CKS学习笔记- PodSecurityPolicy练习

什么是PodSecurityPolicy？

PodSecurityPolicy是一个内置的许可控制器，它允许集群管理员控制Pod规范的安全敏感方面。

首先，在集群中创建一个或多个PodSecurityPolicy资源，以定义pod必须满足的需求。然后，创建RBAC规则来控制哪个PodSecurityPolicy应用于给定的pod。

如果pod满足其PSP的要求，它将像往常一样被允许进入集群。在某些情况下，PSP还可以修改Pod字段，有效地为这些字段创建新的默认值。如果Pod不符合PSP要求，它将被拒绝，并且无法运行。

Pod 安全策略 由设置和策略组成，它们能够控制 Pod 访问的安全特征。这些设置分为如下三类：

• 基于布尔值控制 ：这种类型的字段默认为最严格限制的值。
• 基于被允许的值集合控制 ：这种类型的字段会与这组值进行对比，以确认值被允许。
• 基于策略控制 ：设置项通过一种策略提供的机制来生成该值，这种机制能够确保指定的值落在被允许的这组值中。

PSP弃用计划

Kubernetes 1.21中不推荐使用PodSecurityPolicy（PSP）。这将开始倒数计时，但不会改变任何其他内容。

PodSecurityPolicy在被完全删除之前，将继续在多个版本中完全发挥功能。同时，Kubernetes官方正在开发一种PSP的替代品，它更容易和可持续地覆盖关键用例。

目前的计划是在1.25版本中从Kubernetes中删除PSP。

示例

利用PSP防止在特定namespace产