### ① 组件是什么 API Server 是集群唯一的 REST 入口。用户、kubectl、控制器、kubelet、Scheduler 都不直接读写 etcd，全部经它收口。它承担认证、授权、准入校验，再把对象写入 etcd。它是所有访问的单点关口，也是鉴权中枢。 ### ② 语言与 C 库 Go 编写。并发单位是 goroutine，不触发 fork。HTTP 服务走 Go 标准库网络栈，底层经系统调用 `socket`/`bind`/`listen`/`accept` 建立连接，TLS 由 Go crypto 库完成（底层对接 BoringSSL/OpenSSL 体系），对象持久化经 etcd 客户端。 ### ③ 运行机制 请求先过认证（客户端证书、Token、静态令牌），再过授权（RBAC/ABAC 判定该身份能否对该资源做该动作），再过准入（校验、默认值、mutation），最后落 etcd。它无状态，水平扩展靠多副本，状态全在 etcd。 ### ④ 常见配置缺陷 - 匿名访问（匿名身份）被授予任何读或写权限。 - 授权模式只开认证不开 RBAC，或绑定