容器集群为什么会被纳入等保测评范围

随着业务系统大量迁移到容器化环境，Kubernetes 等容器编排平台往往承载着核心业务。按照等保相关要求，承载业务系统的容器集群通常作为定级对象的一部分或独立定级对象接受测评，其访问控制、安全审计、入侵防范、数据完整性等控制点同样需要提供可核查的配置证据。容器环境与传统物理机、虚拟机在资产形态、权限模型和日志来源上差异明显，直接套用主机加固思路容易出现“配了但测不过”的情况。

一、先定边界：定级对象与责任划分

容器集群合规的第一步不是改配置，而是理清边界。托管在云平台上的集群，云服务商与租户在等保要求上属于责任共担关系：云平台一般负责基础设施、物理环境、虚拟化层以及平台自身组件的安全能力，租户则需要负责自身部署的工作负载、命名空间、镜像、密钥与访问策略。测评时通常需要提供责任划分说明或服务协议中的安全条款作为佐证。

• 明确集群属于哪一级定级对象，是否涉及云计算安全扩展要求的适用场景；
• 梳理集群承载的业务系统清单，标注数据敏感级别；
• 记录集群与外部系统的连接关系，包括镜像仓库、CI/CD 流水线、监控与日志平台。

二、访问控制：从 API Server 到命名空间

1. 身份鉴别与统一认证

容器集群的“控制面入口”是 API Server，测评核查通常从这里切入。可采用的方式包括对接企业统一身份源、基于证书或令牌的认证，以及为不同角色签发独立的凭据。需要避免的是多人共用一份管理员 kubeconfig、长期有效的静态令牌、凭据明文写入脚本或镜像等做法。

• 为每位运维与开发人员分配独立身份，禁止账号共享；
• 管理员凭据与业务凭据分离，控制面访问优先通过堡垒机或统一网关；
• 对 kubeconfig、ServiceAccount Token、镜像仓库口令等敏感凭据实施集中管理并定期轮换。

2. 授权与最小权限

Kubernetes 的 RBAC 是访问控制落地的主要抓手。合规配置的关键在于权限粒度与可追溯性，而非简单“给个管理员”。

• 按角色划分 ClusterRole 与 Role，避免默认绑定 cluster-admin；
• ServiceAccount 按工作负载单独创建，仅授予所需的 API 资源与动作；
• 启用准入控制，限制特权容器、宿主机目录挂载、宿主机网络等高风险配置；
• 对权限绑定变更保留审批记录，定期开展权限复核。

3. 网络与运行时访问控制

Pod 之间默认互通的网络模型，需要通过网络策略加以收敛。可在命名空间之间、应用之间设置最小可达规则，并把控制面、管理面与业务面网段隔离。运行时层面，以非 root 用户运行、只读根文件系统、限制能力集、启用安全计算模式或强制访问控制机制，都是测评中常被关注的加固项。

三、日志审计：把审计开关真正打开

1. 控制面审计日志

Kubernetes 提供审计日志能力，需要通过审计策略文件定义记录范围与详细程度。审计级别一般从仅记录事件元数据到记录完整请求体逐级递增，级别越高证据越充分，但对存储与性能的开销也越大。实践中可对敏感资源和高风险动作（如密钥读取、权限绑定变更、工作负载创建）采用较高记录级别，对高频只读操作采用较低级别，在可审计性与开销之间取得平衡。

2. 容器、节点与平台层日志

仅开启控制面审计并不足以覆盖等保对安全审计的要求。测评通常还会关注：

• 容器标准输出与业务应用日志的集中采集；
• 节点操作系统日志、登录日志与关键文件变更记录；
• 镜像仓库的推送、拉取与删除记录；
• CI/CD 流水线的发布与配置变更记录。

3. 日志留存与防篡改

日志需要满足留存期限要求，并防止被未授权修改或删除。《网络安全法》对网络日志留存提出了不少于六个月的要求，等保测评也会核查留存的实现方式，具体以现行法律法规和测评机构要求为准。落地时建议将日志集中传输至独立的日志平台，与业务集群的运维权限分离，设置访问权限、完整性校验与备份策略。

四、测评现场常见的失分点

1. 审计日志未开启或只保留在节点本地，节点回收后日志即丢失，无法提供历史证据；
2. 权限过宽，多个账号共用管理员凭据，RBAC 退化为形式配置；
3. 网络策略缺失，命名空间之间完全互通，访问控制缺乏技术落地；
4. 日志策略与业务不匹配，关键操作未记录，或大量冗余日志淹没审计线索；
5. 配置变更无记录，集群配置调整缺少审批与留痕，无法说明变更可控；
6. 镜像来源不受控，缺少镜像扫描与准入校验环节。

五、可执行的落地路径

• 基线化：将访问控制、审计策略、网络策略、运行时加固要求整理为可版本管理的配置基线；
• 自动化：通过配置管理工具或策略引擎持续校验集群状态，发现偏离及时告警；
• 证据化：把策略文件、审计日志样例、权限清单、变更记录形成常态化归档，避免测评前临时补材料；
• 常态化：将权限复核、日志留存检查、镜像与镜像仓库审计纳入例行运维流程。

容器集群的等保合规本质上不是一次性整改，而是把访问控制与安全审计变成集群运行的一部分。配置能否被核查、日志能否被追溯、权限能否被解释，往往比配置项数量更能决定测评结果。