3. 安全基线概念：CIS Kubernetes Benchmark、Pod安全标准（PSA）、OPA Gatekeeper策略

在云原生环境中，安全基线是保障集群与工作负载合规的“最低门槛”。本章聚焦三大核心安全基线框架：CIS Kubernetes Benchmark（基础设施层）、Pod 安全标准（PSA）（工作负载层）和 OPA Gatekeeper（策略引擎层）。理解这三者的定位与协作，是构建自动化回滚触发条件的基础。

3.1 三大安全基线定位对比

3.2 CIS Kubernetes Benchmark：基础设施基线

CIS Kubernetes Benchmark 是业界公认的 Kubernetes 安全配置标准，覆盖控制面组件、etcd、kubelet、工作节点及 RBAC 等关键领域。常用工具 kube-bench 可自动执行检查并输出报告。

核心检查项分类（部分示例）

• 控制面：API Server 匿名认证禁用、--authorization-mode 包含 Node/RBAC、etcd 加密存储。
• 工作节点：kubelet 匿名访问禁用、--protect-kernel-defaults 开启、Pod 安全策略绑定。
• RBAC：避免 cluster-admin 绑定给非管理员用户、限制 secrets 访问权限。

# 使用 kube-bench 执行 CIS 检查（示例命令）
kube-bench run --targets master,node --version 1.28 --json > cis-report.json

# 检查失败项示例输出（简化）
{
  "id": "1.2.7",
  "text": "Ensure that the --authorization-mode argument is not set to AlwaysAllow",
  "status": "FAIL",
  "remediation": "Edit the API Server manifest to set --authorization-mode=Node,RBAC"
}

3.3 Pod 安全标准（PSA）：工作负载运行时基线

PSA 是 Kubernetes v1.23+ 内置的 Pod 安全准入机制，替代了旧的 PodSecurityPolicy（PSP）。它定义了三个等级，通过标签 pod-security.kubernetes.io/enforce 在命名空间级别生效。

# 为命名空间设置 PSA 等级（示例）
apiVersion: v1
kind: Namespace
metadata:
  name: production
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/warn: restricted

3.4 OPA Gatekeeper：可编程策略引擎

OPA Gatekeeper 是 CNCF 毕业项目，通过 Rego 策略语言 实现可编程的 Kubernetes 准入控制。它允许运维团队定义任意资源约束，例如：强制所有镜像来自私有仓库、禁止使用 latest 标签、要求所有 Ingress 配置 TLS 等。

Gatekeeper 核心组件

• ConstraintTemplate：定义 Rego 策略模板，描述约束逻辑。
• Constraint：实例化模板，指定作用范围（如命名空间、资源类型）。
• Admission Webhook：拦截资源创建/更新请求，执行策略评估。

# ConstraintTemplate 示例：禁止使用 latest 镜像标签
apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8sdisallowedtags
spec:
  crd:
    spec:
      names:
        kind: K8sDisallowedTags
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8sdisallowedtags
        violation[{"msg": msg}] {
          container := input.review.object.spec.containers[_]
          endswith(container.image, ":latest")
          msg := sprintf("Image %v uses tag 'latest' which is not allowed", [container.image])
        }
---
# Constraint 实例化
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sDisallowedTags
metadata:
  name: block-latest-tag
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Pod"]
    namespaces: ["production"]
  parameters: {}  # 无额外参数

3.5 三层安全基线协作架构

下图展示了 CIS、PSA、Gatekeeper 在 Kubernetes 集群中的协作关系，以及它们如何与 Argo CD 回滚流程联动。

3.6 在 Argo CD 中集成安全基线

将上述安全基线集成到 Argo CD 回滚流程中，通常采用以下模式：

1. 预同步检查：在 Argo CD PreSync hook 中运行 kube-bench 或 Gatekeeper 策略检查，若失败则中止同步。
2. 同步失败检测：Argo CD 监控同步状态，当 PSA 或 Gatekeeper 拒绝资源时，状态变为 Failed。
3. 自动回滚触发：配置 automated.selfHeal: true 和 syncPolicy.retry，在失败后自动回滚到上一个成功同步的版本。
4. 审计与告警：将 CIS 扫描结果、PSA 违规事件、Gatekeeper 拒绝日志发送到监控系统（如 Prometheus + Alertmanager），触发回滚决策。

# Argo CD Application 示例：集成安全回滚
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: secure-app
spec:
  destination:
    namespace: production
    server: https://kubernetes.default.svc
  source:
    repoURL: https://git.example.com/secure-app.git
    path: manifests
    targetRevision: HEAD
  syncPolicy:
    automated:
      prune: true
      selfHeal: true
    retry:
      limit: 2
      backoff:
        duration: 10s
        factor: 2
        maxDuration: 1m
  # 通过 PreSync hook 执行安全基线检查（示例）
  hooks:
    - type: PreSync
      template:
        spec:
          containers:
            - name: security-check
              image: aquasec/kube-bench:latest
              command: ["kube-bench", "run", "--targets", "node", "--json"]
          restartPolicy: Never