本文探讨Rook/CSI在Kubernetes多租户环境下的存储安全边界，重点分析信任模型、CSI Secrets的caps权限、PVC加密（RBD LUKS/CephFS fscrypt）、OSD加密带来的双重性能开销、网络fencing的blocklist机制，以及StorageClass作为租户隔离边界。文章强调威胁模型决定加密层级，避免盲目双重加密，并指出快照类也是数据外流通道。

本文探讨Rook/CSI中RBD卷挂载的复杂问题。核心要点：PVC绑定后挂载成功不等于数据安全，因image features与节点内核krbd能力不匹配、read affinity在Tentacle v20.2.0存在损坏风险、节点丢失后未正确fencing会导致双挂。排障时应先检查挂载栈、features、内核、锁和read affinity，而非直接怀疑存储后端。