大家好！我是gasbugs，正朝着“黄金Kubestronaut”的目标不停歇地前进。终于，我获得了旅程中的第五道关卡，也是最重要的里程碑之一——CKS (Certified Kubernetes Security Specialist) 认证！🥳
通过这次CKS考试，我正式获得了CNCF认可的“Kubestronaut”资格。这是我通过收集CKA、CKAD、CKS、KCNA、KCSA共5个认证所达成的第一个目标，心情非常激动。距离我获得CKA认证，竟然已经过去了6年。当然，要集齐全部15个认证，成为“黄金”Kubestronaut，还有很长的路要走，但我无法掩饰自己翻越了一座大山后的自豪感！据说一周内会收到邮件，我需要尽快注册。目前，以韩国为准，共有80位Kubestronaut。
这次CKS考试，正如其“安全专家”之名，是一项非常深入地考察安全构建和运营Kubernetes集群实际能力的考试。与2021年的经验相比，我真切感受到了明显变化的最新趋势。接下来，我将详细分享那紧张的2小时记录和核心考点。
🔥 2025年CKS与2021年相比，发生了这些变化！
首先，我们来探讨一下准备CKS的考生最关心的最新考试趋势。与2021年相比，考试的性质发生了相当大的变化。
- Static Pod修改问题大幅增加：过去，处理普通Pod或Deployment的比例较高，但现在，直接修改/etc/kubernetes/manifests中与控制平面组件直接相关的静态Pod配置成为了核心问题。需要更改API服务器、调度器等配置的情况增多了。
- 新增安全功能必考：Pod Security Standards (PSS)和ImagePolicyWebhook现在几乎是每次必考的常客问题。不仅仅是了解概念，实际环境中应用和故障排除的能力是必需的。
- 强调容器运行时安全：考题中出现了识别并移除Docker套接字(docker.sock)所存在的漏洞的方法。理解主机与容器运行时之间的安全边界变得尤为重要。
- 供应链安全(SBOM)问题出现：使用bom工具提取SBOM(Software Bill of Materials)，并找出使用特定软件包版本的镜像并采取措施等，反映最新供应链安全趋势的问题令人印象深刻。
- CKA领域转移：过去CKA的常考问题，如工作节点的Kubelet版本升级等集群管理问题，似乎已转移到CKS。这似乎是为了同时评估集群自身的安全维护能力。
- 时间管理压力大：最大的变化是必须在短短的2小时内解决棘手的实践问题。特别是静态Pod修改，一个小错误就可能影响整个集群，因此，快速准确的问题解决能力变得更加重要。
🛡️ 实际考试中遇到的核心任务
回顾我在考试中遇到的主要任务如下。主要考查了跨越多个安全层级的综合理解能力。
1. 集群设置与强化 (Cluster Setup & Hardening)
- 审计 (Auditing)：设置审计以监控集群的所有活动是基本中的基本。详细评估了直接编写和应用日志路径、审计策略文件(policy file)的能力。📜
- Kubelet版本升级：验证了使用kubeadm配置的集群中，安全地将工作节点Kubelet版本升级到指定版本的实际操作能力。
- Kubelet认证/授权：考题中出现了将Kubelet的认证/授权设置更改为Webhook模式，并激活相关证书设置等，以加强节点-API服务器之间通信安全的问题。
2. 工作负载与运行时安全 (Workload & Runtime Security)
- Pod安全标准 (PSS)：要求具备实际故障排除能力，即在应用了restricted配置文件的命名空间中，确认部署失败事件(Fail Event)，并修改导致问题的Security Context以成功部署。
- Dockerfile和Deployment安全改进：需要在代码和部署清单两方面查找并改进安全漏洞，例如在Dockerfile中将USER root更改为USER non-root-user，以及在Deployment中移除privileged设置。✍️
- 主机路径访问控制：考题中出现了找出访问主机/dev/mem等敏感路径的Deployment，并立即将其scale 0以消除威胁的问题。（推测这可能与Falco规则相关的场景。）
- Docker套接字安全：评估了通过将特定用户从存在安全风险的docker组中移除，从而阻止对Docker套接字的未经授权访问的能力。
3. 网络与供应链安全 (Network & Supply Chain Security)
- 网络策略 (NetworkPolicy)：验证了以Default Deny策略为基础，并结合podSelector、namespaceSelector、cidr等多种条件，建立全面Ingress/Egress规则的能力。🌐
- ImagePolicyWebhook：需要配置一个只允许特定镜像的ImagePolicyWebhook，从而从根本上阻止未经授权的镜像在集群中运行，实现高级安全策略。
- 基于SBOM的漏洞处理：考题中出现了供应链安全问题，即使用bom工具分析镜像的SBOM，识别使用特定版本易受攻击软件包的镜像，并从使用该镜像的Deployment中移除有问题的容器。📦
- TLS证书管理：忠实地检查了通信加密的基础，例如直接创建和应用用于Ingress TLS通信的Secret的能力。
✨ 总结：Kubernetes安全实战综合版
CKS不仅仅是检验知识的考试，更是一项综合评估“安全工程师”能力的考试，要求在规定时间内诊断、分析并处理实际运营环境中可能出现的各种安全威胁。
通过这次考试，我树立了“Kubestronaut”这一有意义的里程碑，但距离“黄金Kubestronaut”还有10个认证。现在连一半都还没到呢！然而，通过这段旅程，我不仅仅是收集证书，更享受着在云原生生态系统中积累深入理解和专业知识的过程。
请大家多多期待和支持我的下一段旅程！祝愿大家都有一个愉快的云原生之旅！🎉
标签: CKS, Certified Kubernetes Security Specialist, Kubernetes, Kubestronaut, 认证心得, CKS心得, Kubernetes认证, CNCF, 云原生, 信息安全, Kubernetes安全
发表回复