16、Kubernetes 工作负载安全配置与策略治理

Kubernetes 工作负载安全配置与策略治理

1. Pod 和容器安全

在通过 Kubernetes API 实现 Pod 安全时，有两个主要选项：Pod 安全准入（Pod Security Admission）和运行时类（RuntimeClass）。

1.1 Pod 安全准入控制器

Pod 安全准入控制器是一个集群范围的资源，用于定义和管理 Pod 规范中的所有安全敏感字段。在其出现之前，集群管理员和用户使用 PodSecurityPolicy，该策略复杂且难以正确设置。从 Kubernetes 1.22 开始，Pod 安全准入控制器取代了 Beta 版的 PodSecurityPolicy API，并在 Kubernetes 1.25 中移除了 PodSecurityPolicy。

Pod 安全准入控制器简化了 Pod 安全配置，但在命名空间级别应用的权限粒度较粗，无法为命名空间内的不同 Pod 或用户启用不同级别的安全设置。对于多租户集群的企业或管理员，可能需要实施如 Gatekeeper 项目这样的策略解决方案；而对于许多较小的单租户集群，Pod 安全准入控制可能是合适的。

• 启用 Pod 安全准入

  • 如果集群是 Kubernetes 1.22 或更高版本，Pod 安全准入可能已启用。可使用 kubectl version 命令检查集群版本。
  • 对于旧版本的 Kubernetes，建议升级，因为旧版本不再受 Kubernetes 项目的积极支持，存在未修补的安全漏洞风险。