Kubernetes K8s CKS 认证实战班（安全专家） - 带源码课件

CKS 这门课解决的是什么问题

CKA 考的是"你会不会把集群跑起来"，CKS 考的是"别人拿到你的集群之后能干什么、你挡不挡得住"。这两者的知识结构差别很大：前者围绕对象、调度、网络、存储展开，后者围绕攻击面收敛，落点几乎都在 kube-apiserver 的准入链路、容器运行时的隔离边界、以及节点上的可观测性。

这门实战班的定位就是后者。它不铺开讲 Kubernetes 基础对象，而是直接把 Sysdig、kubesec、AppArmor、Seccomp、PSP/Pod Security Admission、审计日志、Falco 这一套安全工具链摆到台面上，配合真题环境反复练。带源码课件意味着你能拿到配置清单、策略模板和排查脚本，而不是只看一遍视频就结束。

课程结构：从准入控制到运行时排查

内容大体沿着一条"防护—检测—取证"的链路组织，几个明显的能力块：

• 集群加固与准入控制：围绕 kube-apiserver 的启动参数、RBAC 最小权限、ServiceAccount 与 Token 挂载、NetworkPolicy 的默认拒绝模型，讲清楚请求在进入 etcd 之前会经过哪几道闸门。
• Pod 安全策略与替代方案：PodSecurityPolicy 在新版本里已被 Pod Security Admission 取代，课程里保留 PSP 的讲解，同时需要你在实践中把 privileged、hostPath、hostNetwork 这些危险字段的约束方式迁移到 PSA 的 namespace label 上，这是考试和真实集群都要面对的现实问题。
• 运行时安全与系统调用：用 Sysdig 抓进程、文件、网络行为，识别容器内的异常 fork、反弹 shell、敏感路径读写。这部分是纯命令行实战，考的是你能不能在有限时间里定位到可疑进程并说清它的父子关系和来源镜像。
• 审计与日志分析：配置 audit policy、划分 RequestResponse 与 Metadata 级别的采集粒度、定位日志里的越权尝试。审计策略写得过粗会漏事件，写得过细会把 etcd 打爆，课程里会给出可调的分级样例。
• 镜像与供应链检查：kubesec 打分、镜像扫描、准入层的镜像白名单校验，属于把风险挡在部署之前的一环。

可复用模块：源码课件怎么用

这套资料的价值集中在课件里的 YAML 和脚本，而不是视频本身。建议按下面的方式拆开使用：

• 把准入策略、RBAC 角色绑定、审计策略、NetworkPolicy 这几类清单抽成模板库，改掉 namespace 和 label 就能套到自己的集群上。
• Sysdig 和 Falco 的规则文件单独留一份，规则条件（进程名、文件路径、系统调用号）是跨集群通用的，调一次能用很久。
• 真题环境的搭建步骤值得单独走一遍，因为 CKS 考试允许查官方文档但时间紧，手速基本来自环境熟悉度。

换句话说，这份资料的打开方式应该是"边看边敲、把清单留下来"，而不是通读一遍。视频里演示的每个检测动作，最好都在自己的测试集群里复现一次，尤其是涉及 seccomp profile 和 AppArmor profile 的加载顺序，跳过这一步到考场上很容易卡住。

前置要求与自学节奏

看这门课之前需要已经能熟练使用 kubectl、理解 Deployment/Service/ConfigMap 的作用，并且手动搭过一次 kubeadm 集群。没有这个底子，RBAC 和准入控制的讨论会变成背命令。

节奏上建议分三段：先用一到两周把集群加固和 RBAC 部分跑通，形成一份自己的基线配置；再用两三周专攻运行时检测，把 Sysdig、Falco 的常用查询练到不看文档；最后留出时间做真题模拟，重点是把排查顺序固定下来——先看审计日志确定谁做了什么，再看运行时行为确认是否落地，最后查镜像和配置来源。

真正区分通过与否的不是记住了多少工具，而是在一个陌生集群里能不能快速说出"这里谁能做什么、我该从哪里开始查"。