49、深入探索Kubernetes架构与安全攻防

深入探索Kubernetes架构与安全攻防

1. Kubernetes架构概述

理解Kubernetes架构的全貌有助于分析其潜在弱点。首先要了解控制平面，它是系统运行标准工作负载之外的区域，负责系统后端并组织构成系统的组件。而用户与Kubernetes上的工作负载（如托管的Web应用）交互的平面则称为数据平面。

控制平面由以下容器组件构成：
- API Server ：是系统的核心，对于Kubernetes节点和组件间的通信至关重要。所有组件（包括内部和外部组件）都通过它进行交互，操作人员、管理员以及单个容器都会使用它。
- Etcd ：是一个键值存储，包含控制平面组件的数据库，类似于Unix操作系统中的 /etc 目录，但无需文件。每个通过API Server请求的API交互都可写入Etcd，供其他组件读取和执行。
- kube - scheduler ：调度系统，负责维护容器的运行，确定容器是否应运行、如何运行，并确保操作执行。
- kube - controller - manager ：由一系列控制器组成，每个控制器有特定任务，管理器负责组织它们。
- cloud - controller - manager ：对每个云进行抽象，使Kubernetes能在不同云提供商或本地系统上工作。例如，与EC2中的弹性负载均衡器或Google负载均衡器的交互被抽象到该层。

每个节点上运行的控制平面组件还有：