审计

背景 我负责一套 K8s 1.28.9（containerd 1.7.13，cgroup v2，内核 5.15，约 50 节点）的容器安全加固。业务侧 40+ 微服务，数据库密码、SASL 凭据、第三方 API Key 全部走 K8s Se

背景 我负责一套约 120 个微服务（Java/Go 混合，K8s 1.27 自建集群）的安全加固。过去半年把一批"长期高权限账号"往最小权限收敛：cluster-admin SA 拆成 per-service 的窄 RoleBinding

一、现象：Redis 裸奔 47 秒被打穿，真正的"最后一道门"却是 SSH 先摆一个真实案例。社区里已有完整复盘（温星河-789 那篇）：一台 Ubuntu 22.04 上 "docker run -p 6379:6379 redis:7

先说背景，避免大家理解偏差：我说的"后门"不是指恶意代码，而是指生产环境里为了"万一出事能救急"而临时或长期保留的一些便利入口——比如： - 一个 "ssh" 直连容器/节点的通道（绕过堡垒机）； - 一个 "curl localhost: