### ① 情报卡片 靶场环境 K8S-TARGET-11，一个普通 SA 被绑定到含 `cluster-admin` 或通配符的 ClusterRole，环境脱敏。 ### ② 攻击面判断 RBAC 过宽把普通身份抬到全局高权，是接管的权限根源，缺陷在角色声明与绑定，不在网络入口。 ### ③ 第一次试探 以普通 SA 身份发只读请求探测可操作资源范围，核对是否超出自称职责，不执行写动作。 ### ④ 真假阳性递进校验 排除误配：只读能列举全局资源不代表可写。确认存在高权动词（create/patch/bind）才判真，核对通配符与 cluster-admin 绑定。 ### ⑤ 完整链路拆解 普通 SA 持过宽 ClusterRole → 认证通过后授权放行高权动词 → 创建高权 SA/绑定 cluster-admin/改 Secret → 完成控制面接管。这是把 K8S-07/08/10 拿到的身份变成实权的最后一环。 ### ⑥ 底层溯源 授权在 API Server 内部判定，遍历 Role/ClusterRole 规则匹配资源与动词，通配符 `*` 匹