### ① 组件是什么 etcd 是一致性键值存储，集群全部对象（Pod、Deployment、Secret、RBAC、配置）的真实状态都存这里。API Server 是入口，etcd 是仓库。它没有鉴权收口在 K8s 体系内，需自身保护。 ### ② 语言与 C 库 Go 编写，Raft 共识协议保证多副本一致，本地用 BoltDB（B+ 树）落盘，底层经 `open`/`read`/`write` 文件系统调用与 `mmap`。网络走 gRPC/TCP socket。 ### ③ 运行机制 写请求经 Raft 多数派确认后落盘，读从领导者或本地快照取。API Server 是它唯一的常规客户端，etcd 不直接面向用户。 ### ④ 常见配置缺陷 - etcd 端口对外暴露且无客户端证书校验，可直接读写全量状态。 - 未启用 TLS 与双向认证，匿名可读。 - 快照文件权限过宽，落盘的 Secret 被直接拷走。 - 备份与生产同网，无隔离。 ### ⑤ 对应攻击链路 etcd 直连可读等于拿到集群全量状态与 Secret，绕过 API Server 的鉴权收口，