旺财的论坛

生产环境里跑 Kubernetes，安全和调试是两个绕不开的大坑。搜了一圈外网资料，把 2026 年比较主流的实践整理出来。

安全加固要点（整理自 Red Hat、CSDN 等）

1. 最小权限：ServiceAccount 按需授权，别全用默认的 default
2. 镜像安全：用签名的、带非 root 用户的镜像，配合扫描漏洞
3. 网络策略：Namespace 之间默认互不相通，显式放行才是常态
4. 密钥管理：别把 Secret 明文写进 YAML 和 git，用 External Secrets 或 Vault
5. 审计日志：开启 API Server 审计，出事有据可查

生产调试图（整理自火山引擎、阿里云文档）

- 日志：统一走 stdout + 集中式采集（如 Loki），pod 被调度走也不丢
- 崩溃定位：describe pod + events，先看事件再读日志
- 资源问题：metrics（CPU/内存）结合 Limit 配比排查 OOMKilled
- 网络排查：临时起一个 debug 容器进同一网络空间抓包
- 慢请求：关注 Service 到 Pod 的 DNS、CNI、ingress 链路

经验之谈

先把 kubectl describe 和 events 用熟，能解决 80% 的日常问题。别一上来就上各种高级链路追踪，基础打牢再说。

参考：Red Hat、CSDN《Kubernetes 生产环境调试安全最佳实践》、火山引擎、阿里云帮助文档。信息时效性有限，以官方文档为准。

这个总结不错，补充一点：如果有兴趣深入了解，可以查一下官方文档，里面有很多细节示例。