在 Kubernetes 集群中，Control Plane 控制 Nodes，Nodes 控制 Pods，Pods 控制容器，容器控制应用程序。但是控制平面的是什么？
Kubernetes 公开了 API，可让您配置整个 Kubernetes 集群管理生命周期。因此，保护对 Kubernetes API 的访问是在考虑 Kubernetes 安全性时要考虑的对安全性最敏感的方面之一。甚至 NSA 最近发布的 Kubernetes 强化指南也建议“使用强身份验证和授权来限制用户和管理员访问以及限制攻击面”作为保护 Kubernetes 集群时要考虑的基本安全措施之一。
这篇文章主要关注关于 Kubernetes 集群中 API 访问控制强化的秘诀和最佳实践。如果你想在你管理的 Kubernetes 集群中实现强认证和授权，这篇文章是给你的。即使您使用 AWS EKS 或 GCP Kubernetes 引擎等托管 Kubernetes 服务，本指南也应该可以帮助您了解访问控制在内部是如何工作的，这将帮助您更好地规划 Kubernetes 的整体安全性。
1. 从架构角度理解 Kubernetes 安全
在我们从安全角度处理 Kubernetes API 访问控制之前，必须了解 Kubernetes 内部是如何工作的。 Kubernetes 本身并不是一个单一的产品。 从架构上讲，它是一组协同工作的程序。 因此，与许多软件或产品不同，您只需考虑单个单元的攻击面，在 Kubernetes 中，您需要考虑所有工具和移动部件的集合。
图片来自 https://kubernetes.io/docs/concepts/security/overview/
此外，如果您参考上图，它显示了 Cloud Native 的经典 4C 安全模型，Cloud Native 安全模型是保护云计算资源（代码、容器、集群和云/托管）的四层方法/datacenter），其中 Kubernetes 本身就是其中的一层（集群）。这些层中的每一层中的安全漏洞和错误配置都可能对另一层构成安全威胁。因此，Kubernetes 的安全性也取决于整个 Cloud Native 组件的安全性。
原文：https://goteleport.com/blog/kubernetes-api-access-security/