Kubernetes 安全基础
保护集群
Kubernetes 安全基础 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
什么是 Kubernetes
Kubernetes 是一个跨多台机器运行和管理大量容器的系统。
它会将容器组合成容器组，并自动将它们调度到节点上。
为什么集群会成为目标
Kubernetes 集群通常运行着组织最重要的应用。
它包含控制平面、节点和网络等许多活动部件，为攻击者提供了可探测的大型攻击面。
保护应用程序接口服务器
应用程序接口服务器是集群的大脑。每项操作都要通过它。
如果没有强大的身份验证，绝不能将它暴露在公共互联网上，否则攻击者可能控制一切。
RBAC 基础
RBAC 代表基于角色的访问控制。它决定谁可以在集群中执行哪些操作。
按照最小权限原则，仅向每个用户和服务授予其所需的权限。
服务账户
容器组通过服务账户与应用程序接口通信。
默认情况下，这种权限可能过于宽泛。当容器组不需要令牌时，请将其禁用：
automountServiceAccountToken: false使用命名空间进行隔离
命名空间会将集群划分为相互独立的区域。
将团队或环境放入不同的命名空间可以限制影响范围，也能让访问规则更易于管理。
网络策略
默认情况下，所有容器组都可以自由地相互通信。
网络策略可以限制此类流量，使遭到入侵的容器组无法访问所有资源。只允许真正需要的连接。
管理机密信息
Kubernetes 的机密信息用于保存密码和令牌等敏感数据。
请启用静态数据加密，绝不要将机密信息硬编码到容器组定义或镜像中。
容器组安全
容器组应遵循与任何容器相同的加固措施：
- 以非根用户运行
- 移除不需要的权限能力
- 避免使用特权模式
容器组安全标准有助于在整个集群范围内强制执行这些规则。
审计日志
应用程序接口服务器可以将每个请求记录为审计日志。
这些日志会显示谁在何时执行了什么操作，这对于发现和调查可疑活动至关重要。
保持更新
Kubernetes 及其组件会定期发布安全修复。
运行旧版本会使已知漏洞持续暴露。请按计划修补控制平面、节点和附加组件。
快速检查
RBAC 在 Kubernetes 集群中控制什么？
回顾
保护 Kubernetes 意味着保护应用程序接口服务器，应用 RBAC 和最小权限原则，使用命名空间和网络策略进行隔离，安全地管理机密信息，加固容器组，启用审计日志，并经常进行修补。
常见问题解答
「Kubernetes 安全基础」课时是免费的吗？
是的 — 「Kubernetes 安全基础」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「Kubernetes 安全基础」这节课中我会学到什么？
保护集群 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「Kubernetes 安全基础」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。