### ① 组件是什么 Secret 存口令、令牌、密钥、证书等敏感值，以环境变量或卷挂载分发，设计上与 ConfigMap 区分，但默认只是 Base64 编码，不是加密。 ### ② 语言与 C 库 声明对象。落 etcd，分发经 kubelet 文件挂载，Go goroutine。静态加密由 etcd 加密层完成。 ### ③ 运行机制 Secret 存 etcd，Pod 引用后注入。是否落盘加密、是否静态加密取决于集群配置。RBAC 控制谁能读 Secret。 ### ④ 常见配置缺陷 - etcd 未开启静态加密，Secret 在 etcd 里只是可解码的 Base64，直连 etcd 即读出。 - RBAC 把 `get/list/watch secrets` 授予普通或过宽 SA。 - Secret 以环境变量注入易进进程列表/日志，挂载卷未设只读与权限位。 - 默认服务账号自动挂载未关闭。 ### ⑤ 对应攻击链路 RBAC 可读 Secret + etcd 未静态加密，构成"读 Secret→取凭证→提权横向"链：先经 API 或直连 etcd 读出