3、集群组件安全配置：kube-apiserver、kube-controller-manager、kube-scheduler、kubelet 的安全参数审计

Kubernetes 控制面组件与节点代理的安全配置是集群防护的第一道防线。攻击者一旦利用组件的不安全参数，即可绕过认证、篡改调度策略、窃取 Secret 或执行容器逃逸。本章对 kube-apiserver、kube-controller-manager、kube-scheduler、kubelet 四个核心组件进行安全参数逐项审计，并给出基线核验标准。

3.1 kube-apiserver 安全参数审计

kube-apiserver 是集群的入口网关，其安全参数直接影响整个集群的认证、授权与准入控制能力。以下为必须审计的关键参数清单：

# 检查匿名认证是否禁用
ps -ef | grep kube-apiserver | grep -- '--anonymous-auth=false'

# 检查 insecure-port 是否关闭
ps -ef | grep kube-apiserver | grep -- '--insecure-port=0'

# 检查准入插件列表
ps -ef | grep kube-apiserver | grep -- '--enable-admission-plugins'

3.2 kube-controller-manager 安全参数审计

kube-controller-manager 负责集群状态调节，其安全参数主要围绕证书认证、ServiceAccount 管理与控制器权限控制。

3.3 kube-scheduler 安全参数审计

kube-scheduler 负责 Pod 调度决策，其安全参数主要关注端口暴露、TLS 配置与权限分离。

# 检查调度器绑定地址
ps -ef | grep kube-scheduler | grep -- '--bind-address=127.0.0.1'

# 检查是否启用安全端口
ps -ef | grep kube-scheduler | grep -- '--secure-port=10259'

3.4 kubelet 安全参数审计

kubelet 是运行在每个节点上的代理，其安全配置直接决定节点能否被远程控制或数据泄露。kubelet 的审计项是所有组件中最多的，也是攻击者最常利用的入口。

3.5 组件安全配置全景图

下图展示了四个核心组件之间的安全依赖关系与关键审计点。箭头表示安全配置的传递与验证链路。

3.6 基线核验清单与自动化脚本

以下为四组件安全参数的快速核验清单，可用于日常巡检与 CI/CD 流水线集成：

#!/bin/bash
# 组件安全参数批量核验
COMPONENTS=("kube-apiserver" "kube-controller-manager" "kube-scheduler" "kubelet")

for comp in "${COMPONENTS[@]}"; do
  echo "=== 检查 $comp ==="
  case $comp in
    kube-apiserver)
      ps -ef | grep $comp | grep -E "anonymous-auth|secure-port|enable-admission-plugins"
      ;;
    kube-controller-manager)
      ps -ef | grep $comp | grep -E "bind-address|use-service-account-credentials"
      ;;
    kube-scheduler)
      ps -ef | grep $comp | grep -E "bind-address|secure-port"
      ;;
    kubelet)
      ps -ef | grep $comp | grep -E "anonymous-auth|read-only-port|authorization"
      ;;
  esac
done

3.7 常见安全误配与修复建议

• 误配 1：kubelet 匿名认证开启 — 立即设置 --anonymous-auth=false 并重启 kubelet。同时检查 --authentication 是否为 webhook。
• 误配 2：kube-apiserver 未配置加密提供者 — 启用 --encryption-provider-config 指向包含 AES-CBC 或 KMS 提供者的 YAML 文件。
• 误配 3：kube-controller-manager 绑定 0.0.0.0 — 修改 --bind-address=127.0.0.1，确保 metrics 端口不暴露。
• 误配 4：kube-scheduler 使用不安全的 10251 端口 — 禁用 --port=0 并启用 --secure-port=10259。
• 误配 5：所有组件未配置 TLS 证书 — 使用集群 CA 签发组件证书，并配置 --tls-cert-file 与 --tls-private-key-file。