### ① 组件是什么 CSI（Container Storage Interface）是标准接口，第三方存储厂商写驱动插件，K8s 经统一接口挂卷、扩容、快照，解耦集群与具体存储。 ### ② 语言与 C 库 驱动多为 Go，gRPC 通信 goroutine。底层 `socket`、后端 `mount`。不 fork。 ### ③ 运行机制 CSI 控制器节点插件处理创建/挂载请求，把后端卷挂到节点目录再进 Pod。 ### ④ 常见配置缺陷 - CSI 驱动以高权运行，自身漏洞或被篡改后影响所有卷操作。 - 驱动对接后端的云凭证权限过大。 - 挂载前不校验卷归属。 ### ⑤ 对应攻击链路 CSI 插件是存储层高权常驻点，被利用可操控全局卷。后端凭证过宽接云接管链。 ### ⑥ 对应 C 库 gRPC/`socket`、`mount`、云 API TLS。 ### ⑦ 对应工具 插件服务账号审计、凭证范围核对、挂载归属校验。 【链路推演】高权 CSI 插件被利用 → 操控卷 → 结合云凭证扩权。断点在插件最小权限。 【跨册】插件高权身份见册4/册6。