Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Español
Entry № 838

Pod Security Standards

¿Qué es Pod Security Standards?

Pod Security StandardsLos Pod Security Standards (PSS) son perfiles de seguridad definidos por Kubernetes —Privileged, Baseline y Restricted— que codifican la configuracion segura de pods y sustituyen al obsoleto PodSecurityPolicy.

PSS define tres perfiles acumulativos. Privileged no impone restricciones y solo deberia usarse para pods del sistema. Baseline bloquea las escaladas mas conocidas como hostNetwork, hostPID, hostPath, contenedores privilegiados y capabilities peligrosas. Restricted exige buenas practicas de endurecimiento: runAsNonRoot, sistema de ficheros raiz de solo lectura, seccomp RuntimeDefault, dropping de todas las capabilities salvo NET_BIND_SERVICE y prohibir namespaces de host o volumenes inseguros. El admission controller Pod Security aplica estos perfiles por namespace en tres modos: enforce, audit y warn. PSS reemplaza upstream a PodSecurityPolicy y suele combinarse con OPA Gatekeeper o Kyverno.

● Ejemplos

  1. 01

    Etiquetar un namespace con pod-security.kubernetes.io/enforce: restricted.

  2. 02

    PSA rechaza un pod que pide CAP_SYS_ADMIN en un namespace con baseline en enforce.

● Preguntas frecuentes

¿Qué es Pod Security Standards?

Los Pod Security Standards (PSS) son perfiles de seguridad definidos por Kubernetes —Privileged, Baseline y Restricted— que codifican la configuracion segura de pods y sustituyen al obsoleto PodSecurityPolicy. Pertenece a la categoría de Seguridad en la nube en ciberseguridad.

¿Qué significa Pod Security Standards?

Los Pod Security Standards (PSS) son perfiles de seguridad definidos por Kubernetes —Privileged, Baseline y Restricted— que codifican la configuracion segura de pods y sustituyen al obsoleto PodSecurityPolicy.

¿Cómo funciona Pod Security Standards?

PSS define tres perfiles acumulativos. Privileged no impone restricciones y solo deberia usarse para pods del sistema. Baseline bloquea las escaladas mas conocidas como hostNetwork, hostPID, hostPath, contenedores privilegiados y capabilities peligrosas. Restricted exige buenas practicas de endurecimiento: runAsNonRoot, sistema de ficheros raiz de solo lectura, seccomp RuntimeDefault, dropping de todas las capabilities salvo NET_BIND_SERVICE y prohibir namespaces de host o volumenes inseguros. El admission controller Pod Security aplica estos perfiles por namespace en tres modos: enforce, audit y warn. PSS reemplaza upstream a PodSecurityPolicy y suele combinarse con OPA Gatekeeper o Kyverno.

¿Cómo defenderse de Pod Security Standards?

Las defensas contra Pod Security Standards combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

¿Cuáles son otros nombres para Pod Security Standards?

Nombres alternativos comunes: PSS, Pod Security Admission, PSA.

● Términos relacionados