边界测试（授权环境内）
边界测试（授权环境内）
curl -sk -o /dev/null -w '%{http_code}\n' https://NODE_IP:10250/healthz
curl -sk https://NODE_IP:10250/pods | head -c 200
# 期望 401/403 或需凭据；能返回数据说明认证/授权不足收敛要点
收敛要点
1. kubelet 参数：--anonymous-auth=false，--authorization-mode=Webhook，--read-only-port=0
2. 10250 仅允许控制面与运维网段访问（云安全组/网络策略）
3. 启用证书轮换（rotateCertificates）
4. 关注版本公告中 kubelet 相关安全修复并跟随升级节点端口通常在集群内部署横向可达：把 10250 收敛到控制面，可显著减少节点间越权面。