关于 competition-k8s-control-plane
面向 CTF 安全分析的 Kubernetes 控制平面专项技能，须在 `$ctf-sandbox-orchestrator` 建立沙箱假设后使用。它从身份与 API 权限出发，追踪对象变更如何影响工作负载或机密。
主要功能
- 01梳理主体与 API 权限
- 02追踪控制器和对象变更
- 03关联 RBAC 与命名空间边界
- 04精简集群影响链
适用场景
- 01分析服务账户或绑定的权限范围
- 02追踪 API 操作如何生成工作负载
- 03验证对象变更导致的机密暴露
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/competition-k8s-control-plane确认已加载。
附带文件agents/openai.yamlreferences/k8s-control-plane.md
详细介绍
竞赛 K8s 控制平面
仅在 $ctf-sandbox-orchestrator 已经激活，并已建立沙箱假设、节点归属和证据优先级之后，才将此技能用作下游专项能力。如果尚未完成上述步骤，请先返回 $ctf-sandbox-orchestrator。
当关键路径通过 Kubernetes 控制平面状态、API 权限或控制器行为，而不是仅通过单个容器的运行时来推进时，请使用此技能。
除非用户明确要求使用英语，否则请用简体中文回复。
快速开始
- 将清单意图与实际集群状态区分开：API 对象、变更、控制器、Secret 以及由此产生的工作负载。
- 首先识别当前活动的主体：服务账户、kubeconfig 身份、节点凭据、webhook 或控制器。
- 将最小的控制平面边界映射到其工作负载影响。
- 将 RBAC、服务账户、owner reference、命名空间边界和 Secret 消费者保留在紧凑的证据块中。
- 复现能够产生决定性工作负载或 Secret 影响的最小集群操作。
工作流
1. 映射 API 信任路径
- 记录命名空间、服务账户、Role、ClusterRole、绑定、准入钩子、控制器以及它们可以变更的资源。
- 区分读取访问、创建访问、patch 访问、exec 访问和 Secret 访问。
- 将主体、动词、资源、命名空间和结果对象保留在同一条链中。
2. 追踪变更到工作负载状态
- 展示某个 API 操作如何变成 Pod、卷挂载、Secret 暴露、环境变量注入、Job 运行或控制器创建的产物。
- 在经过默认值填充、准入变更或控制器调和之后，将已检入的 YAML 与活动对象进行比较。
- 区分 Pod 运行时行为与集群级变更逻辑。
3. 归约到决定性的集群路径
- 将结果压缩为最小链条：主体 -> API 权限 -> 被变更对象 -> 产生的工作负载、Secret 或路由影响。
- 将 kube 对象、实时 describe 以及被消费的 Secret 或配置路径绑定到同一命名空间和控制器。
- 如果问题缩小到某个容器的挂载或运行时偏差，请切换回更聚焦的容器运行时技能。
阅读此参考
- 加载
references/k8s-control-plane.md以获取 RBAC 清单、控制器清单和证据打包方法。 - 如果难点在于元数据服务可达性、工作负载身份、实例凭据或源自元数据的权限，请优先使用
$competition-cloud-metadata-path。
需要保留的内容
- 命名空间、服务账户、动词、资源类型、RoleBinding 或 ClusterRoleBinding，以及 owner reference 链
- 准入变更、生成的工作负载、挂载的 Secret 以及控制器产生的漂移
- 产生决定性影响的确切 API 操作或对象差异
评论
支持 Markdown