Pod Security Standards
Что такое Pod Security Standards?
Pod Security StandardsPod Security Standards (PSS) — определённые в Kubernetes профили безопасности Privileged, Baseline и Restricted, фиксирующие безопасную конфигурацию подов вместо устаревшего PodSecurityPolicy.
PSS определяет три кумулятивных профиля. Privileged ничего не ограничивает и предназначен только для системных подов. Baseline блокирует известные пути эскалации: hostNetwork, hostPID, hostPath, privileged-контейнеры и опасные capabilities. Restricted принуждает к практикам усиления: runAsNonRoot, read-only корень, seccomp RuntimeDefault, сброс всех capabilities кроме NET_BIND_SERVICE и запрет хостовых namespaces и опасных томов. Контроллер допуска Pod Security применяет профили на уровне namespace в трёх режимах: enforce, audit и warn. PSS — upstream-преемник PodSecurityPolicy и обычно используется вместе с OPA Gatekeeper или Kyverno.
● Примеры
- 01
Пометить namespace меткой pod-security.kubernetes.io/enforce: restricted.
- 02
PSA отклоняет под с CAP_SYS_ADMIN в namespace с baseline enforce.
● Частые вопросы
Что такое Pod Security Standards?
Pod Security Standards (PSS) — определённые в Kubernetes профили безопасности Privileged, Baseline и Restricted, фиксирующие безопасную конфигурацию подов вместо устаревшего PodSecurityPolicy. Относится к категории Облачная безопасность в кибербезопасности.
Что означает Pod Security Standards?
Pod Security Standards (PSS) — определённые в Kubernetes профили безопасности Privileged, Baseline и Restricted, фиксирующие безопасную конфигурацию подов вместо устаревшего PodSecurityPolicy.
Как защититься от Pod Security Standards?
Защита от Pod Security Standards обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия Pod Security Standards?
Распространённые альтернативные названия: PSS, Pod Security Admission, PSA.