### ① 组件是什么 kubeconfig 是一份访问配置：API 地址、证书/令牌、当前上下文（哪个用户、哪个命名空间），客户端（kubectl 等）据此认证。它是人与运维工具进入集群的凭证包。 ### ② 语言与 C 库 配置文件，由客户端读取。TLS 凭证经 `open`/`read` 加载，Go/客户端 goroutine，不 fork。 ### ③ 运行机制 客户端解析 kubeconfig 拿到端点与身份，向 API Server 发起带证书/令牌的请求，过认证授权。 ### ④ 常见配置缺陷 - kubeconfig 落盘权限过宽、进代码仓库或日志泄露（本册一律占位，不提供真实 kubeconfig）。 - 内含高权证书却长期不轮换。 - 上下文权限过大，单人凭证等同管理员。 - 分发到不需要的人员与 CI 环境。 ### ⑤ 对应攻击链路 泄露的高权 kubeconfig 是直接入场券：拿到即凭其身份经 API Server 动作，跳过容器内提权过程，属于初始凭证泄露环。 ### ⑥ 对应 C 库 证书/令牌文件 `open`/`read`。TL