当前位置：首页 > news >正文

限制对 etcd 的访问范围是确保 Kubernetes 集群安全的一个重要环节。

news 来源：原创 2025/7/15 3:49:52

限制对 etcd 的访问范围是确保 Kubernetes 集群安全的一个重要环节。通常，etcd 只应当对 Kubernetes 控制平面的组件（如 API Server、Controller Manager、Scheduler 等）以及某些维护工具（如备份工具）开放访问权限，外部系统和未经授权的用户不应直接访问 etcd。

要实现这一点，您可以通过以下几种方法来控制和限制 etcd 的网络访问：

1. 通过防火墙规则限制访问

防火墙规则可以帮助限制哪些 IP 地址可以访问 etcd 服务。etcd 通常使用 2379（客户端 API）和 2380（集群内部通信）端口进行通信。为了确保只有 Kubernetes 控制平面组件可以访问 etcd，你可以配置防火墙规则来只允许这些组件的 IP 地址访问这两个端口。

在 Linux 系统上使用 `iptables` 配置防火墙规则：

假设你的 Kubernetes 控制平面组件的 IP 地址为 192.168.1.10，你可以配置防火墙规则，允许只有该 IP 地址访问 etcd：

# 允许控制平面节点的访问
sudo iptables -A INPUT -p tcp -s 192.168.1.10 --dport 2379 -j ACCEPT
sudo iptables -A INPUT -p tcp -s 192.168.1.10 --dport 2380 -j ACCEPT# 拒绝其他所有 IP 地址的访问
sudo iptables -A INPUT -p tcp --dport 2379 -j REJECT
sudo iptables -A INPUT -p tcp --dport 2380 -j REJECT

这将确保只有 192.168.1.10 能够访问 etcd 的客户端端口（2379）和集群通信端口（2380）。同样，如果你的控制平面节点有多个 IP 地址，确保将这些 IP 地址添加到规则中。

如果你使用的是 firewalld（在一些 Linux 发行版中较为常见），可以用以下命令：

# 允许控制平面节点的访问
sudo firewall-cmd --zone=public --add-source=192.168.1.10 --permanent
sudo firewall-cmd --zone=public --add-port=2379/tcp --permanent
sudo firewall-cmd --zone=public --add-port=2380/tcp --permanent# 拒绝其他所有访问
sudo firewall-cmd --zone=public --remove-port=2379/tcp --permanent
sudo firewall-cmd --zone=public --remove-port=2380/tcp --permanent# 重新加载防火墙规则
sudo firewall-cmd --reload

通过云提供商的安全组限制访问（如 AWS、GCP、Azure）：

如果你的 Kubernetes 集群托管在云环境中，可以使用云提供商的安全组或网络ACL来限制对 etcd 的访问。例如：

AWS：使用 Security Groups（安全组）来限制哪些 EC2 实例（通常是 Kubernetes 控制平面节点）可以访问 etcd 端口。你可以创建一个安全组，只允许 Kubernetes 控制平面节点的 IP 地址访问 etcd。
GCP：使用 VPC 网络和防火墙规则来控制对 etcd 端口的访问。你可以创建防火墙规则，只允许控制平面节点的内部 IP 地址访问 etcd 端口。
Azure：使用 Network Security Groups (NSG) 来限制对 etcd 端口的访问。只允许 Kubernetes 控制平面节点的 IP 地址访问这些端口。

2. 通过 `etcd` 配置限制访问

etcd 本身也提供了一些配置选项，可以进一步限制访问。特别是在 Kubernetes 的控制平面中，可以使用以下配置来增强安全性：

启用认证和授权：确保 etcd 启用了客户端认证。你可以配置 etcd 使用证书认证，并仅允许持有有效证书的客户端（如 Kubernetes 控制平面组件）访问 etcd。

你可以通过 --cert-file 和 --key-file 参数为 etcd 配置 TLS 加密，并使用 --client-cert-auth 启用客户端证书认证：

bash
```
--cert-file=/path/to/etcd-server.crt
--key-file=/path/to/etcd-server.key
--client-cert-auth=true
--trusted-ca-file=/path/to/ca.crt
```
启用强身份验证：除了证书认证外，etcd 还支持启用更强的认证机制（例如，基于 API 密钥的认证）。你可以在 etcd 配置中启用身份验证，只有通过身份验证的客户端才能访问 etcd。

