### ① 组件是什么 Deployment 管理无状态应用的副本数与滚动更新，底层控制 ReplicaSet，保证指定数量 Pod 始终运行，发布时逐个替换。 ### ② 语言与 C 库 控制器为 Go，reconcile 循环 goroutine，经 API Server socket/TLS 通信，不 fork。 ### ③ 运行机制 声明副本数与模板，Controller Manager 调 ReplicaSet 维持 Pod 数量，滚动更新按策略新建旧毁。 ### ④ 常见配置缺陷 - Deployment 模板里夹带特权/宿主挂载（缺陷随副本扩散到每个 Pod）。 - 服务账号绑定过宽，所有副本共享高权身份。 - 镜像来源不可信，无签名校验。 ### ⑤ 对应攻击链路 模板缺陷会被复制到全部副本，一处配错形成成片弱点。结合高权 SA，每个副本都是潜在横向立足点。 ### ⑥ 对应 C 库 仅 API 网络 socket/TLS。 ### ⑦ 对应工具 清单审计模板安全字段、RBAC 审计副本 SA。 【链路推演】模板带特权+高权 SA → 任一副