### ① 情报卡片 靶场环境 K8S-TARGET-14，Pod 经云厂商 IRSA 机制挂载了一个云角色令牌，该角色权限过宽，攻击者已失陷该 Pod。 ### ② 攻击面判断 IRSA 把云角色按 SA 注入 Pod，本意替代主机元数据凭证。角色过宽则失陷 Pod 直接拿到过大云权限，缺陷在云角色策略，不在集群网络。 ### ③ 第一次试探 读取挂载的身份令牌与允许范围（占位），核对角色权限是否超出业务所需，不调用云写接口。 ### ④ 真假阳性递进校验 排除正常授权：核对角色本职。确认角色含超出职责的云资源读写才判真，区分"业务必需"与"过宽"。 ### ⑤ 完整链路拆解 失陷 Pod 持过宽 IRSA 角色 → 用注入令牌调用云 API（步骤从略）→ 读写云存储/计算资源 → 从集群横向到云账号面。IRSA 本身是正确方向，问题在角色策略放大。 ### ⑥ 底层溯源 云厂商 Webhook 在准入时把带角色声明的令牌注入 Pod，云 API 验签后按角色策略授权。Go/云 SDK 经 TLS socket，非集群内部漏洞。 ### ⑦ 业务伤害定级 过