KubeStellar Console 概述
KubeStellar Console 是一个开源的多集群 Kubernetes 仪表盘（CNCF 项目），具备 AI 驱动的运维能力。它附带 kc-agent——一个 MCP 服务器，可将编码智能体桥接到 kubeconfig 与 Kubernetes API，并内置 10 多个用于开发、测试和运维的智能体技能。
适用场景
- 跨边缘与云管理多个 Kubernetes 集群时使用。
- 需要 AI 辅助的 Kubernetes 故障排查与调试时使用。
- 在 Kubernetes 仪表盘上运行性能测试、缓存合规检查或 CI 调试时使用。
- 与 CNCF 项目（Argo、Kyverno、Istio 等 20 多个）集成时使用。
工作原理
第 1 步：安装 kc-agent
brew tap kubestellar/tap && brew install kc-agent
第 2 步：启动 MCP 服务器
kc-agent
这会将当前激活的 kubeconfig 上下文桥接到任何兼容 MCP 的编码智能体。除非用户明确接受该风险，否则不要从具有 cluster-admin 或写权限的上下文启动它。
第 3 步：使用内置智能体技能
项目附带可通过 CLAUDE.md 和 AGENTS.md 访问的智能体技能：
- @perf-test — 仪表盘性能测试与 TTFI 分析
- @cache-test — 卡片缓存合规测试（IndexedDB 热返回）
- @nav-test — 导航性能测试
- @ui-compliance-test — 卡片加载合规（8 项标准，150+ 卡片）
- @ci-status — CI 流水线监控与状态检查
- @rca — CI/测试失败的根因分析
- @tdd — 测试驱动开发工作流
- @k8s-debug — Kubernetes 调试与故障排查
主要功能
- 跨边缘与云的多集群管理
- 实时流式可观测性
- 20+ CNCF 项目集成（Argo、Kyverno、Istio 等）
- GitHub OAuth 认证
- 供应链安全（SBOM、SLSA）
- 采用 stale-while-revalidate 模式的 SQLite WASM 缓存
- 15+ 主题，支持深色/浅色模式
安全与安全注意事项
关键风险：kc-agent 会将当前激活的 kubeconfig 上下文桥接到兼容 MCP 的智能体。如果该上下文带有 cluster-admin、写权限或 Secret 读取权限，智能体将继承这些能力。
不要仅依赖 RBAC 对象：创建 ServiceAccount 或 ClusterRoleBinding 并不会改变 kc-agent 使用的凭据。只有在将 KUBECONFIG/上下文切换到专用的最小权限凭据并验证后，才启动 kc-agent。
建议的只读范围：避免 resources='*'，因为它包含 Secrets 等敏感对象。优先使用显式的非 Secret 资源列表，并在启动 MCP 服务器前验证访问权限：
kubectl create serviceaccount kc-agent -n default
kubectl create clusterrole kc-agent-readonly
--verb=get,list,watch
--resource=pods,services,deployments.apps,replicasets.apps,statefulsets.apps,daemonsets.apps,namespaces,nodes,events,configmaps
kubectl create clusterrolebinding kc-agent-readonly
--clusterrole=kc-agent-readonly
--serviceaccount=default:kc-agent
kubectl auth can-i get secrets --as=system:serviceaccount:default:kc-agent
kubectl auth can-i list pods --as=system:serviceaccount:default:kc-agent
第一条 can-i 命令必须返回 no；第二条应返回 yes。然后在运行 kc-agent 之前，创建或选择一个实际以该 ServiceAccount 身份认证的 kubeconfig。
不要在未认证的情况下将 kc-agent 暴露在公网。
查看 SECURITY-AI.md 了解提示注入与智能体漂移的缓解措施。
限制
- 此技能需要单独通过 Homebrew 安装的外部二进制文件（kc-agent）。
- 不要将智能体输出视为环境特定验证或专家审查的替代品。
- 如果所需权限或安全边界不明确，请停止并请求澄清。
链接
- GitHub
- Website
- CLAUDE.md
- AGENTS.md