Kubernetes Blog
·
Kubernetes v1.36：细粒度Kubelet API授权功能正式发布
内容提要
Kubernetes v1.36正式推出细粒度kubelet API授权功能，增强了对kubelet HTTPS API的访问控制，替代了过于宽泛的节点/代理权限。此功能通过细化权限，降低了监控工具等工作负载执行任意命令的能力，从而提升了安全性。
关键要点
-
Kubernetes v1.36正式推出细粒度kubelet API授权功能，增强了对kubelet HTTPS API的访问控制。
-
该功能取代了过于宽泛的节点/代理权限，提供更精确的最小权限访问控制。
-
细粒度授权降低了监控工具等工作负载执行任意命令的能力，从而提升了安全性。
-
在此之前，kubelet授权使用粗粒度模型，几乎所有API路径都映射到单一的节点/代理子资源。
-
细粒度授权通过在请求前进行额外的授权检查，确保了向后兼容性。
-
新授权模型允许监控代理仅访问所需的资源，而不具备执行容器内命令的权限。
-
Kubernetes社区建议逐步迁移到使用细粒度子资源，而非节点/代理，以提高安全性。
延伸解读
细粒度授权的安全性提升
Kubernetes v1.36引入的细粒度kubelet API授权功能，显著提升了安全性。通过精确控制访问权限，监控工具等工作负载不再拥有执行任意命令的能力，从而降低了潜在的安全风险。这一变化对于保护集群免受攻击至关重要，尤其是在多租户环境中。
向后兼容性与迁移建议
新授权模型在设计时考虑了向后兼容性，确保现有工作负载可以继续运行。这意味着用户可以逐步迁移到细粒度授权，而不必一次性重构所有权限设置。建议用户在新部署时优先使用细粒度子资源，以便从一开始就遵循最小权限原则。
监控工具的权限管理
细粒度授权允许监控工具仅访问所需的资源，避免了过度授权的问题。用户应关注如何配置RBAC角色，以确保监控代理只具备读取必要数据的权限，而不具备执行命令的能力。这种精细化的权限管理有助于减少安全事件的影响范围。
延伸问答
Kubernetes v1.36中细粒度kubelet API授权功能的主要作用是什么？
该功能增强了对kubelet HTTPS API的访问控制，提供更精确的最小权限访问，提升了安全性。
细粒度授权如何提高Kubernetes的安全性？
细粒度授权降低了监控工具等工作负载执行任意命令的能力，从而减少了安全风险。
在Kubernetes v1.36之前，kubelet的授权模型是怎样的？
之前使用粗粒度模型，几乎所有API路径都映射到单一的节点/代理子资源，权限过于宽泛。
如何迁移到细粒度kubelet API授权？
建议逐步迁移到使用细粒度子资源，而非节点/代理，以提高安全性。
细粒度授权如何影响监控工具的权限？
监控工具现在可以仅访问所需的资源，而不具备执行容器内命令的权限，遵循最小权限原则。
Kubernetes社区对细粒度授权的未来有什么期望？
社区期望逐步推荐并最终强制使用细粒度子资源，以提高监控和可观察性工作负载的安全性。
