CSA--Kubernetes安全指南，81页纯干货，深入浅出介绍相关的安全知识

集群能跑起来，不等于能安全地跑下去。很多团队把应用搬上 Kubernetes 之后，Pod 之间互相能通、ServiceAccount 默认权限过大、镜像来源不明、etcd 没有加密，这些问题平时不报错，出事的时候才发现一个入口就能横向走到整个集群。这份《Kubernetes 安全指南》针对的就是这类场景：不是教你怎么部署业务，而是教你怎么判断一个已经上线的集群哪里存在风险、该怎么收紧。

它解决的是哪类问题

如果你现在的状态是「会用 kubectl、能写 Deployment 和 Service，但对 RBAC 规则、NetworkPolicy、Pod 安全上下文只是照抄过配置」，这份资料正好补上中间那段。它讨论的是集群内部的身份与权限边界、网络访问控制、镜像与运行时安全、敏感信息存放、审计日志这几条主线，也就是从「谁能访问什么」到「访问留下了什么记录」的完整链路。读完你至少能回答：这个 ServiceAccount 是不是权限给大了、这个命名空间该不该默认拒绝所有入向流量、密钥放在 Secret 里到底安不安全。

适合什么基础，先看哪几块

阅读前需要你已经理解 Pod、Deployment、Service、Namespace、kubeconfig 这些基本概念，能看懂 YAML 清单，否则前半部分会比较吃力。它不承担 Kubernetes 入门教学的功能，零基础建议先把集群基本对象跑通再回来。

建议的阅读顺序是：先看认证与授权部分，把用户、ServiceAccount、Role 和 ClusterRoleBinding 的关系理清，这是后面所有讨论的地基；接着看网络策略与 Pod 隔离，这部分和日常排障关系最直接；然后看镜像、运行时与密钥管理；审计和合规相关内容可以放到最后，作为收尾检查。如果时间有限，只挑授权和网络两块精读，收益也明显。

学完之后能独立做什么

• 为一个命名空间设计最小权限的 RBAC 规则，并判断现有绑定是否过宽
• 用 NetworkPolicy 把默认放通的流量改成按需放行，验证策略是否真正生效
• 检查工作负载的安全上下文配置，识别特权容器、宿主机目录挂载等高风险写法
• 梳理镜像来源与密钥存放方式，给出可执行的整改清单
• 开启并读懂审计日志，定位一次异常访问的来源

需要说明的是，这些能力建立在动手验证之上。建议边看边在测试集群里复现：先故意配一条宽权限的 RoleBinding，再用 kubectl auth can-i 验证效果；写完 NetworkPolicy 后用临时 Pod 实测连通性是否被切断。只看不练，很容易记住结论却判断不了自己集群的真实状态。资料本身是文档形式，配合你手上的集群和官方文档一起用，比通读一遍更有效。

最后提醒一点：安全配置改错会直接打断业务流量，所有收紧动作都先在非生产环境验证，再灰度到线上。这份指南的价值在于帮你建立一套检查思路，而不是给你一份可以无脑套用的配置。