把 K8s 集群想成一座城：apiserver 是市政大厅，etcd 是档案馆存着所有户口和钥匙，kubelet 是每个街区的物业管家。攻击者很少一步登天，更多是从一个不起眼的 Pod 开始，一格一格往上爬，直到拿到"城主令牌" cluster-admin。这篇借 ControlPlane 与 Kubernetes 官方安全审计的威胁模型，用 STRIDE 逐个拆解核心组件的风险，再画一棵"从一个 Pod 打到集群管理员"的攻击树，最后给一份能照着做的加固清单。

很多人学 K8S 是在背 kind 和 kubectl 命令，越背越乱。换个角度看：Kubernetes 其实是一套教科书级的 DDD + 声明式系统。本文用领域驱动设计的词汇给 Pod、Deployment、Service、Namespace、CRD 这些对象归位——spec/status 是聚合的期望与现状，label selector 是规约模式，Namespace 是限界上下文，Controller 的 reconcile 是领域服务，etcd + API Server 是仓储。看懂这套模型，对象自己就归队了，写 Operator 也会顺很多。