| 核查 | 2379/2380 可达性、认证、证书校验 |
|---|---|
| 信号 | 无凭据即可读取键值 |
| 处置 | 仅集群内部访问 + 强制认证与 TLS |
只读检查示例
只读检查示例
curl -s --max-time 3 http://10.0.30.6:2379/version
# 能返回版本即暴露；不执行任何键值读取与写入etcd 数据含密钥与凭据：读操作也应严格限制在授权验证的最小范围内。
etcd 暴露检查
etcd 存有集群全部状态与密钥：核查客户端端口可达性、认证与证书校验配置。
易错点
- 读取键值内容作为证据，触碰凭据红线
- 忽略对等端口 2380 的暴露
数据来源与参考
- etcd 官方文档（安全）
- CIS Kubernetes Benchmark