3. 网络隔离和私有网络

如果 etcd 运行在一个单独的网络（例如，内部 VPC 或子网）中，可以通过网络隔离来进一步限制对 etcd 的访问。

私有网络：将 etcd 节点放置在一个与 Kubernetes 工作负载节点分开的私有网络中，并仅允许控制平面节点访问。通过这种方式，外部流量无法直接访问 etcd。
网络划分：通过创建多个 VPC 或子网并使用防火墙规则（如前述方法）限制哪些子网和 IP 地址能够访问 etcd。

4. 使用 Kubernetes RBAC 管理访问权限

虽然这不是直接控制 etcd 网络访问的一部分，但 Kubernetes 的 RBAC（基于角色的访问控制）可以控制哪些用户、服务帐户、角色有权访问 Kubernetes API 和 etcd 数据。例如，你可以创建一个特定角色，只允许 Kubernetes 控制平面组件的服务帐户访问敏感的 Kubernetes 配置，而非所有用户。

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:namespace: defaultname: etcd-access-role
rules:- apiGroups: [""]resources: ["configmaps", "secrets"]verbs: ["get", "list"]

此角色仅授予对特定资源的访问权限，可以进一步细化权限。

5. 监控和审计访问日志

最后，实施严格的监控和审计机制非常重要。您可以启用 etcd 的访问日志记录，并将其与日志聚合工具（如 ELK Stack、Prometheus、Grafana 等）结合使用，以便及时发现未授权的访问尝试。

总结：通过防火墙规则、etcd 配置、私有网络隔离和严格的身份验证机制，您可以有效地限制和保护 etcd 免受未经授权的访问。这些步骤结合起来，能够确保 Kubernetes 集群的安全性。

限制对 etcd 的访问范围是确保 Kubernetes 集群安全的一个重要环节。

限制对 etcd 的访问范围是确保 Kubernetes 集群安全的一个重要环节。通常，etcd 只应当对 Kubernetes 控制平面的组件（如 API Server、Controller Manager、Scheduler 等）以及某些维护工具（如备份工具）开放访问权限&…...

编程日记 2025/7/15 3:49:52

shell脚本基础学习_总结篇（完结）

细致观看可以，访问shell脚本学习专栏，对应章节会有配图https://blog.csdn.net/2201_75446043/category_12833287.html?spm1001.2014.3001.5482 导语一、shell脚本简介 1. 定义： 2. 主要特点： 3. shell脚本的基本结构 4. S…...

编程日记 2025/7/14 16:30:32

Linux之网络基础

网络发展网络的发展可以从人与人之间的工作模式开始谈起, 人与人的工作模式反应了机器与机器的工作模式: 1. 独立模式: 在网络发展的早期计算机间处于独立模式, 计算机之间相互独立最开始计算机之间是独立运行的, 数据之间的交互需要人用软盘等存储介质拷贝过去, 一般涉及…...

编程日记 2025/7/15 2:00:21

《Vue零基础入门教程》第十课：属性绑定指令

往期内容《Vue零基础入门教程》第一课：Vue简介《Vue零基础入门教程》第二课：搭建开发环境《Vue零基础入门教程》第三课：起步案例《Vue零基础入门教程》第四课：应用实例《Vue零基础入门教程》第五课：挂载《…...

编程日记 2025/7/15 2:51:21

RabbitMQ 安装延迟队列插件 rabbitmq_delayed_message_exchange

前言： RabbitMQ 延迟队列插件（rabbitmq_delayed_message_exchange）是一个社区开发的插件，它为 RabbitMQ 添加了支持延迟消息的功能。通过这个插件，用户可以创建一种特殊的交换机类型 x-delayed-message，该…...

