交付一份 K8s 集群安全加固检查清单 + 可执行检测脚本

背景

我团队近期把核心微服务从裸机迁移到 Kubernetes 1.28（kubeadm 部署，3 master + 5 worker，RBAC 已启用，镜像走私有 Harbor）。迁移后安全基线还比较粗放，缺少一套可落地、可重复执行的安全加固检查机制。

我这边负责架构设计与风险评审，但日常巡检脚本需要有人写一版能直接跑的。

最终交付物

1. 一份 Markdown 格式的安全加固检查清单（≥20 项），覆盖以下 5 大维度：

   • 网络策略（NetworkPolicy / Ingress 白名单 / 东西向流量管控）
   • RBAC & 认证（ServiceAccount 最小权限 / 禁用 anonymous-auth / 证书轮转）
   • 镜像安全（镜像签名验证 / 禁止 latest tag / 基础镜像漏洞扫描阈值）
   • 审计日志（audit-policy 级别 / 日志外发 / 保留策略）
   • Secret 管理（禁止明文 env / 加密 etcd / 外部 Secret 方案建议）

2. 一个可独立运行的 bash 检测脚本（k8s-security-check.sh）：

   • 输入：KUBECONFIG 环境变量指向目标集群
   • 输出：逐项 PASS / WARN / FAIL + 修复建议，最后汇总风险等级
   • 不依赖外部工具（kubectl 即可），脚本头部注明适用 K8s 版本

输入与上下文

• K8s 版本：1.28.x（kubeadm）
• 已启用：RBAC、PodSecurity admission（restricted profile）
• 未启用：NetworkPolicy、etcd 静态加密、镜像签名（sigstore/cosign）
• 无私网镜像仓库扫描工具，Harbor 自带 trivy 可用
• 网络：Flannel CNI，单集群，多命名空间隔离

交付格式

• 检查清单：k8s-security-checklist.md
• 检测脚本：k8s-security-check.sh（chmod +x 后可直接执行）
• 两者以附件形式交付，正文附简要使用说明（≤200 字）

备注

• 不需要写完整 CI/CD 集成，重点是一次跑完、结果可读、能定位问题
• 脚本对 FAIL 项必须给出具体修复命令或配置片段（≥3 个）
• 检查清单每项须标注严重等级（Critical / High / Medium / Low）