4. K8s 策略评审最佳实践：最小权限原则、命名空间隔离、资源配额策略、安全上下文策略

策略评审是保障 Kubernetes 集群安全与稳定运行的核心环节。本章聚焦于四项关键策略的最佳实践：最小权限原则、命名空间隔离、资源配额策略与安全上下文策略。通过系统化的评审与实施，可显著降低攻击面、防止资源争抢并提升合规性。

4.1 最小权限原则：从 RBAC 到 ServiceAccount

最小权限原则要求每个实体（用户、Pod、ServiceAccount）仅获得完成其任务所必需的最小权限集。在 K8s 中，这主要通过 RBAC（基于角色的访问控制） 实现。

4.1.1 RBAC 角色与绑定评审清单

4.1.2 自动化审计命令

# 检查所有 ClusterRole 中是否包含通配符资源
kubectl get clusterrole -o json | jq '.items[] | select(.rules[].resources[] == "*") | .metadata.name'

# 检查默认 ServiceAccount 是否被绑定到 Role
kubectl get rolebinding -A -o json | jq '.items[] | select(.subjects[].name == "default") | .metadata.namespace'

4.2 命名空间隔离：逻辑边界与网络策略

命名空间（Namespace）是 K8s 中实现多租户隔离的基本单元。但仅靠命名空间无法提供网络隔离，必须配合 NetworkPolicy 和 ResourceQuota 才能形成完整的安全边界。

4.2.1 命名空间设计模式

• 环境隔离： 为 dev、staging、prod 分别创建独立命名空间，避免资源混淆。
• 团队隔离： 每个团队拥有专属命名空间，配合 RBAC 限制跨团队访问。
• 应用隔离： 复杂应用（如微服务）使用独立命名空间，便于故障域隔离。
• 系统组件隔离： 将 kube-system、ingress-nginx、monitoring 等系统组件放入专用命名空间。

4.2.2 默认拒绝网络策略

在关键命名空间中，应部署默认拒绝所有入站/出站流量的 NetworkPolicy，然后按需放行。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: production
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

4.3 资源配额策略：防止资源争抢与容量规划

ResourceQuota 和 LimitRange 是控制命名空间资源消耗的关键策略。评审时应关注配额设置的合理性与完整性。

4.3.1 资源配额评审要点

4.3.2 配额冲突检测

# 查看命名空间当前配额使用率
kubectl describe quota -n <namespace>

# 检查是否有 Pod 因配额不足而 Pending
kubectl get pods -n <namespace> --field-selector=status.phase=Pending

4.4 安全上下文策略：Pod 与容器的安全基线

SecurityContext 定义了 Pod 或容器的权限与访问控制属性。评审时应重点关注以下维度：

4.4.1 安全上下文关键字段

4.4.2 Pod Security Standards (PSS) 集成

K8s 1.23+ 推荐使用 Pod Security Admission 替代废弃的 PodSecurityPolicy。PSS 定义了三个等级：

• Privileged： 无限制，仅用于系统级组件。
• Baseline： 禁止已知的提权行为，适用于大多数应用。
• Restricted： 遵循 Pod 安全最佳实践，适用于高安全环境。

# 为命名空间启用 Restricted 级别
apiVersion: v1
kind: Namespace
metadata:
  name: secure-app
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: latest

4.5 策略评审综合流程图

以下 SVG 展示了策略评审的完整流程，从代码提交到合规验证的闭环。

4.6 策略即代码：自动化评审工具链

将策略评审集成到 CI/CD 流水线中，实现自动化验证。推荐工具链如下：

# 使用 Checkov 扫描 K8s 清单
checkov -d ./k8s-manifests --framework kubernetes

# 使用 Kubescape 扫描集群
kubescape scan --enable-host-scan --format json --output report.json