### ① 组件是什么 云控制器把 K8s 与云厂商 API 对接：管理云负载均衡、节点、卷，把云资源状态同步进集群。它隔离了云厂商差异，是集群与云控制面之间的桥。 ### ② 语言与 C 库 Go 编写，循环 goroutine，经云厂商 SDK 走 HTTPS（底层 socket/TLS），不 fork。 ### ③ 运行机制 监听集群对象，调用云 API 创建/更新 LB、磁盘、节点状态，再回写集群。它持有云凭证。 ### ④ 常见配置缺陷 - 云凭证权限过大（可操作整个云账号而非仅本集群资源）。 - 云 API 调用未限制范围，凭证泄露后影响面到云账号级。 - 凭证落盘或日志泄露。 ### ⑤ 对应攻击链路 云凭证过宽是"集群→云接管"链的桥：集群内拿到该凭证，可经云 API 动云资源，与云元数据 SSRF（第三部分网络、案例域4）衔接。 ### ⑥ 对应 C 库 HTTPS 对应 socket/TLS。凭证读取对应文件 `open`/`read`。 ### ⑦ 对应工具 云权限策略审计、凭证最小范围核对、API 调用日志回看。 【链路推演】云凭证过