Azure AKS中azure-file-csi-driver服务账户令牌泄露问题分析

Azure AKS中azure-file-csi-driver服务账户令牌泄露问题分析

AKS Azure Kubernetes Service 项目地址: https://gitcode.com/gh_mirrors/ak/AKS

问题背景

在Azure Kubernetes Service(AKS)的azure-file-csi-driver组件中发现了一个安全问题，该问题可能导致服务账户令牌被记录到日志中。当未授权人员能够访问这些日志时，可能会利用这些令牌获取云资源的访问权限。

问题技术细节

该问题存在于azure-file-csi-driver的日志记录机制中。当同时满足以下两个条件时，服务账户令牌会被记录到日志中：

1. 在CSIDriver对象中配置了TokenRequests
2. 驱动程序通过-v标志设置为日志级别2或更高

服务账户令牌是Kubernetes中用于身份验证的重要凭证，特别是在使用工作负载身份联合(workload identity federation)的场景下。这些令牌可以被用来访问云服务商的各种资源。

影响范围

该问题影响以下版本的azure-file-csi-driver：

• v1.29.3及以下版本
• v1.30.0版本

问题检测方法

用户可以通过以下命令检查是否配置了令牌请求：

kubectl get csidriver file.csi.azure.com -o jsonpath="{.spec.tokenRequests}"

要检查令牌是否被记录到日志中，可以运行：

kubectl logs csi-azurefile-controller-56bfddd689-dh5tk -c azurefile -f | grep --line-buffered "csi.storage.k8s.io/serviceAccount.tokens"

临时解决方案

在升级修复版本前，可以通过以下方式缓解此问题：

• 将azure-file-csi-driver的日志级别设置为0或1（通过-v标志）

修复方案

Azure已经发布了修复版本，用户应升级到以下版本：

• AKS集群版本v1.28.5及以上，对应azure-file-csi-driver v1.29.4或更高版本

安全建议

对于使用Azure Kubernetes Service的用户，建议：

1. 定期检查集群组件的安全公告
2. 及时应用安全补丁和版本更新
3. 限制对组件日志的访问权限
4. 在生产环境中谨慎设置日志级别，避免记录重要信息

该问题的修复体现了云原生安全中"最小权限原则"和"防御深度"的重要性，开发者在设计日志系统时需要特别注意重要信息的过滤和处理。

AKS Azure Kubernetes Service 项目地址: https://gitcode.com/gh_mirrors/ak/AKS