#Pod Security Admission

参考官方 Kubernetes 文档：Pod Security Admission

Pod Security Admission（PSA）是一个 Kubernetes 的 admission controller，通过验证 Pod 规范是否符合预定义标准，在命名空间级别强制执行安全策略。

#Security Modes

PSA 定义了三种模式来控制如何处理策略违规：

关键说明：

• Enforce 仅作用于 Pod（例如，拒绝 Pod，但允许非 Pod 资源如 Deployment）。
• Audit 和 Warn 作用于 Pod 及其控制器（例如 Deployment）。

#Security Standards

PSA 定义了三种安全标准来限制 Pod 权限：

#Configuration

#Namespace Labels

通过给命名空间应用标签来定义 PSA 策略。

YAML 文件示例

apiVersion: v1
kind: Namespace
metadata:
  name: example-namespace
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/audit: baseline
    pod-security.kubernetes.io/warn: baseline

CLI 命令

# 第一步：更新 Pod Admission 标签
kubectl label namespace <namespace-name> \
  pod-security.kubernetes.io/enforce=baseline \
  pod-security.kubernetes.io/audit=restricted \
  --overwrite

# 第二步：验证标签
kubectl get namespace <namespace-name> --show-labels

#Exemptions

对特定用户、命名空间或 runtime classes 免除 PSA 检查。

示例配置：

apiVersion: pod-security.admission.config.k8s.io/v1
kind: PodSecurityConfiguration
exemptions:
  usernames: ['admin']
  runtimeClasses: ['nvidia']
  namespaces: ['kube-system']