CyberGlossary

云安全

Kubernetes 安全

别称: K8s 安全

定义

对 Kubernetes 集群(API Server、控制平面、节点、工作负载与网络)的保护,防止配置错误、被攻陷以及横向移动。

Kubernetes 已成为云原生工作负载的事实标准编排器,其安全模型对业务至关重要。关键控制点包括加固 API Server(RBAC 最小权限、审计日志、禁止匿名访问)、保护 kubelet 与 etcd、强制 Pod Security Standards(禁止特权容器、限制 Linux capabilities、非 root 用户)、用网络策略实现东西向隔离、通过外部 KMS 管理密钥,以及使用 Kyverno 或 OPA 实现准入策略。常见威胁包括暴露的 Dashboard、存在漏洞的镜像、对 Helm Chart 的供应链攻击、容器逃逸和挖矿恶意软件。CIS Kubernetes Benchmark 与 NSA/CISA 加固指南提供了具体的基线参考。

示例

  • 在所有命名空间默认启用受限 Pod Security Standard 与 NetworkPolicy。
  • 使用 kube-bench、kubescape 或 Wiz 按 CIS Benchmark 给集群打分。

相关术语