别再只背题了！手把手带你用kube-bench给K8s集群做一次CIS安全体检（附修复脚本）

Kubernetes集群CIS安全加固实战：从kube-bench扫描到自动化修复

1. 为什么Kubernetes集群需要CIS安全基线检查

在当今云原生环境中，Kubernetes已成为容器编排的事实标准。然而，随着其广泛采用，Kubernetes集群的安全问题也日益突出。根据最新的云原生安全报告显示：

• 超过60%的企业在生产环境中遇到过Kubernetes相关的安全事件
• 配置错误是导致Kubernetes安全漏洞的首要原因，占比超过70%
• 只有不到35%的组织定期对其Kubernetes集群进行安全审计

CIS (Center for Internet Security) Kubernetes Benchmark是目前最权威的Kubernetes安全配置标准，它提供了：

1. 主节点组件安全配置：包括API Server、Controller Manager、Scheduler等
2. 工作节点安全配置：包括kubelet、容器运行时等
3. 策略管理：如RBAC、网络策略等
4. etcd配置：数据存储的安全最佳实践

典型的安全风险场景包括：

• API Server未启用认证授权
• kubelet匿名访问未禁用
• etcd数据未加密传输
• 容器以root权限运行
• 未配置Pod安全策略

2. kube-bench工具深度解析

kube-bench是CNCF官方推荐的CIS Benchmark自动化检查工具，其工作原理是：

# 安装kube-bench curl -L https://github.com/aquasecurity/kube-bench/releases/download/v0.6.8/kube-bench_0.6.8_linux_amd64.tar.gz | tar -xz sudo mv kube-bench /usr/local/bin/

kube-bench的检查分为多个部分：

执行全面扫描：

# 扫描主节点组件 kube-bench master --benchmark cis-1.20 # 扫描工作节点 kube-bench node --benchmark cis-1.20

输出结果解读：

• [PASS] 表示符合CIS要求
• [FAIL] 表示存在安全风险
• [WARN] 表示建议改进项

3. 关键安全项检查与修复实战

3.1 API Server安全加固

常见风险项：

1. --anonymous-auth未禁用
2. --insecure-port未关闭
3. --authorization-mode未设置为RBAC

修复步骤：

# 备份原始配置 cp /etc/kubernetes/manifests/kube-apiserver.yaml ~/kube-apiserver-backup.yaml # 编辑API Server配置 vim /etc/kubernetes/manifests/kube-apiserver.yaml

关键参数修改：

spec: containers: - command: - kube-apiserver - --anonymous-auth=false - --insecure-port=0 - --authorization-mode=Node,RBAC - --enable-admission-plugins=NodeRestriction - --profiling=false

3.2 kubelet安全配置

关键检查项修复：

# 检查kubelet配置权限 stat -c %a /var/lib/kubelet/config.yaml # 修正权限 sudo chmod 600 /var/lib/kubelet/config.yaml sudo chown root:root /var/lib/kubelet/config.yaml # 验证配置 kube-bench node | grep "2.2.10"

3.3 etcd数据保护

安全加固措施：

# 检查etcd数据目录权限 ls -ld /var/lib/etcd # 修正所有权 sudo chown etcd:etcd /var/lib/etcd # 启用etcd TLS加密 vim /etc/kubernetes/manifests/etcd.yaml

添加TLS配置：

- --cert-file=/etc/kubernetes/pki/etcd/server.crt - --key-file=/etc/kubernetes/pki/etcd/server.key - --peer-cert-file=/etc/kubernetes/pki/etcd/peer.crt - --peer-key-file=/etc/kubernetes/pki/etcd/peer.key - --trusted-ca-file=/etc/kubernetes/pki/etcd/ca.crt - --peer-trusted-ca-file=/etc/kubernetes/pki/etcd/ca.crt

4. 自动化修复与持续合规

4.1 使用Ansible实现批量修复

# k8s-hardening-playbook.yml - hosts: k8s_cluster become: yes tasks: - name: Ensure kube-apiserver secure port lineinfile: path: /etc/kubernetes/manifests/kube-apiserver.yaml regexp: '^ - --secure-port=' line: ' - --secure-port=6443' - name: Disable anonymous auth lineinfile: path: /etc/kubernetes/manifests/kube-apiserver.yaml regexp: '^ - --anonymous-auth=' line: ' - --anonymous-auth=false'

4.2 基于OPA的策略管理

创建CIS合规策略：

# cis-policy.rego package kubernetes.validating.cis deny[msg] { input.kind == "Pod" not input.spec.securityContext.runAsNonRoot msg := "Pods must set runAsNonRoot to true" } deny[msg] { input.kind == "Pod" not input.spec.containers[_].securityContext.allowPrivilegeEscalation == false msg := "Containers must not allow privilege escalation" }

4.3 持续监控方案

推荐工具组合：

• kube-bench：定期扫描
• kube-hunter：渗透测试
• Falco：运行时安全监控
• Prometheus：指标收集
• Grafana：可视化仪表板

5. 安全加固对业务的影响与回滚

可能的影响范围：

1. API Server认证变更导致旧客户端无法连接
2. Pod安全策略限制导致部分工作负载无法启动
3. 网络策略调整导致服务间通信中断

安全变更管理流程：

1. 预生产环境验证：先在非生产集群测试所有变更
2. 分阶段实施：按照组件/节点逐步应用变更
3. 监控观察期：变更后密切监控关键指标
4. 回滚方案：准备完整的配置备份和回滚脚本

回滚示例：

# API Server回滚 cp ~/kube-apiserver-backup.yaml /etc/kubernetes/manifests/kube-apiserver.yaml # kubelet配置回滚 cp /var/lib/kubelet/config.yaml.backup /var/lib/kubelet/config.yaml systemctl restart kubelet

6. 进阶安全实践

6.1 镜像安全扫描

# 使用trivy扫描镜像漏洞 trivy image nginx:1.19.2 # 扫描结果过滤关键漏洞 trivy image --severity HIGH,CRITICAL nginx:1.19.2

6.2 网络策略精细化控制

apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: default-deny-all spec: podSelector: {} policyTypes: - Ingress - Egress

6.3 安全上下文配置

apiVersion: v1 kind: Pod metadata: name: security-context-demo spec: securityContext: runAsNonRoot: true runAsUser: 1000 fsGroup: 2000 containers: - name: sec-ctx-demo image: busybox securityContext: allowPrivilegeEscalation: false readOnlyRootFilesystem: true

7. 安全加固路线图

建议按照以下优先级实施安全加固：

1. 基础架构安全：

   • 控制平面组件加固
   • 工作节点硬化
   • etcd加密与访问控制

2. 身份认证与授权：

   • RBAC精细化管理
   • Service Account最小权限
   • 认证Webhook集成

3. 工作负载安全：

   • Pod安全策略
   • 安全上下文约束
   • 镜像签名验证

4. 网络与数据安全：

   • 网络策略实施
   • 敏感数据加密
   • 安全通信(TLS)

5. 持续安全运维：

   • 定期漏洞扫描
   • 实时异常检测
   • 安全事件响应