Kubernetes安全：Pod安全策略到准入控制的演进

Kubernetes安全：Pod安全策略到准入控制的演进

Pod Security Policy（PSP）在Kubernetes 1.25中被正式移除，替代者是Pod Security Admission（PSA）和准入控制器生态。PSA提供三个级别：privileged（无限制）、baseline（禁止已知提权行为）和restricted（遵循Pod加固最佳实践）。

对于更细粒度的策略，OPA/Gatekeeper和Kyverno是事实标准。OPA用Rego语言编写策略——”所有Pod必须来自受信任的镜像仓库”、”禁止hostPath卷”。Kyverno用Kubernetes原生YAML语法定义策略，学习曲线更平缓。安全从集群创建开始：限制容器以root运行、强制只读根文件系统、禁止特权提升、启用Seccomp/AppArmor配置——这些是Kubernetes安全基线的标配。