16、Pod、容器安全与集群策略治理全解析

Pod、容器安全与集群策略治理全解析

1. Pod 与容器安全

1.1 Pod 安全准入控制

在 Kubernetes 中保障 Pod 安全，有两个主要选择：Pod 安全准入（Pod Security Admission）和 RuntimeClass。Pod 安全准入控制器是一个集群级资源，用于定义和管理 Pod 规范中所有安全敏感字段。在它出现之前，集群管理员和用户使用 PodSecurityPolicy，但该策略复杂且难以正确设置。

从 Kubernetes 1.22 开始，Pod 安全准入控制器取代了 Beta 版的 PodSecurityPolicy API，并在 1.25 版本中移除了 PodSecurityPolicy。虽然 Pod 安全准入提供了简化的 API 来保护 Pod，但它并未完全实现与 PodSecurityPolicy 相同的功能，若有更全面的策略需求，可安装 Gatekeeper 项目等解决方案。

Pod 安全准入的权限是在命名空间级别应用的，粒度较粗，不能为命名空间内的不同 Pod 或用户启用不同级别的安全设置。因此，运行多租户集群的企业或管理员可能需要实施类似 Gatekeeper 项目的策略解决方案，但对于许多较小的单租户集群，Pod 安全准入控制可能是合适的。

1.2 启用 Pod 安全准入

若集群为 Kubernetes 1.22 或更高版本，Pod 安全准入可能已启用，可使用 kubectl version 命令检查集群版本。对于旧版本的 Kubernetes，建议进行升级，因为旧版本不再受 Kubernetes 项目的积极支持，存在未修复的安