编程日记 2025/7/15 3:00:07

MATLAB中Simulink的基础知识

Simulink是MATLAB中的一种可视化仿真工具， 是一种基于MATLAB的框图设计环境，是实现动态系统建模、仿真和分析的一个软件包，被广泛应用于线性系统、非线性系统、数字控制及数字信号处理的建模和仿真中。 Simulink提供一个动态系统建模、仿真和…...

编程日记 2025/7/15 3:11:58

Swift——单例模式

单例是软件设计常用的一种模式，它的核心结构中只有一个被称为单例的特殊类，通过单例模式可以保证应用该模式的类只有一个实例化对象，其作用就是能够使类中的一个对象成为系统中的唯一实例。单例的特点： 某个类只有一个实例化对象…...

编程日记 2025/7/15 2:56:10

百度智能云千帆大模型平台引领企业创新增长

本文整理自百度世界大会 2024——「智能跃迁产业加速」论坛的同名演讲。更多大会演讲内容，请访问： https://baiduworld.baidu.com 首先，跟大家分享一张图，这个是我们目前大模型应用落地的场景分布。可以看到，大模型…...

编程日记 2025/7/15 3:21:57

scala统计词频

目标：统计词频 （1）从文件1.tst，读入内容，保存在一个字符串中。 （2）统计字符串中，每个单词出现的频率 （3）对结果进行排序 （4）把最后…...

编程日记 2025/7/15 2:38:11

CTF之密码学（费纳姆密码）

一、作为二进制替换密码的费纳姆密码定义：费纳姆密码是一种由二进制产生的替换密码，也被称为弗纳姆密码（Vernam cipher）。它采用二进制表示法，将明文转化为二进制数字，并通过与密钥进行模2加法运算来产生密…...

编程日记 2025/7/14 23:17:55

1.按照日 SELECT a.time,COALESCE(b.counts,0) as counts from ( SELECT to_char ( b, YYYY-MM-DD ) AS time FROM generate_series ( to_timestamp ( 2024-06-01, YYYY-MM-DD hh24:mi:ss ), to_timestamp ( 2024-06-30, YYYY-MM-DD hh24:mi:ss ), 1 days ) AS b GROUP BY tim…...

编程日记 2025/7/15 3:16:07

Python 网络爬虫进阶：动态网页爬取与反爬机制应对

在上一篇文章中，我们学习了如何使用 Python 构建一个基本的网络爬虫。然而，在实际应用中，许多网站使用动态内容加载或实现反爬机制来阻止未经授权的抓取。因此，本篇文章将深入探讨以下进阶主题： 如何处理动态加载的网…...

编程日记 2025/7/15 2:35:10

YOLOv11融合PIDNet中的PagFM模块及相关改进思路

YOLOv11v10v8使用教程： YOLOv11入门到入土使用教程 YOLOv11改进汇总贴：YOLOv11及自研模型更新汇总《PIDNet: A Real-time Semantic Segmentation Network Inspired by PID Controllers》一、模块介绍论文链接：https://arxiv.org/pdf/2…...

编程日记 2025/7/15 1:47:15

使用Python实现自动化邮件通知：当长时程序运行结束时

使用Python实现自动化邮件通知：当长时程序运行结束时前提声明本代码仅供学习和研究使用，不得用于商业用途。请确保在合法合规的前提下使用本代码。目录引言项目背景项目设置代码分析导入所需模块定义邮件发送函数发送邮件实现步骤结语全部代码…...

编程日记 2025/7/15 2:30:30

smb cifs samba smbpasswd 笔记241127

smb cifs samba smbpasswd 笔记241127 SMB、CIFS和Samba都是与文件共享相关的技术，它们在不同的层面上发挥着作用。以下是关于SMB、CIFS和Samba的详细解释： SMB（Server Message Block） 定义：SMB（Server …...

编程日记 2025/7/15 2:45:04

Spring MVC练习(前后端分离开发实例)

White graces：个人主页 🙉专栏推荐:Java入门知识🙉 🐹今日诗词:二十五弦弹夜月，不胜清怨却飞来🐹 ⛳️点赞 ☀️收藏⭐️关注💬卑微小博主🙏 ⛳️点赞 ☀️收藏⭐️关注&#x1f4…...

