k8s-pentesting

这是什么？适合谁？

k8s-pentesting 是一个专注于 Kubernetes 集群安全测试的 Claude Code Skill。它提供了一套自动化的 K8s 安全审计和渗透测试流程，帮助安全工程师和 DevOps 团队发现集群中的安全漏洞和配置问题。

适合人群：

• 云安全工程师：需要定期审计 K8s 集群安全
• DevOps 团队：需要在 CI/CD 中集成安全测试
• 渗透测试人员：需要 K8s 环境的安全测试工具
• 平台工程师：需要确保集群配置符合安全最佳实践

核心价值：将 K8s 安全测试流程自动化，降低安全审计门槛，提高集群安全性。

准备工作

• Claude Code 或 Codex：需要支持 Skills 的 AI Agent
• kubectl：已安装并配置，可访问目标 K8s 集群
• 权限要求：需要集群的只读权限（至少 view ClusterRole）
• kubeconfig：配置正确的集群访问凭证
• 时间预算：首次审计约 30 分钟，后续增量审计约 10 分钟

快速上手

第一步：安装 Skill

将 Skill 文件安装到 Agent 的 skills 目录：

# 使用 skills.sh 或手动安装
mkdir -p .claude/skills/
# 复制 SKILL.md 到 .claude/skills/k8s-pentesting/

第二步：验证环境

在 Agent 中确认 kubectl 可访问集群：

请运行 kubectl cluster-info 确认集群连接

第三步：执行安全审计

在 Agent 会话中输入：

使用 k8s-pentesting skill 审计当前集群

Agent 会自动执行以下检查：

• RBAC 权限配置审计
• Pod 安全策略检查
• 网络策略评估
• 密钥管理审查
• 容器镜像安全扫描

预期产出：一份包含发现、风险等级和修复建议的安全审计报告。

常见踩坑

1. 权限不足导致审计不完整：如果只有 namespace 级别权限，审计范围会受限。建议至少使用 cluster-reader 角色获取集群范围的可读权限。来源：K8s 安全最佳实践。

2. 生产环境审计需谨慎：部分主动测试（如端口扫描、漏洞探测）可能触发安全告警或影响服务。建议先在测试环境验证，生产环境使用被动审计模式。

3. kubectl 版本兼容性：不同 K8s 版本的 API 可能不同，确保 kubectl 版本与集群版本匹配（±1 个小版本）。

4. 审计结果需要人工判断：AI 生成的审计报告可能包含误报，特别是对于自定义 CRD 和非标准部署。建议安全工程师逐条验证高风险发现。

5. 集群规模影响审计时间：大型集群（100+ 节点、1000+ Pod）的审计可能需要较长时间，建议按 namespace 分批审计。

常见问题 FAQ

Q1：和 kube-bench、kube-hunter 等工具的区别？

A：k8s-pentesting 是 AI 驱动的 Skill，可以理解上下文并生成定制化建议。传统工具只提供检查清单，k8s-pentesting 能解释风险原因和修复方案。

Q2：支持哪些 K8s 版本？

A：支持 K8s 1.24+，建议使用最新稳定版本。EKS、GKE、AKS 等托管 K8s 服务也支持。

Q3：审计会影响集群性能吗？

A：被动审计（只读操作）对性能影响极小。主动测试（如网络探测）可能产生少量流量，建议在低峰期执行。

Q4：能否集成到 CI/CD？

A：可以。将审计命令写入 CI/CD pipeline，每次部署前自动审计。确保 CI runner 有集群访问权限。

Q5：审计结果如何导出？

A：Agent 生成的报告可以导出为 Markdown 或 JSON 格式，方便集成到安全管理系统。

初级用法

1. 基础审计：运行完整审计，获取集群安全概览
2. RBAC 专项审计：只审计权限配置，检查过度授权
3. Pod 安全审计：检查 Pod 是否以 root 运行、是否有特权模式
4. 网络策略审计：检查网络隔离是否到位
5. 密钥审计：检查 Secret 是否加密存储、是否被不当暴露

高级玩法

1. 合规审计：针对 CIS Benchmark、PCI-DSS 等合规标准进行专项审计
2. 增量审计：只审计自上次审计以来变更的资源，提高效率
3. 多集群审计：同时审计多个集群，生成对比报告

小技巧

1. 定期（每周）运行审计，追踪安全态势变化
2. 将审计结果与告警系统集成，高风险发现自动通知
3. 使用 --namespace 参数限制审计范围，加快审计速度
4. 保存每次审计报告，建立安全审计历史
5. 结合 kubectl auth can-i 手动验证 AI 的权限评估

参考链接

• Kubernetes 安全最佳实践
• CIS Kubernetes Benchmark

基于公开资料整理，AI 辅助生成，采集日期：2026-08-12。具体功能以官方文档为准。