3. 安全基线定义：什么是安全基线、常见安全基线标准（CIS、NIST）、如何在Kubernetes中定义安全基线策略

3.1 安全基线的核心概念

安全基线（Security Baseline）是指一组经过验证、最小化的安全配置规则集合，用于确保系统、容器或集群在部署时处于已知的安全状态。它不是最高安全等级，而是“最低可接受的安全门槛”——任何偏离基线的配置都应被视为潜在风险，触发告警或自动修复。

3.2 常见安全基线标准对比

3.3 在 Kubernetes 中定义安全基线策略

Kubernetes 原生提供了三层安全基线定义机制，从集群级到工作负载级逐层收紧：

1. Pod Security Standards (PSS) — 内置的 Pod 安全策略，分 privileged、baseline、restricted 三个档位。
2. OPA/Gatekeeper — 通过 ConstraintTemplate 和 Constraint 自定义任意安全规则。
3. Kyverno — 专为 Kubernetes 设计的策略引擎，支持 mutate/validate/generate。

3.3.1 使用 Pod Security Standards 定义基线

Kubernetes v1.23+ 推荐使用 Pod Security Admission（PSA）替代废弃的 PodSecurityPolicy。以下示例将 baseline 级别应用于 production 命名空间：

apiVersion: v1
kind: Namespace
metadata:
  name: production
  labels:
    pod-security.kubernetes.io/enforce: baseline
    pod-security.kubernetes.io/enforce-version: latest
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/warn: restricted

baseline 级别禁止的行为包括：

• 特权容器（privileged: true）
• 宿主机 PID/IPC/网络命名空间共享
• 允许 hostPort、hostNetwork
• 允许 seccomp 未设置或设置为 unconfined
• 允许 capabilities 包含 CAP_SYS_ADMIN 等危险权限

3.3.2 使用 OPA/Gatekeeper 定义自定义基线

当内置 PSS 无法覆盖业务特定规则时（例如：必须禁止挂载 /var/run/docker.sock、必须设置 readOnlyRootFilesystem: true），使用 Gatekeeper 定义 ConstraintTemplate：

apiVersion: templates.gatekeeper.sh/v1beta1
kind: ConstraintTemplate
metadata:
  name: k8sbaselineblockhostpaths
spec:
  crd:
    spec:
      names:
        kind: K8sBaselineBlockHostPaths
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8sbaselineblockhostpaths
        violation[{"msg": msg}] {
          container := input.review.object.spec.containers[_]
          container.volumeMounts[_].mountPath == "/var/run/docker.sock"
          msg := sprintf("Container %v mounts docker socket, which is forbidden by baseline", [container.name])
        }

3.3.3 使用 Kyverno 定义声明式基线

Kyverno 的 YAML 风格更接近 Kubernetes 原生资源，适合快速编写常见基线规则：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: baseline-restrict-seccomp
spec:
  validationFailureAction: Enforce
  rules:
    - name: require-seccomp-profile
      match:
        any:
          - resources:
              kinds:
                - Pod
      validate:
        message: "Seccomp profile must be set to RuntimeDefault or Localhost"
        pattern:
          spec:
            securityContext:
              seccompProfile:
                type: "RuntimeDefault"

3.4 安全基线策略与 GitOps 的集成架构

下图展示了安全基线在 GitOps 工作流中的位置——策略即代码（Policy as Code）存储在 Git 仓库中，通过 Admission Controller 在部署时强制校验，并通过 Argo CD 的健康检查反馈合规状态：

3.5 基线策略的自动化验证清单

在将安全基线集成到 Argo CD 自动化回滚体系之前，建议按以下清单逐项确认：