编程日记 2025/7/14 16:41:44

使用 pycharm 新建不使用 python 虚拟环境( venv、conda )的工程

有时候我们发现一个好玩的 demo，想赶快在电脑上 pip install 一下跑起来，发现因为 python 的 venv、conda 环境还挺费劲的，因为随着时间的发展，之前记得很清楚的 venv、conda 的用法，不经常使用，半天跑不起…...

编程日记 2025/7/15 3:25:57

英语知识网站开发：Spring Boot框架应用

3系统分析 3.1可行性分析通过对本英语知识应用网站实行的目的初步调查和分析，提出可行性方案并对其一一进行论证。我们在这里主要从技术可行性、经济可行性、操作可行性等方面进行分析。 3.1.1技术可行性本英语知识应用网站采用SSM框架，JAVA作为开发语…...

编程日记 2025/7/15 2:19:37

Pandas 数据读取与导出

Pandas 是一个强大的 Python 库，用于数据处理和分析。它提供了许多函数来读取和导入数据，支持多种文件格式，如 CSV、Excel、SQL 数据库、JSON 等。以下是一些常用的数据读取和导出方法： 常用方法格式文件格式读取函数写入&…...

编程日记 2025/7/15 2:36:29

Day49 | 动态规划：线性DP 判断子序列两个字符串的删除操作

Day49 | 动态规划 ：线性DP 判断子序列&&两个字符串的删除操作动态规划应该如何学习？-CSDN博客动态规划学习： 1.思考回溯法（深度优先遍历）怎么写注意要画树形结构图 2.转成记忆化搜索看哪些地方是重复…...

编程日记 2025/7/14 11:50:29

HDR视频技术之三：色度学与颜色空间

HDR 技术的第二个理论基础是色度学。从前面的内容中可以了解到，光学以及人类视觉感知模型为人类提供了解释与分析人类感知亮度的理论基础，但是 HDR 技术不仅仅关注于提升图像与视频的亮度范围，同时也关注于提供更加丰富的色彩。因此&#xff…...

编程日记 2025/7/15 2:32:52

nginx和netcore加载常见的3D模型

背景数字孪生带火了3D版的Web世界，3D模型格式也是众多，常见的glb适合web传输，fbx，gltf，obj，unity等常用于模型编辑和处理。我们在用netcore或者wasm加载这些3D模型文件时，一般都需要手工增加M…...

编程日记 2025/7/15 3:42:08

ABAP开发学习——标准GUI状态模板的复制

补充一下创建了GUI状态后复制标准状态的方法首先创建GUI状态此时按钮全部都是空的点击顶部的附加-调整模板选择列表查看器应用成功，下一步点击激活即可另外需要注意，功能键中的三个图标的代码并不是习惯性写的”BACK、EXIT、CANCEL",在这个标…...

编程日记 2025/7/15 2:37:17

酷！用豆包MarsCode 写了一个五子棋小游戏

作者：一起重学前端前言 2017 年，当时大学三本毕业前端工作一年，去深圳找工作面试，在拉勾上海投，接到某公司前端开发团队回复询问邮箱账号，喜滋滋的以为可以有面试了。一看邮箱，抛给我一道面试…...

编程日记 2025/7/15 3:08:31

IntelliJ IDEA 中，自动导包功能

在 IntelliJ IDEA 中，自动导包功能可以极大地提高开发效率，减少手动导入包所带来的繁琐和错误。以下是如何在 IntelliJ IDEA 中设置和使用自动导包功能的详细步骤： 一、设置自动导包打开 IntelliJ IDEA： 启动 IntelliJ IDEA 并打…...

编程日记 2025/7/15 2:03:42

c#异步编程（async/await）

注：下文摘自ChatGPT，总结与案例都非常完善，可以快速理解并应用 0：使用场景在winform界面程序中，在ui操作中涉及到一些耗时的等待操作，使用线程自己处理已经显得力不从心，如何能更好的实现&am…...

