Kubernetes Dashboard 暴露与提权风险

仪表盘组件若以匿名或高权限服务账号运行并暴露在外，等于向可达者开放集群操作界面；历史版本还出现过因镜像与配置问题导致的凭据风险。

收敛要点

1. 不用时删除 Dashboard 部署
2. 必须使用：关闭 skip-login 类匿名入口，走令牌登录
3. 绑定只读或限定命名空间的最小 RBAC 角色
4. 入口加认证与来源限制（Ingress + allowlist），不直接暴露公网
5. 组件版本保持最新稳定版

kubectl get deploy -A | grep -i dashboard
kubectl get clusterrolebinding | grep -i dashboard-admin
# 出现 dashboard-admin 绑定到 ServiceAccount 需要评估必要性

把仪表盘放在内网并配合端口转发（kubectl port-forward）是常用低暴露方案。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