Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Deutsch
Entry № 838

Pod Security Standards

Was ist Pod Security Standards?

Pod Security StandardsPod Security Standards (PSS) sind von Kubernetes definierte Sicherheitsprofile — Privileged, Baseline und Restricted — die sichere Pod-Konfiguration kodifizieren und das veraltete PodSecurityPolicy ersetzen.

PSS definiert drei kumulative Profile. Privileged ist unbeschraenkt und nur fuer System-Pods gedacht. Baseline blockiert bekannte Eskalationspfade wie hostNetwork, hostPID, hostPath, privilegierte Container und gefaehrliche Capabilities. Restricted erzwingt Best Practices: runAsNonRoot, schreibgeschuetztes Root-FS, seccomp RuntimeDefault, Drop aller Capabilities ausser NET_BIND_SERVICE, keine Host-Namespaces oder unsicheren Volumes. Der Pod Security Admission Controller wendet die Profile pro Namespace in drei Modi an: enforce, audit, warn. PSS ist die Upstream-Nachfolge der PodSecurityPolicy und wird oft mit OPA Gatekeeper oder Kyverno kombiniert.

● Beispiele

  1. 01

    Namespace mit pod-security.kubernetes.io/enforce: restricted labeln.

  2. 02

    PSA lehnt im baseline-enforce-Namespace einen Pod mit CAP_SYS_ADMIN ab.

● Häufige Fragen

Was ist Pod Security Standards?

Pod Security Standards (PSS) sind von Kubernetes definierte Sicherheitsprofile — Privileged, Baseline und Restricted — die sichere Pod-Konfiguration kodifizieren und das veraltete PodSecurityPolicy ersetzen. Es gehört zur Kategorie Cloud-Sicherheit der Cybersicherheit.

Was bedeutet Pod Security Standards?

Pod Security Standards (PSS) sind von Kubernetes definierte Sicherheitsprofile — Privileged, Baseline und Restricted — die sichere Pod-Konfiguration kodifizieren und das veraltete PodSecurityPolicy ersetzen.

Wie funktioniert Pod Security Standards?

PSS definiert drei kumulative Profile. Privileged ist unbeschraenkt und nur fuer System-Pods gedacht. Baseline blockiert bekannte Eskalationspfade wie hostNetwork, hostPID, hostPath, privilegierte Container und gefaehrliche Capabilities. Restricted erzwingt Best Practices: runAsNonRoot, schreibgeschuetztes Root-FS, seccomp RuntimeDefault, Drop aller Capabilities ausser NET_BIND_SERVICE, keine Host-Namespaces oder unsicheren Volumes. Der Pod Security Admission Controller wendet die Profile pro Namespace in drei Modi an: enforce, audit, warn. PSS ist die Upstream-Nachfolge der PodSecurityPolicy und wird oft mit OPA Gatekeeper oder Kyverno kombiniert.

Wie schützt man sich gegen Pod Security Standards?

Schutzmaßnahmen gegen Pod Security Standards kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Welche anderen Bezeichnungen gibt es für Pod Security Standards?

Übliche alternative Bezeichnungen: PSS, Pod Security Admission, PSA.

● Verwandte Begriffe