深入解析 Kubernetes API：非标准 Pod 与容器监控局限与安全实践

一. 引言

随着 Kubernetes 的普及率持续上升，它在持续集成（CI）和持续交付（CD）管道中展现了显著优势，例如更快的构建与部署速度。根据 云原生计算基金会（CNCF） 数据，96% 的组织正在使用或计划使用 Kubernetes。2022 年第三季度主要云提供商收入增长 20%，进一步证明了其采用率持续上升。

然而，随着 Pod 和容器在企业生态系统中广泛应用，开发团队与安全团队需关注 Kubernetes API 在监控和列出特定类型 Pod 与容器时的局限性。这些限制可能源于设计考量、控制平面配置，或对相关细节的了解不足。同时，攻击者可能利用这些局限实施未经授权访问、权限提升或其他恶意行为，规避检测。

二. 标准 Pod 的特性与局限性

在 Kubernetes 中，Pod 是封装一个或多个容器的逻辑单元，也是 Kubernetes 可直接管理的最小对象。Pod 可通过 Kubernetes API 创建和定义，通常使用 kubectl get pods 或 kubectl describe pod < name > 命令查询状态。

Pod 中的容器基于镜像定义，即使两个 Pod 使用相同镜像，其资源配置、文件系统挂载及权限设置等属性仍可能不同。

尽管标准 Pod 是 Kubernetes API 核心管理对象，但并非所有 Pod 都由 API 管理。下面将探讨一些非标准 Pod 类型及其特性。

三. 静态 Pod

静态 Pod 由 kubelet 而非 Kubernetes API 管理，通常用于引导控制平面及其内部服务（如 API 服务器）。由于其管理方式特殊，静态 Pod 无法引用其他 Kubernetes 对象（如 Secret、ConfigMap 或 ServiceAccount）。

1. 创建静态 Pod

要创建静态 Pod，可通过配置 kubelet 接收静态 Pod 清单：

• 在 kubelet 配置文件中指定 staticPodPath 或 staticPodURL
• 使用命令行参数 --pod-manifest-path 或 --manifest-url

例如，在 GKE 中，默认 kubelet 配置文件路径为 /home/kubernetes/kubelet-config.yaml，其监控的静态 Pod 清单路径为 /etc/kubernetes/manifests。

2. 静态 Pod 的发现

由于 Kubernetes API 不直接管理静态 Pod，因此无法通过 API 查询其状态。kubelet 可通过创建 镜像 Pod（Mirror Pod） 将静态 Pod 信息报告给控制平面。

四. 镜像 Pod

镜像 Pod 由 kubelet 生成，用于在控制平面上表示静态 Pod。启用镜像 Pod 需配置 kubelet 并授权其在控制平面创建对象。然而，控制面设置可能未启用镜像 Pod，导致依赖 API 的监控工具无法发现这些 Pod。

1. 安全隐患

静态 Pod 由 kubelet 管理，如果攻击者获取节点访问权限，可能通过修改静态 Pod 清单路径或 URL 创建特权 Pod，从而实现主机逃逸。此外，攻击者还可能利用静态 Pod 实现隐蔽的持久化，添加恶意容器而不被 API 直接监控。

五. 初始化容器（Init Container）

Init 容器 在主应用容器启动前执行初始化任务，例如下载配置文件、准备数据库或延迟启动应用容器。Init 容器的资源请求和限制独立设置，与标准容器不同。

1. 创建与发现 Init 容器

Init 容器通过 Pod 规范中的 spec.initContainers 字段定义，其状态可通过 Pod 的状态字段查看。尽管 Init 容器常被忽视，但其在 Pod 引导阶段的重要性使其成为潜在攻击目标。

六. Pod Infra 容器（暂停容器）

Pod Infra 容器（Pause Container） 是 Kubernetes 中的占位容器，用于为 Pod 分配系统资源（如 cgroups 和命名空间）。该容器由 kubelet 管理，API 无法直接感知其存在。

1. 安全风险

由于 API 无法监控暂停容器，攻击者可能替换镜像以实现隐蔽持久化。例如，修改 kubelet 配置文件中的 podInfraContainerImage 参数，替换为恶意镜像。

七. 短暂容器（Ephemeral Container）

短暂容器 主要用于调试，可动态添加到运行中的 Pod。尽管短暂容器没有明确的资源保证，但其灵活性使其成为调试和分析工具。

1. 创建与发现短暂容器

通过 kubectl debug 命令创建短暂容器，并在 Pod 规范中通过 spec.ephemeralContainers 字段识别。

八. 总结

本文介绍了 Kubernetes 中的多种 Pod 和容器类型，包括：

• 标准 Pod
• 静态 Pod
• 镜像 Pod
• 初始化容器（Init Container）
• 暂停容器（Pause Container）
• 短暂容器（Ephemeral Container）

分析了 Kubernetes API 在监控这些对象时的局限性，并指出潜在的安全风险。

尽管 Kubernetes API 是强大的监控工具，但其局限性表明需要结合其他监控方案（如工作负载运行时代理、节点级监控工具）以全面保护 Kubernetes 环境。

对开发和安全团队而言，理解非标准 Pod 和容器特性及其潜在风险，对于提升 Kubernetes 环境安全性至关重要。

原文链接: https://www.wiz.io/blog/kubernetes-api-limitations-in-finding-non-standard-pods-and-containers