把 K8s 集群想成一座城：apiserver 是市政大厅，etcd 是档案馆存着所有户口和钥匙，kubelet 是每个街区的物业管家。攻击者很少一步登天，更多是从一个不起眼的 Pod 开始，一格一格往上爬，直到拿到"城主令牌" cluster-admin。这篇借 ControlPlane 与 Kubernetes 官方安全审计的威胁模型，用 STRIDE 逐个拆解核心组件的风险，再画一棵"从一个 Pod 打到集群管理员"的攻击树，最后给一份能照着做的加固清单。