 实现 Kubernetes 原生的微隔离，合规核验要点：

3.8 配置对象合规核验清单总表

以下清单可作为日常巡检与 CI/CD 门禁的检查依据：