Master Kubernetes Security: From RBAC to Network Policies in Production

🔒 Kubernetes安全加固：从RBAC到网络策略的全面防护

💡 一句话总结： 在生产环境中，Kubernetes集群的安全性直接关系到企业数据安全和业务稳定性。本文将从实战角度，带你掌握K8s安全加固的核心技术。

🎯 为什么Kubernetes安全如此重要？

据统计，90%的Kubernetes安全事故都源于 权限配置不当 和 网络边界缺失 。作为运维工程师，我们必须在容器化浪潮中筑起坚固的安全防线。

真实案例： 某互联网公司因Pod间网络策略缺失，导致恶意Pod横向移动，最终造成数据库被入侵，损失超过500万。

🛡️ 核心防护体系架构

┌─────────────────────────────────────────┐
│              API Server                │
├─────────────────┬───────────────────────┤
│      RBAC       │   Network Policy      │
│   权限控制层    │   网络隔离层          │
├─────────────────┼───────────────────────┤
│ Pod Security    │ Service Mesh          │
│   容器安全层    │   流量加密层          │
└─────────────────┴───────────────────────┘

🔐 第一道防线：RBAC权限精细化控制

1. 最小权限原则实施

反面教材： 很多运维同学图省事，直接给应用 cluster-admin 权限。

# ❌ 危险做法
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: dangerous-binding
subjects:
- kind: ServiceAccount
  name: my-app
roleRef:
  kind: ClusterRole
  name: cluster-admin # 过度权限！

正确做法： 精确定义所需权限。

# ✅ 安全实践
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get","list","watch"]
  resourceNames: ["my-app-*"] # 限制资源范围

2. 动态权限审计脚本

#!/bin/bash
# 权限风险扫描脚本
echo "🔍 开始扫描过度权限..."
# 检查cluster-admin绑定
kubectl get clusterrolebindings -o json | jq -r '.items[] | select(.roleRef.name=="cluster-admin") | .metadata.name + " -> " + (.subjects[]?.name // "N/A")'
# 检查通配符权限
kubectl get roles,clusterroles -A -o json | jq -r '.items[] | select(.rules[]?.resources[]? == "*") | .metadata.name + " (namespace: " + (.metadata.namespace // "cluster-wide") + ")'

🌐 第二道防线：网络策略深度隔离

1. 零信任网络模型

核心思想： 默认拒绝所有流量，显式允许必要通信。

# 基础拒绝策略
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

2. 微服务间精确通信控制

# 数据库访问策略：只允许API服务访问
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: mysql-access-policy
spec:
  podSelector:
    matchLabels:
      app: mysql
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: api-server
      namespaceSelector:
        matchLabels:
          name: production
    ports:
    - protocol: TCP
      port: 3306

3. 网络策略验证工具

# 网络连通性测试脚本
import subprocess, json

def test_network_connectivity():
    """测试网络策略是否生效"""
    test_cases = [
        {"from": "frontend-pod", "to": "database-pod", "port": 3306, "expected": "DENY"},
        {"from": "api-pod", "to": "database-pod", "port": 3306, "expected": "ALLOW"}
    ]
    for case in test_cases:
        result = subprocess.run([
            "kubectl", "exec", case["from"], "--", "nc", "-zv", case["to"], str(case["port"])], capture_output=True, timeout=10)
        status = "PASS" if (result.returncode == 0) == (case["expected"] == "ALLOW") else "FAIL"
        print(f"🧪 {case['from']} -> {case['to']}: {case['port']} | {status}")

🔧 第三道防线：Pod安全标准

1. PSS (Pod Security Standards) 配置

# 命名空间级别安全策略
apiVersion: v1
kind: Namespace
metadata:
  name: production
labels:
  pod-security.kubernetes.io/enforce: restricted
  pod-security.kubernetes.io/audit: restricted
  pod-security.kubernetes.io/warn: restricted

