| 服务 | etcd（client API，gRPC/HTTP） |
|---|---|
| 协议 | TCP（默认 2379；节点间 peer 通信为 2380） |
| 用途 | K8s 集群状态存储、配置与服务发现 |
| 安全等级 | 仅限控制面与受控管理网 |
etcd 默认无认证时可直接读取/删除全部键值，包括 ServiceAccount token 与密钥；这是 K8s 渗透中价值最高的目标。
健康检查（etcdctl v3）
健康检查（etcdctl v3）
ETCDCTL_API=3 etcdctl --endpoints=https://127.0.0.1:2379 --cacert=ca.crt --cert=client.crt --key=client.key endpoint health
ETCDCTL_API=3 etcdctl --endpoints=https://127.0.0.1:2379 member listkubeadm 集群加固关键项（etcd 静态 Pod）
kubeadm 集群加固关键项（etcd 静态 Pod）
--client-cert-auth=true
--peer-client-cert-auth=true
--listen-client-urls=https://127.0.0.1:2379,https://10.0.0.10:2379etcd 未启用 client-cert-auth 等于集群无主；仅监听内网地址并定期做快照备份（etcdctl snapshot save）。