### ① 组件是什么
Controller Manager 打包运行一堆控制器（Deployment、ReplicaSet、Node、Service 等控制器），每个控制器循环对比"声明的期望状态"与"etcd 里的真实状态"，有偏差就调 API Server 补齐。
### ② 语言与 C 库
Go 编写，每个控制器是一个 reconcile 循环 goroutine，不 fork。经 API Server 客户端通信，底层 TCP socket/TLS。
### ③ 运行机制
控制器 watch etcd 变化，算出期望与现实差值，调用 API Server 创建/更新对象完成调和。它本身不直接操作节点，动作全经 API Server。
### ④ 常见配置缺陷
- 控制器使用的服务账号权限过宽，可写敏感资源。
- 自定义控制器（Operator）以高权身份运行，自身逻辑缺陷被放大。
- 未限制控制器可访问的命名空间与资源。
### ⑤ 对应攻击链路
控制器是常驻高权身份，若其服务账号被配宽或自定义控制器有输入缺陷，攻击者借它的身份经 API Server 动作