基于 kube-bench 的 Kubernetes 主机 CIS 合规检查

解决什么问题

在审计、升级或加固冲刺开始前，最大的风险往往不是“没有做检查”，而是“用错误的假设去改生产环境”：节点和控制平面是否符合 CIS guidance、哪些项只是默认值、哪些项因为部署方式不同而需要保留，通常散落在 kubelet、API Server、etcd 等组件的参数里。这个技能把 kube-bench 用作审计前置的快速验证：先跑一次基准驱动的姿态检查，再把异常项带进正式 audit 或 hardening 计划。

技能如何工作

核心能力是 按 CIS guidance 对 Kubernetes 主机做基准检查，覆盖节点和控制平面，而不是只检查集群 API 对象。关键步骤是：确认环境具备 kube-bench 二进制或容器镜像；拿到与目标环境匹配的基准配置文件；在节点或集群上下文执行检查；阅读测试结果，区分失败、警告和不适用项；把需要处理的配置项整理成审计或加固 backlog。

适用边界

它适合 审计前预检、升级前姿态确认、加固冲刺范围收敛，能先发现明显的配置偏差。但它不是配置管理或持续合规平台，也不会自动修复问题。结果依赖 目标环境匹配的基准配置，以及你是否真的能访问节点、相关进程和目录；以 Job 方式运行时，Pod 需要访问主机 PID 命名空间和主机上的部分目录，否则部分检查可能无法完成。