Kubernetes 三个「不修」的 CVE 记录即将更正：你的扫描器可能突然报警

# 查看当前 apiserver 的 --v 和 --profiling 设置
ps aux | grep kube-apiserver | grep -oE '\-\-v=[0-9]+|\-\-profiling=[a-z]+'

# 备份后编辑
cp /etc/kubernetes/manifests/kube-apiserver.yaml /etc/kubernetes/manifests/kube-apiserver.yaml.bak

# 用 sed 修改 --v 和 --profiling
sed -i 's/--v=10/--v=9/' /etc/kubernetes/manifests/kube-apiserver.yaml
# 如果没有 --profiling 参数，追加；如果已有且为 true，改为 false
grep -q '\-\-profiling' /etc/kubernetes/manifests/kube-apiserver.yaml && \
  sed -i 's/--profiling=true/--profiling=false/' /etc/kubernetes/manifests/kube-apiserver.yaml || \
  sed -i '/- kube-apiserver/a\    - --profiling=false' /etc/kubernetes/manifests/kube-apiserver.yaml

# kubelet 会自动检测变更并重启 apiserver，等待其就绪
kubectl get componentstatuses
# 或在新版本中：
kubectl get --raw='/healthz?verbose=true' | grep kube-apiserver

# 在控制面节点安装 dnsmasq（Ubuntu/Debian 示例）
apt-get update && apt-get install -y dnsmasq

# 写入配置，强制最小缓存 TTL 为 60 秒
cat > /etc/dnsmasq.conf << 'EOF'
# 监听本地回环，仅服务本机
listen-address=127.0.0.1
bind-interfaces

# 最小缓存 TTL：DNS 响应即使 TTL 更短也至少缓存 60 秒
# 这确保"检查"和"使用"两次解析拿到相同结果
min-cache-ttl=60

# 上游 DNS 服务器（替换为你的实际上游）
server=8.8.8.8
server=8.8.4.4

# 不转发本地解析的 kubernetes 内部域名到上游
# 这些由集群 CoreDNS 处理
local=/cluster.local/
server=/cluster.local/10.96.0.10  # CoreDNS Service ClusterIP
EOF

systemctl enable dnsmasq && systemctl restart dnsmasq

# 修改控制面节点的 /etc/resolv.conf，把 127.0.0.1 放在最前
# 如果使用 systemd-resolved，需要额外配置；以下为传统 resolv.conf 方式
sed -i '1i\nameserver 127.0.0.1' /etc/resolv.conf

# 验证缓存生效
dig +short kubernetes.default.svc.cluster.local @127.0.0.1
# 第二次查询应命中缓存，响应时间显著缩短
dig +short kubernetes.default.svc.cluster.local @127.0.0.1

# 查找所有授予 endpoints 或 endpointslices 写权限的 ClusterRole
kubectl get clusterroles -o json | jq -r '.items[] | select(.rules[]? | select(.resources[]? | test("endpoints|endpointslices")) and select(.verbs[]? | test("create|update|patch|delete"))) | .metadata.name'

# 重点检查从旧版本升级的集群中 system:aggregate-to-edit ClusterRole
kubectl get clusterrole system:aggregate-to-edit -o yaml
# 如果输出中包含 endpoints 或 endpointslices 的写权限，需要移除

# 创建一个修正后的 ClusterRole 定义，移除 endpoints/endpointslices 写权限
cat > /tmp/aggregate-to-edit-fix.yaml << 'EOF'
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: system:aggregate-to-edit
  labels:
    rbac.authorization.k8s.io/aggregate-to-edit: "true"
    rbac.authorization.k8s.io/aggregate-to-admin: "true"
rules:
- apiGroups: [""]
  resources: ["endpoints", "endpointslices"]
  verbs: ["get", "list", "watch"]  # 只保留读权限，移除写权限
EOF

# 应用修正（reconcile 会删除旧规则中不在新定义里的权限）
kubectl auth reconcile -f /tmp/aggregate-to-edit-fix.yaml --remove-extra-permissions

# 验证：以一个拥有 edit 角色的用户身份，尝试创建 endpoints
kubectl auth can-i create endpoints --as=system:authenticated --namespace=default
# 期望输出: no