24、Kubernetes安全：RBAC与网络策略的深度解析

Kubernetes安全：RBAC与网络策略的深度解析

1. Kubernetes RBAC安全问题

1.1 秘密对象的访问风险

在Kubernetes集群中，除了服务账户令牌，存储的其他秘密（如API令牌或数据库凭证）也可能被访问。因此，严格控制对秘密对象的获取和列表权限至关重要，同时应避免使用通配符权限授予，因为这可能会包含秘密对象。

1.2 创建Pod的风险

在没有额外控制的情况下，允许用户创建Pod会带来权限提升的风险。例如，用户若能创建Pod并在其中执行命令（使用 kubectl exec ），获取底层节点的root访问权限相对容易。以下是具体步骤：
1. 创建一个Pod清单 noderoot.yml ：

apiVersion: v1
kind: Pod
metadata:
  name: noderootpod
  labels:
spec:
  hostNetwork: true
  hostPID: true
  hostIPC: true
  containers:
  - name: noderootpod
    image: busybox
    securityContext:
      privileged: true
    volumeMounts:
    - mountPath: /host
      name: noderoot
    command: [ "/bin/sh", "-c", "--" ]
    args: [ "while true; do s