Kube-Bench检测工具对EKS优化AL2023节点Kubelet配置路径的适配分析

背景说明

在Kubernetes安全合规领域，kube-bench作为一款权威的配置检测工具，能够根据CIS基准对集群组件进行安全审计。近期有用户反馈，在使用kube-bench v0.6.2版本检测基于Amazon Linux 2023的EKS优化节点时，出现Kubelet相关检测项(4.2系列)失败的情况。

问题本质

经分析发现，该问题的核心在于配置文件的路径变更：

• 传统路径：/etc/kubernetes/kubelet/kubelet-config.json
• AL2023新路径：/etc/kubernetes/kubelet/config.json

这种路径变化源于Amazon Linux 2023对EKS优化AMI的目录结构优化。通过观察节点上运行的kubelet进程参数可以确认：

/usr/bin/kubelet --config=/etc/kubernetes/kubelet/config.json

技术影响

路径变更会导致以下检测异常：

1. 配置文件权限检查(4.2.1)
2. 配置文件所有权验证(4.2.2)
3. Kubelet参数审计(4.2.x系列)

解决方案演进

kube-bench项目组已在v0.9.0版本中通过PR #1637完成了对AL2023路径规范的适配。升级建议：

1. 生产环境应使用v0.9.0及以上版本
2. 旧版本可通过修改config.yaml临时指定路径

深度解析

这种路径变化反映了云厂商对Kubernetes发行版的持续优化：

• 配置文件从kubelet-config.json简化为config.json
• 新增config.json.d目录支持配置片段
• 保持与EC2实例元数据服务的集成

最佳实践建议

1. 定期更新kube-bench工具版本
2. 对自定义AMI需验证检测路径
3. 混合集群环境应注意不同节点类型的路径差异
4. 重要配置变更应通过IaC工具统一管理

该案例典型展示了基础设施演进与安全工具适配的协同关系，运维团队应当建立版本变更的跟踪机制。