etcd 未授权访问风险

etcd 存放 Kubernetes 全部集群状态与密钥（Secret 亦在其中），客户端端口默认 2379；未启用认证时可被直接读写键空间，风险等级与集群控制面等同。

加固要点

1. 仅监听集群内部管理网地址
2. 启用客户端证书认证（mTLS），拒绝无证书连接
3. 对备份文件加密存储并限制访问
4. 审计 2379 的来源，收敛到控制面网段

ss -ltnp | grep 2379
# 无证书直连自检（授权范围内）：
ETCDCTL_API=3 etcdctl --endpoints=https://<ip>:2379 endpoint health
# 预期因证书校验失败而被拒绝

etcd 快照包含 Secret 明文内容，备份文件泄漏与端口暴露同级严重。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