Kubernetes Pod Security Policies (PSP)解析

Pod Security Policies (PSP) 是 Kubernetes 中一个已经废弃的功能，它曾用于控制Pod及其容器的运行时安全属性，比如容器是否能运行在特权模式下、是否能使用特定的Linux功能、挂载什么样的卷等。PSP作为一种集群级别的策略，帮助管理员定义了一系列规则，以确保Pod按照组织的安全标准运行。

1.关键功能

• 权限控制：限制容器是否能以特权模式运行，限制对宿主机功能的访问（如PID、IPC命名空间共享）。
• 能力管理：控制容器可使用的Linux Capabilities。
• SELinux和AppArmor配置：强制执行SELinux标签或AppArmor配置文件。
• 卷使用限制：规定哪些类型的卷可以被挂载。
• 主机路径限制：控制是否允许Pod挂载宿主机上的目录。
• Seccomp配置：指定Seccomp配置文件以限制系统调用。

2.注意

自 Kubernetes v1.21 起，PSP 已被弃用，并计划在 v1.25 中完全移除。取而代之的是新的机制 PodSecurity 特性，它引入了 Pod 安全标准（Pod Security Standards，PSS），包括 privileged, baseline, 和 restricted 三个级别，用于在命名空间级别控制Pod