kube-bench：Kubernetes CIS 加固审计

这个技能解决什么问题

Kubernetes 集群默认配置通常达不到安全基线要求。运维和安全团队做加固审计时，面对的是大量配置项：控制平面组件、节点上的 kubelet 与容器运行时等，都要逐条核对。人工检查既慢又容易遗漏，而且不同版本的基线条目还有差异。

kube-bench 把这件事自动化：它把 CIS Kubernetes Benchmark 的检查项变成可执行的测试，在集群节点和控制平面上逐条运行并输出结果，让「哪些配置不符合 CIS 基线」直接可见。

技能如何工作

• 检查依据：CIS 基准条目，覆盖集群节点和控制平面。
• 两种执行方式：在目标节点上直接使用 kube-bench 二进制，或使用容器镜像 aquasec/kube-bench。
• 主机级依赖：检查项需要读取节点上的配置文件、查看运行中的进程，因此以 Pod 方式运行时需要访问主机的 PID 命名空间和主机上的部分目录。
• 以 Job 运行：技能提供了 job.yaml，可以把测试作为 Kubernetes Job 应用执行，适合在集群内批量跑一次并回收结果。

典型流程是：准备二进制或镜像并取得目标节点或集群上下文 → 直接运行或通过 job.yaml 执行 → 收集每条检查项的通过/失败状态 → 据此定位不符合基线的配置项。

适用边界与注意点

• 定位狭窄：这是加固审计工具，不是通用平台清单工具。它回答「配置是否符合 CIS 基线」，不覆盖资源清单、工作负载画像等场景。
• 权限要求高：Pod 内运行需要挂载主机 PID 命名空间和相关目录，PodSecurity 策略和权限模型要提前规划好。
• 版本对应敏感：CIS 基准版本与 Kubernetes 版本需要对应，版本差异可能让检查结果出现偏差。
• 审计不等于修复：kube-bench 输出的是不符合项清单，改配置和复核仍需要人工完成。