简述Kubernetes PodSecurityPolicy机制?

八股文_Kubernetes 0 14

参考回答

Kubernetes 的 PodSecurityPolicy (PSP) 是一种用于控制 Pod 安全性的机制，旨在确保集群中运行的 Pod 遵循特定的安全策略。PSP 通过限制 Pod 的运行方式和设置，增强集群的安全性，防止恶意或不安全的配置被应用。

PSP 主要通过以下方式来控制 Pod 的安全性：
1. 特权模式：禁止或限制 Pod 以特权模式运行，这可以防止容器拥有过多的系统权限。
2. 用户权限：控制容器是否可以使用 root 用户或其它特定用户。
3. 存储卷：限制 Pod 挂载主机文件系统或者使用某些类型的存储卷。
4. 网络访问：限制容器对主机的网络访问。
5. 容器的 Sysctl 设置：限制容器可以修改的系统参数。
6. Linux 安全模块：如 AppArmor 和 SELinux 等，控制容器的权限和访问。

PSP 是通过定义一组安全策略来确保 Pod 符合预定义的规则，并且这些规则可以对不同的用户、组或命名空间生效。

详细讲解与拓展

1. PodSecurityPolicy 的工作原理

PodSecurityPolicy 本质上是一种控制器，它通过定义 Pod 可以或不可以执行的操作来确保集群中的 Pod 符合安全要求。当创建、更新或删除 Pod 时，Kubernetes 会通过审查 Pod 请求是否符合 PSP 的安全规则。只有符合 PSP 策略的 Pod 才会被允许创建或运行。

PSP 的定义：一个 PSP 规则通常包含以下几个重要部分：
- 特权模式：限制容器是否能运行特权模式，特权模式使得容器有更多的权限，通常只允许经过严格审核的容器在此模式下运行。
- 容器用户与组：限制容器运行时的用户和组。例如，可以禁用容器以 root 用户身份运行。
- 卷类型：定义容器能挂载的卷类型，如 hostPath 卷通常是不安全的，因为它能让容器访问主机文件系统。
- Linux 安全模块（LSM）：如 SELinux 和 AppArmor，用来控制容器在运行时的访问权限。

当 Kubernetes 中的 Pod 请求创建时，API Server 会验证该请求是否符合所有激活的 PodSecurityPolicy。如果不符合，则请求会被拒绝。

2. PSP 控制的安全设置

以下是 PSP 可以控制的一些常见安全设置：

特权模式：
Pod 是否能够以特权模式运行，特权模式允许容器执行一些敏感操作，如访问主机设备。
```
privileged: false
```
YAML
容器用户和组：
设置容器的运行用户，禁止容器使用 root 用户。
```
runAsUser:
rule: MustRunAsNonRoot
```
YAML
主机文件系统的访问：
控制容器是否可以挂载主机文件系统的路径。例如，禁止 Pod 使用 hostPath 卷，防止容器访问主机的敏感文件。
```
volumes:
- hostPath
```
YAML
控制 Sysctl 设置：
限制容器在运行时对操作系统内核参数（sysctl）的修改。
```
allowedUnsafeSysctls:
- "net.ipv4.ip_forward"
```
YAML
AppArmor 和 SELinux 设置：
可以强制容器使用指定的安全配置文件，如 AppArmor 配置文件。
```
seLinux:
rule: RunAsAny
```
YAML
网络与 IPC：
控制 Pod 是否可以共享 IPC 或网络命名空间，避免容器之间互相影响。
```
shareProcessNamespace: false
```
YAML

3. PSP 的应用

PSP 通过角色绑定（RBAC）与特定的用户、组或服务账户绑定。当用户请求创建或更新 Pod 时，Kubernetes 会检查该用户是否有权限使用某个 PSP。如果用户没有权限，则 Pod 请求会被拒绝。

PSP 是集群级的策略，可以确保在整个集群中所有 Pod 都遵守相同的安全政策，避免某些 Pod 被错误配置或以不安全的方式运行。

4. PSP 的优缺点

优点：
- 强化安全性：通过对 Pod 的运行方式进行严格的安全策略限制，防止容器出现过多的权限暴露。
- 集群级控制：PSP 提供了一种集中式的方式来管理所有 Pod 的安全性，简化了安全管理。
缺点：
- 过度限制：某些安全策略可能对某些应用造成不必要的限制，导致应用无法正常运行。为避免这种情况，管理员需要仔细设计和调整 PSP 策略。
- 已经弃用：从 Kubernetes 1.21 版本开始，PSP 已经被标记为弃用，未来会被 Pod Security Standards（PSS）取代。PSS 是一个更简单、易于管理的安全标准，它基于 Kubernetes 的标准工作负载进行强化。

5. PSP 的替代方案：PodSecurity Standards

由于 PSP 的一些复杂性和局限性，Kubernetes 从 1.21 版本开始提供了一个新的安全标准——PodSecurity Standards (PSS)，它将逐步替代 PSP。PSS 提供了三种级别的安全策略：
– Privileged：最少限制，允许容器运行特权操作。
– Baseline：适用于大多数用例，提供合理的安全配置。
– Restricted：最严格的安全策略，适用于高度安全要求的场景。

总结

Kubernetes 的 PodSecurityPolicy (PSP) 是一种用于控制 Pod 安全性的机制，通过限制 Pod 的特定功能（如特权模式、容器用户、卷类型等）来增强集群的安全性。尽管 PSP 提供了集中的安全管理，但由于其复杂性，已经被 Kubernetes 1.21 版本标记为弃用，未来会由 PodSecurity Standards (PSS) 取代。管理员应根据需求迁移到新的安全标准，并继续加强集群的安全性。