### ① 组件是什么 StorageClass 定义一类存储的供给模板，按参数（类型、性能、回收策略）动态创建 PV，免去人工预建卷。 ### ② 语言与 C 库 声明对象。动态供给由 CSI 驱动经云 API/`socket` 完成，Go goroutine。 ### ③ 运行机制 PVC 指定 StorageClass，驱动按模板调后端创建卷并绑定，参数决定后端类型与权限。 ### ④ 常见配置缺陷 - 默认 StorageClass 允许任意用户申请高权限云盘。 - 参数里写入过宽的云凭证或后端配置。 - 动态创建的卷默认未加密、未隔离。 ### ⑤ 对应攻击链路 过宽的动态供给让失陷身份申请额外云盘，云盘凭证过宽则接"集群→云接管"链。后端凭证占位，不提供具体值。 ### ⑥ 对应 C 库 云 API `socket`/TLS。凭证文件 `open`/`read`。 ### ⑦ 对应工具 StorageClass 参数审计、默认类权限核查、云盘加密与隔离核对。 【链路推演】默认类过宽 + 云凭证过宽 → 申请/触达云盘 → 云侧扩权。断点在供给权限