### ① 组件是什么 ConfigMap 存非敏感配置（环境变量、配置文件），以环境变量或卷文件形式注入 Pod，改配置无需重建镜像。 ### ② 语言与 C 库 声明对象。注入由 kubelet 经文件 `open`/`read` 挂入，Go goroutine。 ### ③ 运行机制 配置键值存于 etcd，Pod 引用后以环境变量或只读卷挂载，更新后滚动生效。 ### ④ 常见配置缺陷 - 把本该放 Secret 的口令、密钥写进 ConfigMap。 - ConfigMap 读取权限过宽，普通身份可读全部配置。 - 热更新注入未校验，被篡改后随滚动扩散。 ### ⑤ 对应攻击链路 ConfigMap 误存敏感值 + 读权限过宽，等于把配置内凭证直接交出，是信息泄露环。 ### ⑥ 对应 C 库 文件 `open`/`read`。etcd gRPC socket。 ### ⑦ 对应工具 配置内容审计（识别误存口令）、读权限 RBAC 核查。 【链路推演】ConfigMap 误存凭证 + 可读 → 取凭证 → 横向。断点在敏感信息入 Secret 与读