| 加固项 | 容器节点安全 |
|---|---|
| 适用平台 | Linux（Kubernetes 节点） |
| 风险等级 | 高 |
| 基线 | 关闭匿名、Webhook 鉴权 |
核查
核查
ss -tlnp | grep ':10250 '
curl -sk --max-time 5 https://127.0.0.1:10250/pods | head -c 200
grep -E 'anonymous-auth|authorization-mode' /var/lib/kubelet/config.yaml 2>/dev/null
grep -E 'anonymous-auth|authorization-mode' /etc/kubernetes/kubelet.conf 2>/dev/null收敛配置
收敛配置
# kubelet config：authentication.anonymous.enabled: false
# authorization.mode: Webhook
# 10250 仅对控制面网段开放（安全组/防火墙限源）“Kubelet 未授权访问”在攻防演练中是必查项：节点层与网络层要同时验证。