Aqua Security kube-hunter项目解析：KHV004 Azure SPN凭证泄露风险

Aqua Security kube-hunter项目解析：KHV004 Azure SPN凭证泄露风险

kube-hunter Hunt for security weaknesses in Kubernetes clusters 项目地址: https://gitcode.com/gh_mirrors/ku/kube-hunter

风险概述

在Azure环境中部署的Kubernetes集群存在一个潜在的安全隐患，即服务主体名称(Service Principal Name, SPN)凭证可能通过节点上的共享文件暴露。该文件通常位于/etc/kubernetes/azure.json路径下，包含了Kubernetes集群管理Azure资源所需的API访问凭证。

技术背景

Kubernetes与Microsoft Azure有原生集成能力，这使得Kubernetes集群能够在Azure云环境中自动创建和管理各类资源，例如云负载均衡器等。为了实现这一自动化管理功能，Kubernetes需要具备调用Azure API的权限。

在传统部署方式中，这一权限通常通过以下方式实现：

1. 在集群节点上创建包含SPN凭证的配置文件
2. 该文件包含客户端ID、客户端密钥和租户ID等敏感信息
3. Kubernetes组件通过读取该文件获取Azure API访问权限

风险详情

当Pod能够访问宿主节点上的/etc/kubernetes/azure.json文件时，攻击者可能通过以下路径实施攻击：

1. 攻击者入侵某个Pod
2. Pod通过挂载或文件系统访问获取节点上的azure.json文件
3. 获取文件中存储的SPN凭证
4. 使用这些凭证控制整个Azure环境

这种风险尤其严重，因为获取的SPN凭证通常具有较高权限，能够管理集群相关的所有Azure资源。

解决方案

推荐方案：使用Azure托管身份

长期来看，最安全的解决方案是使用Azure托管身份(Managed Identities)替代静态SPN凭证。托管身份的优势包括：

• 自动化的凭据管理
• 无需在代码或配置文件中存储凭证
• 与Azure Active Directory深度集成

但目前该功能在AKS引擎(非托管Kubernetes)中仍处于alpha阶段，生产环境使用需谨慎评估。

临时解决方案：凭证轮换

在无法使用托管身份的情况下，建议定期更新或轮换集群SPN凭证：

1. 创建新的服务主体
2. 更新集群所有节点上的azure.json文件
3. 验证集群功能正常
4. 撤销旧凭证的权限

这种方法虽然不能从根本上解决问题，但可以限制泄露凭证的有效期，降低风险。

最佳实践建议

1. 实施最小权限原则，仅为SPN授予必要的Azure权限
2. 定期审计SPN的使用情况
3. 监控azure.json文件的访问行为
4. 考虑使用Pod安全策略限制Pod对主机文件的访问
5. 关注Azure托管身份的功能演进，及时迁移

总结

Azure SPN凭证泄露风险(KHV004)是kube-hunter识别出的一个重要安全问题。虽然目前完全解决方案尚不成熟，但通过凭证轮换和权限控制等措施可以显著降低风险。随着Azure托管身份功能的完善，这一问题有望得到根本性解决。

kube-hunter Hunt for security weaknesses in Kubernetes clusters 项目地址: https://gitcode.com/gh_mirrors/ku/kube-hunter