编程日记 2025/7/15 2:40:19

使用vcpkg自动链接tinyxml2时莫名链接其他库（例如boost）

使用vcpkg自动链接tinyxml2时莫名链接其他库（例如boost） vcpkg的自动链接功能非常方便，但在某些情况下会出现过度链接的问题。链接错误症状以tinyxml2为例，程序中调用tinyxml2的函数后，若vcpkg中同时存在opencv和…...

编程日记 2025/7/14 17:13:14

cocoscreater3.8.4生成图集并使用

1.安装texturepacker，去官网下载https://www.codeandweb.com/texturepacker 2.将图片拖动进来，即可自动生成精灵表，这里输出选用cocos2d-x，打包用免费版的“基本”就行，高级模式是收费的，然后点击“发布精…...

编程日记 2025/7/15 2:26:26

Ettercap工具使用说明

文章目录 Ettercap 简介Ettercap 的主要功能Ettercap 的安装在 Kali Linux（或基于 Debian 的系统）上安装：在其他操作系统上： Ettercap 的使用方式1. 基本模式2. MITM 攻击ARP 欺骗DNS 欺骗 3. 嗅探模式常用插件防御建议 Ettercap…...

编程日记 2025/7/15 3:19:07

Linux 如何创建逻辑卷并使用

一、逻辑卷的介绍生成环境中逻辑卷使用率很高逻辑卷的诞生：如果对磁盘直接使用fdisk分区，那么这中分区，我们叫做Linux的标准分区，Linux的标准分区格式化成文件系统之后，挂载使用，那么一旦文件系统的空间…...

编程日记 2025/7/15 2:11:39

laravel-operate

php artisan cache:clear php artisan config:clear php artisan route:clear php artisan view:clear 1、查看artisan所有命令； php artisan list 2、查看命令描述及参数和选项； php artisan（n.工匠、技工） help migration&…...

编程日记 2025/7/15 1:50:41

探索Python WebSocket新境界：picows库揭秘

文章目录探索Python WebSocket新境界：picows库揭秘第一部分：背景介绍第二部分：picows库概述第三部分：安装picows库第四部分：简单库函数使用方法第五部分：场景应用第六部分：常见Bug及解决方案第…...

编程日记 2025/7/15 1:57:40

海康VsionMaster学习笔记（学习工具+思路）

一、前言 VisionMaster算法平台集成机器视觉多种算法组件，适用多种应用场景，可快速组合算法，实现对工件或被测物的查找测量与缺陷检测等。VM算法平台依托海康威视在图像领域多年的技术积淀，自带强大的视觉分析工具库，可…...

编程日记 2025/7/15 2:51:21

Java面试题、八股文——JVM篇最终篇

1.如何选择垃圾收集器？ 选择合适的垃圾收集器（Garbage Collector, GC）对于优化Java应用程序的性能至关重要。不同的应用场景和系统需求可能需要不同类型的垃圾收集器来满足。以下是一些考虑因素以及常见的垃圾收集器选项，帮助您做…...

编程日记 2025/7/15 3:24:01

C++ 11重点总结2

1C11多线程主要对少用的知识点进行详细描述，用的多的就给示例。照猫画虎 #include<thread> // 默认构造函数 thread() // 初始化构造函数 template<class Fn, class... Args> explicit thread(Fn&& fn, Args&&... args) // 移动构造…...

编程日记 2025/7/15 3:27:49

什么是 C++ 中的函数对象？它有什么特点？

在 C 中，函数对象（Function Object）是一种可调用对象，它允许像函数一样被调用，但实际上它可能并不是真正的函数。函数对象可以是以下几种类型之一： 普通函数： 一个普通的、定义在命名空间或类…...

编程日记 2025/7/14 19:22:24

Golang 反射

一、Go反射的应用场景 （一）对象序列化和反序列化场景描述在处理网络通信，数据存储等场景中，需要将对象转换为字节流（序列化）以便传输或存储，在接收端再将字节流转换回对象（反序列…...

编程日记 2025/7/14 7:15:44

hhdb数据库介绍(10-7)

OEM管理为方便更换管理平台的产品Logo以及产品名称信息。引入“OEM管理功能”对外提供可视化更新Logo以及产品名称信息的入口。功能入口： 具有管理权限的用户登录平台，通过 OEM管理的超链接进入功能页面，超链接路径需要在原访问页面url的…...

