Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 838

Pod Security Standards

Что такое Pod Security Standards?

Pod Security StandardsPod Security Standards (PSS) — определённые в Kubernetes профили безопасности Privileged, Baseline и Restricted, фиксирующие безопасную конфигурацию подов вместо устаревшего PodSecurityPolicy.

PSS определяет три кумулятивных профиля. Privileged ничего не ограничивает и предназначен только для системных подов. Baseline блокирует известные пути эскалации: hostNetwork, hostPID, hostPath, privileged-контейнеры и опасные capabilities. Restricted принуждает к практикам усиления: runAsNonRoot, read-only корень, seccomp RuntimeDefault, сброс всех capabilities кроме NET_BIND_SERVICE и запрет хостовых namespaces и опасных томов. Контроллер допуска Pod Security применяет профили на уровне namespace в трёх режимах: enforce, audit и warn. PSS — upstream-преемник PodSecurityPolicy и обычно используется вместе с OPA Gatekeeper или Kyverno.

● Примеры

  1. 01

    Пометить namespace меткой pod-security.kubernetes.io/enforce: restricted.

  2. 02

    PSA отклоняет под с CAP_SYS_ADMIN в namespace с baseline enforce.

● Частые вопросы

Что такое Pod Security Standards?

Pod Security Standards (PSS) — определённые в Kubernetes профили безопасности Privileged, Baseline и Restricted, фиксирующие безопасную конфигурацию подов вместо устаревшего PodSecurityPolicy. Относится к категории Облачная безопасность в кибербезопасности.

Что означает Pod Security Standards?

Pod Security Standards (PSS) — определённые в Kubernetes профили безопасности Privileged, Baseline и Restricted, фиксирующие безопасную конфигурацию подов вместо устаревшего PodSecurityPolicy.

Как работает Pod Security Standards?

PSS определяет три кумулятивных профиля. Privileged ничего не ограничивает и предназначен только для системных подов. Baseline блокирует известные пути эскалации: hostNetwork, hostPID, hostPath, privileged-контейнеры и опасные capabilities. Restricted принуждает к практикам усиления: runAsNonRoot, read-only корень, seccomp RuntimeDefault, сброс всех capabilities кроме NET_BIND_SERVICE и запрет хостовых namespaces и опасных томов. Контроллер допуска Pod Security применяет профили на уровне namespace в трёх режимах: enforce, audit и warn. PSS — upstream-преемник PodSecurityPolicy и обычно используется вместе с OPA Gatekeeper или Kyverno.

Как защититься от Pod Security Standards?

Защита от Pod Security Standards обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия Pod Security Standards?

Распространённые альтернативные названия: PSS, Pod Security Admission, PSA.

● Связанные термины