4. etcd 安全审计：加密、TLS、ACL 与备份恢复基线核验

etcd 作为 Kubernetes 集群的“大脑”，存储了所有集群状态、Secret、ConfigMap 等敏感数据。etcd 的安全配置直接决定了集群的机密性、完整性和可用性。本章围绕加密、传输层安全、访问控制以及备份恢复四个维度，建立可量化的基线核验清单。

4.1 etcd 数据加密：静态加密与传输加密

etcd 存储的数据在静态和传输过程中都应加密。Kubernetes 1.13+ 支持 EncryptionConfiguration 资源，用于对 etcd 中的 Secret 等敏感资源进行静态加密。

4.1.1 静态加密基线核验

# 检查当前加密配置
kubectl get encryptionconfig -o yaml

# 验证 Secret 是否已加密（直接读取 etcd 中的原始数据）
ETCDCTL_API=3 etcdctl --endpoints=https://127.0.0.1:2379 \
  --cacert=/etc/kubernetes/pki/etcd/ca.crt \
  --cert=/etc/kubernetes/pki/etcd/server.crt \
  --key=/etc/kubernetes/pki/etcd/server.key \
  get /registry/secrets/default/my-secret | strings | head -5

4.1.2 传输加密基线核验

etcd 集群内部节点之间以及客户端与 etcd 之间的通信必须使用 TLS。核验以下三项：

• 客户端证书认证：etcd 启动参数中必须包含 --client-cert-auth 且设置为 true。
• 对等证书认证：etcd 启动参数中必须包含 --peer-client-cert-auth 且设置为 true。
• 证书有效期：所有 etcd 相关证书（CA、server、peer、client）剩余有效期 ≥ 30 天。

# 检查 etcd 启动参数（通过 Pod 描述或进程查看）
kubectl -n kube-system describe pod etcd-master | grep -E "client-cert-auth|peer-client-cert-auth"

# 检查证书有效期
openssl x509 -in /etc/kubernetes/pki/etcd/server.crt -noout -enddate

4.2 TLS 认证与证书链核验

etcd 的 TLS 认证体系包含 CA 证书、服务端证书、对等证书和客户端证书。基线核验需要覆盖证书链完整性、密钥强度以及吊销状态。

# 核验证书链
openssl verify -CAfile /etc/kubernetes/pki/etcd/ca.crt \
  /etc/kubernetes/pki/etcd/server.crt

# 核验密钥强度
openssl rsa -in /etc/kubernetes/pki/etcd/server.key -text -noout | grep "Private-Key"

# 核验证书吊销列表（CRL）
openssl crl -in /etc/kubernetes/pki/etcd/ca.crl -text -noout 2>/dev/null || echo "CRL 未配置"

4.3 访问控制列表（ACL）基线核验

etcd v3 支持基于角色的访问控制（RBAC）。Kubernetes 使用 etcd 时，默认不启用 etcd 自身的 RBAC，而是通过 API Server 的认证授权层进行控制。但作为安全基线，应核验 etcd 是否启用了额外的访问控制。

# 检查 etcd 认证状态
ETCDCTL_API=3 etcdctl --endpoints=https://127.0.0.1:2379 \
  --cacert=/etc/kubernetes/pki/etcd/ca.crt \
  --cert=/etc/kubernetes/pki/etcd/server.crt \
  --key=/etc/kubernetes/pki/etcd/server.key \
  auth status

# 列出所有用户和角色
etcdctl user list
etcdctl role list

# 检查特定角色的权限
etcdctl role get root

4.4 定期备份与恢复策略基线核验

etcd 备份是集群灾难恢复的最后一道防线。基线核验需要覆盖备份频率、备份完整性、恢复演练以及备份存储安全。

4.4.1 备份策略基线

4.4.2 备份与恢复命令基线

# 创建 etcd 快照备份
ETCDCTL_API=3 etcdctl --endpoints=https://127.0.0.1:2379 \
  --cacert=/etc/kubernetes/pki/etcd/ca.crt \
  --cert=/etc/kubernetes/pki/etcd/server.crt \
  --key=/etc/kubernetes/pki/etcd/server.key \
  snapshot save /backup/etcd-snapshot-$(date +%Y%m%d-%H%M%S).db

# 验证备份文件完整性
etcdctl snapshot status /backup/etcd-snapshot-20250301-120000.db

# 从快照恢复（在停止 etcd 服务后执行）
etcdctl snapshot restore /backup/etcd-snapshot-20250301-120000.db \
  --data-dir=/var/lib/etcd-restored \
  --initial-cluster=master=https://192.168.1.10:2380 \
  --initial-cluster-=etcd-cluster \
  --initial-advertise-peer-urls=https://192.168.1.10:2380

4.4.3 备份自动化与监控基线

• 自动化备份：必须使用 CronJob 或 systemd timer 实现自动备份，禁止仅依赖手动操作。
• 备份监控：备份成功/失败事件必须接入集群告警系统（如 Prometheus + Alertmanager）。
• 备份大小监控：备份文件大小异常（突增或突降）应触发告警，可能预示数据损坏或丢失。
• 恢复手册：必须维护最新的 etcd 恢复操作手册，并放置在集群节点本地和文档系统中。

4.5 基线核验清单汇总

以下清单可作为 etcd 安全审计的最终检查表，建议在每次集群变更或定期审计时逐项核验。