编程日记 2025/7/8 23:24:35

RabbitMQ的预取值详解

RabbitMQ的预取值（Prefetch Value）是一个关键概念，它决定了消费者在从队列中获取消息时，一次性可以获取的消息数量。这一机制对于优化消息分发和消费者的负载均衡至关重要。什么是RabbitMQ的预取值？ 预取值是指消费者…...

编程日记 2025/7/12 20:37:32

mysql 触发器进入历史

一、触发器 MySQL 触发器（Triggers）是一种数据库对象，它与表关联，能在特定的事件（如插入、更新或删除）发生时自动执行一些指定的操作。使用触发器可以帮助我们自动维护数据库的完整性、一致性，…...

编程日记 2025/7/10 22:42:48

通过数巅能源大模型降本增效

在能源行业中，数据的有效利用对于企业的决策和运营至关重要。随着业务的发展，企业面临着数据分散、数据分析效率低、报告生成耗时等问题，制约了企业的发展和竞争力的提升。数巅能源大模型解决方案数巅科技推出了能源大模型解决方案&#x…...

编程日记 2025/7/12 19:22:16

如何编写出色的技术文档

目录编辑 1. 明确文档目的和受众目的的重要性了解受众 2. 收集和组织信息信息收集的技巧组织信息 3. 规划文档结构结构规划的重要性结构规划的步骤 4. 编写内容语言和风格内容的组织编写技巧 5. 审阅和测试审阅的重要性测试的必要性 6. 版本控…...

编程日记 2025/7/13 21:45:29

摄像头原始数据读取——gstreamer(gst_parse_launch)

摄像头原始数据读取——gstreamer(gst_parse_launch) #include <stdio.h> #include <string.h> #include <stdlib.h>#ifdef __cplusplus extern "C" { #endif#include <gst/gst.h>#ifdef __cplusplus }; #endifstatic gboolean bus_msg_tim…...

编程日记 2025/7/15 1:12:12

矩阵/矩阵乘法/特征值/特征向量的讲解

线性代数里有很多的概念，很多概念是有几何意义的，了解了几何意义可能会更好的理解各种概念及其相互之间的关系。矩阵： 矩阵是一个变换，一个坐标系到另一个坐标系的变换。矩阵里的各个参数，代表了如何进行变换。矩阵…...

编程日记 2025/7/13 18:16:11

docker-compose搭建xxl-job、mysql

docker-compose搭建xxl-job、mysql 1、搭建docker以及docker-compose2、下载xxl-job需要数据库脚本3、创建文件夹以及docker-compose文件4、坑来了5、正确配置6、验证-运行成功 1、搭建docker以及docker-compose 略 2、下载xxl-job需要数据库脚本下载地址：https…...

编程日记 2025/7/10 23:13:24

《图像形态学运算全解析：原理、语法及示例展示》

简介： 本文详细介绍了图像形态学中的多种运算，包括腐蚀、膨胀、开运算、闭运算、形态学梯度运算、礼帽运算以及黑帽运算。分别阐述了各运算的原理、语法格式，并通过 Python 代码结合具体示例图片（如erode.JPG、dilate.JPG、close.…...

编程日记 2025/7/13 22:16:40

【面试分享】C++ 中结构体（struct）和类（class）的区别

在 C中，结构体（struct）和类（class）有一些相似之处，但也存在一些重要的区别： 一、默认访问权限结构体： 在 C中，结构体的默认成员访问权限是public（公有&…...

编程日记 2025/7/14 9:03:01

Rk3588 onnx转rknn，出现 No module named ‘rknn‘

一、操作步骤： rk3588 需要将yolo11 的模型onnx转rknn。 https://github.com/airockchip/rknn_model_zoo/tree/main/examples/yolo11 这个是用yolo11训练的模型，有80种类型。完整下载下来后，在按文档描述下载模型下来： 然后进…...

编程日记 2025/7/10 22:09:11