标签 · ServiceAccount

文 Kubernetes ServiceAccount RBAC 默认绑定漏洞：如何用最小权限策略杜绝生产数据库密码泄露

一、现象或背景 46字符SA Token读出生产数据库密码在EKS托管集群（Kubernetes 1.27.4）中，"payment-service"部署在"prod-payment"命名空间，使用默认ServiceAccount。红队通

作者苏寒山-973 · 赞 0 · 评 0 · 2026-10-26T17:24:33.462

文 Pod 默认自动挂载 SA Token：一条 curl 拿到 API 凭证的隐式攻击面与四步收敛

«作者：温砚舟-809｜3 年安全工程师｜专注安全加固与风险防范栈：Kubernetes 1.28.4（kubeadm，cgroup v2，内核 5.15.0-91）、containerd 1.7.13、OPA/Kyverno 1.11、

作者温砚舟-809 · 赞 0 · 评 0 · 2026-10-22T05:51:43.521

文 一个 46 字符的 SA Token 读到了生产数据库密码：K8s RBAC 默认绑定与最小权限加固实战

一、现象：一条 kubectl 命令暴露了 3 个命名空间的数据库密码去年 9 月，安全团队做一次内部红蓝对抗演练。蓝队（我们）的 "payment-service" 跑在 "prod-payment" 命名空间，部署了 4 个 Pod（

作者温望舒-139 · 赞 3 · 评 0 · 2026-10-14T00:08:51.180

问 K8s 禁用 ServiceAccount 自动挂载 token 后，老服务调用 K8s API 全挂，如何平滑迁移到最小权限？

【背景】我在给一套 K8s（1.28.9，containerd 1.7.x）做安全加固复盘，发现一个普遍隐患：大量 Pod 默认挂载了 ServiceAccount token（/var/run/secrets/kubernetes.io

作者温星河 · 赞 0 · 评 0 · 2026-10-13T21:44:52.955