Kubernetes 使用名字空间标签来实施Pod安全性标准

2022-06-11 11:35 更新

在开始之前

您的 Kubernetes 服务器必须为 v1.22 或更高版本。 要检查版本,请输入 ​kubectl version​。

  • 确保 ​PodSecurity ​特性门控已被启用。

通过名字空间标签来要求实施 baseline Pod 容器标准 

下面的清单定义了一个 ​my-baseline-namespace​ 名字空间,其中

  • 阻止任何不满足 ​baseline ​策略要求的 Pods;
  • 针对任何无法满足 ​restricted ​策略要求的、已创建的 Pod 为用户生成警告信息, 并添加审计注解;
  • 将 ​baseline ​和 ​restricted ​策略的版本锁定到 v1.24。

apiVersion: v1
kind: Namespace
metadata:
  name: my-baseline-namespace
  labels:
    pod-security.kubernetes.io/enforce: baseline
    pod-security.kubernetes.io/enforce-version: v1.24

    # 我们将这些标签设置为我们所 _期望_ 的 `enforce` 级别
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/audit-version: v1.24
    pod-security.kubernetes.io/warn: restricted
    pod-security.kubernetes.io/warn-version: v1.24

使用 kubectl label 为现有名字空间添加标签

Note:
在添加或变更 ​enforce ​策略(或版本)标签时,准入插件会测试名字空间中的每个 Pod 以检查其是否满足新的策略。不符合策略的情况会被以警告的形式返回给用户。

在刚开始为名字空间评估安全性策略变更时,使用 ​--dry-run​ 标志是很有用的。 Pod 安全性标准会在 dry run(试运行) 模式下运行,在这种模式下会生成新策略如何处理现有 Pod 的信息, 但不会真正更新策略。

kubectl label --dry-run=server --overwrite ns --all \
    pod-security.kubernetes.io/enforce=baseline

应用到所有名字空间

如果你是刚刚开始使用 Pod 安全性标准,一种比较合适的初始步骤是针对所有名字空间为类似 ​baseline ​这种比较严格的安全级别配置审计注解。

kubectl label --overwrite ns --all \
  pod-security.kubernetes.io/audit=baseline \
  pod-security.kubernetes.io/warn=baseline

注意,这里没有设置 enforce 级别,因而没有被显式评估的名字空间可以被识别出来。 你可以使用下面的命令列举那些没有显式设置 enforce 级别的名字空间:

kubectl get namespaces --selector='!pod-security.kubernetes.io/enforce'

应用到单个名字空间

你也可以更新特定的名字空间。下面的命令将 ​enforce=restricted​ 策略应用到 ​my-existing-namespace​ 名字空间,将 restricted 策略的版本锁定到 v1.24。

kubectl label --overwrite ns my-existing-namespace \
  pod-security.kubernetes.io/enforce=restricted \
  pod-security.kubernetes.io/enforce-version=v1.24


以上内容是否对您有帮助:
在线笔记
App下载
App下载

扫描二维码

下载编程狮App

公众号
微信公众号

编程狮公众号