Kubernetes节点安全维护与升级需遵循“先保稳、再更新、全程可控”原则，通过节点隔离、安全加固、版本验证和回滚能力四步推进，涵盖禁用非必要服务、最小化防火墙规则、定期系统更新、强化kubelet配置、滚动灰度升级、API兼容性预检、镜像安全扫描、Pod安全上下文校验、网络策略验证及etcd快照备份等关键措施。
Kubernetes 集群节点的安全维护与升级，核心是“先保稳、再更新、全程可控”。不能直接重启或重装，必须结合节点隔离、安全加固、版本验证和回滚能力四步推进。
节点安全维护：从系统层到运行时
节点不是裸机，而是承载 Pod 的可信执行边界。维护首先要切断攻击面：
- 禁用非必要服务：如 firewalld、NetworkManager、rsyslog 等与容器调度无关的服务应 systemctl disable 停用，减少潜在漏洞入口；
- 最小化防火墙规则：只放行 Kubernetes 必需端口（6443 控制面、2379–2380 etcd、10250 kubelet API），其余一律 DROP；
- 定期系统更新：apt update && apt upgrade -y（Debian/Ubuntu）或 yum update -y（RHEL/CentOS），尤其关注内核与容器运行时（containerd/runc）安全补丁；
- 强化 kubelet 配置：启用 --read-only-port=0、--protect-kernel-defaults=true，并绑定监听地址为 127.0.0.1，避免未授权访问。
节点升级：滚动式、可逆、带验证
升级 kubelet 和底层组件时，必须避免业务中断。推荐按单节点灰度推进：
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
- 标记不可调度：kubectl cordon node-1，阻止新 Pod 调度到该节点；
- 优雅排空：kubectl drain node-1 --ignore-daemonsets --delete-emptydir-data，等待应用 Pod 正常终止并迁移；
- 升级组件：安装指定版本 kubelet、kubeadm、kubectl（如 apt install -y kubelet=1.28.2-00），确保与控制平面版本兼容；
- 重启并验证：systemctl restart kubelet，检查状态（systemctl status kubelet）、日志（journalctl -u kubelet -n 100）及节点就绪（kubectl get node node-1）；
- 恢复调度：kubectl uncordon node-1，观察 Pod 是否正常重建、服务是否连通。
升级前后的关键检查项
一次安全的节点升级，离不开前置扫描和后置验证：
- API 兼容性预检：运行 kubectl get deployments --all-namespaces -o yaml | grep -E 'apiVersion.*v1beta1'，提前发现即将失效的旧版资源定义；
- 镜像安全基线：确保节点上运行的容器镜像来自可信仓库（如 gcr.io/distroless），且已通过 Trivy 或 Clair 扫描无高危漏洞；
- Pod 安全上下文校验：确认关键工作负载设置了 runAsNonRoot: true、readOnlyRootFilesystem: true、seccompProfile 等限制；
- 网络策略生效确认：部署 deny-all NetworkPolicy 后，验证跨命名空间通信是否被正确阻断，防止升级后策略失效导致越权访问。
故障兜底：备份与快速回退
即便流程严谨，也要为异常留退路：
- etcd 快照备份：升级前执行 ETCDCTL_API=3 etcdctl snapshot save /backup/etcd-$(date +%s).db --endpoints=...，保留集群状态快照；
- 节点配置归档：备份 /var/lib/kubelet/config.yaml、/etc/systemd/system/kubelet.service.d/10-kubeadm.conf 等关键文件；
- 版本回退预案：若新 kubelet 启动失败，可快速降级（apt install -y kubelet=1.28.1-00）并重启，无需重装系统。
