【每日一个云原生小技巧 #67】Pod 安全性准入

Pod 安全性准入介绍

Pod 安全性准入控制器在 Pod 创建和更新时执行，确保 Pod 规范符合集群定义的安全性基线和限制。这些安全性策略是一组规定，用于限制 Pod 可以使用的安全特性，比如运行特权容器、访问主机网络等。

使用场景

1. 强化集群安全：在企业环境中，确保所有运行的 Pod 符合组织的安全标准。
2. 多租户环境：在多租户 Kubernetes 集群中限制 Pod 可能对其他租户造成的安全风险。
3. 遵守法规要求：确保 Kubernetes 集群符合行业特定的合规性和安全标准。

使用技巧

1. 逐步实施：逐步实施 Pod 安全性准入策略，从警告模式开始，然后再迁移到强制模式。
2. 使用内置策略：Kubernetes 提供了内置的 Pod 安全性策略级别（Privileged、Baseline、Restricted），可根据需要选择合适的级别。
3. 自定义策略：如果内置策略不满足需求，可以创建自定义的 Pod 安全性策略。

使用案例

假设我们需要为一个多租户环境的 Kubernetes 集群设置 Pod 安全性准入策略，以确保所有的 Pod 都不运行特权容器并且不使用主机网络。

启用 Pod 安全性准入控制器：

在 API 服务器的启动参数中启用 PodSecurity 特性门控。

应用 Pod 安全性准入策略：

对于每个命名空间，可以使用以下 YAML 定义 Pod 安全性准入策略：

apiVersion: v1
kind: Namespace
metadata:
  name: example-namespace
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: latest
    pod-security.kubernetes.io/audit: baseline
    pod-security.kubernetes.io/audit-version: latest
    pod-security.kubernetes.io/warn: baseline
    pod-security.kubernetes.io/warn-version: latest

在这个例子中，我们为 example-namespace 设置了 restricted 级别的强制执行策略，同时也设置了审计和警告级别为 baseline。这意味着，在此命名空间中创建的所有新 Pod 都必须符合 restricted 级别的策略，同时会记录和警告不符合 baseline 级别的配置。

创建 Pod：

当在这个命名空间中创建新的 Pod 时，Pod 安全性准入控制器会根据上述策略检查 Pod 规范。

apiVersion: v1
kind: Pod
metadata:
  name: mypod
  namespace: example-namespace
spec:
  containers:
  - name: mycontainer
    image: myimage

如果这个 Pod 规

范不符合 restricted 级别的要求，它将无法在 example-namespace 中创建。

案例分析

在上述案例中，我们定义了一个具有 restricted 级别的 Pod 安全性策略。这种策略限制了 Pod 的某些功能，如：

• 禁止运行特权容器。
• 禁止访问主机网络和进程空间。
• 限制容器的能力（如不允许使用 NET_ADMIN 等网络相关的能力）。

如果尝试在此命名空间中创建一个不符合这些条件的 Pod（例如，一个需要特权模式的 Pod），则创建操作将被拒绝。通过这种方式，Pod 安全性准入帮助管理员确保集群中的 Pod 遵循最佳安全实践。

结论

通过使用 Pod 安全性准入，Kubernetes 集群管理员可以有效地加强 Pod 的安全性，确保它们遵循组织内部或法规要求的安全标准。适当地应用这些策略有助于预防潜在的安全漏洞和违规行为，从而维护集群的整体健康和安全性。