3、Pod安全策略（PSP）基础：PodSecurityPolicy资源定义、策略模式（Privileged、Baseline、Restricted）、初始策略组配置

3.1 PodSecurityPolicy 概述与资源定义

PodSecurityPolicy（PSP）是 Kubernetes 中一种集群级别的安全资源，用于控制 Pod 在安全敏感维度上的行为规范。PSP 通过准入控制器（PodSecurityPolicy Admission Controller）在 Pod 创建或更新时进行校验，确保 Pod 的 SecurityContext 与预设策略匹配。

一个标准的 PodSecurityPolicy 资源定义包含以下核心字段：

apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
  name: restricted-psp
spec:
  privileged: false
  seLinux:
    rule: RunAsAny
  runAsUser:
    rule: MustRunAsNonRoot
  runAsGroup:
    rule: MustRunAs
    ranges:
    - min: 1000
      max: 65535
  fsGroup:
    rule: MustRunAs
    ranges:
    - min: 1000
      max: 65535
  supplementalGroups:
    rule: MustRunAs
    ranges:
    - min: 1000
      max: 65535
  readOnlyRootFilesystem: true
  requiredDropCapabilities:
  - ALL
  allowPrivilegeEscalation: false
  volumes:
  - configMap
  - emptyDir
  - projected
  - secret
  - downwardAPI
  - persistentVolumeClaim

3.2 策略模式：Privileged、Baseline、Restricted

Kubernetes 官方将 Pod 安全策略归纳为三种标准模式，覆盖从宽松到严格的安全等级。这三种模式构成了 Pod Security Standards（PSS）的核心框架。

3.3 初始策略组配置

在集群中启用 PSP 需要完成以下步骤：准入控制器启用、策略资源创建、RBAC 授权、默认策略绑定。初始策略组通常采用“默认拒绝 + 白名单”模式。

3.3.1 启用 PodSecurityPolicy 准入控制器

# 在 kube-apiserver 启动参数中添加
--enable-admission-plugins=NodeRestriction,PodSecurityPolicy

# 或修改 /etc/kubernetes/manifests/kube-apiserver.yaml
spec:
  containers:
  - command:
    - kube-apiserver
    - --enable-admission-plugins=NodeRestriction,PodSecurityPolicy

3.3.2 初始策略组推荐配置

初始策略组应包含三个层级的策略，并通过 RBAC 绑定到不同的主体：

# 创建 ClusterRole 允许使用特定 PSP
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: psp-restricted
rules:
- apiGroups: ['policy']
  resources: ['podsecuritypolicies']
  resourceNames: ['restricted-psp']
  verbs: ['use']
---
# 绑定到特定命名空间的 ServiceAccount
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: psp-restricted-binding
  namespace: production
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: psp-restricted
subjects:
- kind: ServiceAccount
  name: default
  namespace: production

3.3.3 策略组配置流程

1. 评估现有工作负载：使用 kubectl auth can-i 或 PSP 审计工具检查当前 Pod 的安全上下文。
2. 创建 Baseline 策略：作为默认策略，覆盖 80% 以上的工作负载。
3. 创建 Privileged 策略：仅授予 kube-system 和特定系统组件。
4. 创建 Restricted 策略：针对需要合规审计的命名空间。
5. 配置 RBAC 绑定：使用 ClusterRole + RoleBinding 实现细粒度授权。
6. 启用准入控制器：在确认策略和授权无误后启用。
7. 监控与审计：通过 API Server 审计日志捕获被拒绝的 Pod 创建请求。

3.4 策略生效验证与排错

配置完成后，使用以下方法验证 PSP 是否按预期生效：

# 验证策略是否存在
kubectl get psp

# 测试 Pod 创建是否被允许
kubectl create deployment nginx --image=nginx --replicas=1

# 查看被拒绝的请求（API Server 审计日志）
kubectl logs -n kube-system kube-apiserver-<node> | grep "PodSecurityPolicy"

# 使用 kubectl auth can-i 验证 ServiceAccount 权限
kubectl auth can-i use podsecuritypolicy/restricted-psp \
  --as system:serviceaccount:production:default