2. Security Context 最佳实践

apiVersion: v1
kind: Pod
spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 10001
    runAsGroup: 10001
    fsGroup: 10001
    seccompProfile:
      type: RuntimeDefault
  containers:
  - name: app
    securityContext:
      allowPrivilegeEscalation: false
      readOnlyRootFilesystem: true
      capabilities:
        drop: ["ALL"]
        add: ["NET_BIND_SERVICE"]
      volumeMounts:
      - name: tmp
        mountPath: /tmp
  volumes:
  - name: tmp
    emptyDir: {}

📊 安全监控与告警

1. 实时安全事件监控

# Falco规则示例
- rule: PrivilegedContainerSpawned
  desc: Detect privileged container creation
  condition: >
    container and k8s_audit and ka.verb=create and ka.resource.resource=pods and ka.request_object_spec_securitycontext_privileged=true
  output: Privileged container created (user=%ka.user.name pod=%ka.response_object_metadata_name namespace=%ka.response_object_metadata_namespace)
  priority: WARNING

2. 安全评分仪表板

#!/bin/bash
# Kubernetes安全评分脚本
echo "📈 集群安全评分报告"
echo "========================"
# RBAC评分 (30分)
rbac_score=0
cluster_admin_count=$(kubectl get clusterrolebindings -o json | jq '[.items[] | select(.roleRef.name=="cluster-admin")] | length')
if [ "$cluster_admin_count" -lt 3 ]; then rbac_score=20; elif [ "$cluster_admin_count" -lt 5 ]; then rbac_score=15; else rbac_score=5; fi
# 网络策略评分 (30分)
ns_with_netpol=$(kubectl get networkpolicies -A --no-headers | wc -l)
total_ns=$(kubectl get ns --no-headers | wc -l)
netpol_coverage=$((ns_with_netpol * 100 / total_ns))
if [ "$netpol_coverage" -gt 80 ]; then netpol_score=25; elif [ "$netpol_coverage" -gt 50 ]; then netpol_score=15; else netpol_score=5; fi

total_score=$((rbac_score + netpol_score))
echo "🏆 总分: ${total_score}/60"
echo "📋 RBAC安全: ${rbac_score}/30"
echo "🌐 网络策略: ${netpol_score}/30"

🚀 自动化安全加固

1. Helm Chart安全模板

# values.yaml 安全配置模板
security:
  podSecurityStandard: "restricted"
networkPolicies:
  enabled: true
  defaultDeny: true
  allowedIngress:
  - from: "frontend"
    ports: [8080]
  allowedEgress:
  - to: "database"
    ports: [3306]
securityContext:
  runAsNonRoot: true
  readOnlyRootFilesystem: true
  dropAllCapabilities: true

2. CI/CD安全门禁

# .github/workflows/security-check.yml
- name: Kubernetes Security Scan
  run: |
    # OPA Conftest 策略检查
    conftest verify --policy security-policies/ k8s-manifests/
    # Trivy 漏洞扫描
    trivy config k8s-manifests/
    # 网络策略验证
    kubectl --dry-run=server apply -f network-policies/

💡 生产环境实战建议

1. 分层防护策略

边界层： Ingress + WAF

网络层： NetworkPolicy + ServiceMesh

应用层： RBAC + PSS

数据层： 加密 + 审计

2. 渐进式安全加固

第1周： 实施基础RBAC，清理过度权限

第2‑3周： 部署网络策略，逐步收紧

第4周： 启用Pod安全标准

持续优化： 监控、告警、应急响应

3. 常见坑点避免

❌ 一次性启用所有策略（会导致服务中断）

❌ 忽略DNS策略（CoreDNS通信被阻断）

❌ 过度复杂的网络策略（难以维护）

Kubernetes安全加固是一个系统工程，需要从权限控制、网络隔离、容器安全三个维度全面布防。 记住： 安全不是一次性工作，而是持续改进的过程。