Pod Security Policies (PSP)
📌 概念释义与技术定位 (Definition & Overview)
Pod Security Policies 是 Kubernetes 中用于在集群层面强制执行安全策略的已弃用机制，旨在通过定义容器和 Pod 的安全上下文约束，防止恶意或配置错误的容器逃逸风险。
Pod Security Policies (PSP) 是 Kubernetes 早期版本（v1.6 至 v1.21）引入的一项核心安全功能，允许管理员为特定集群定义强制性的安全策略，限制 Pod 的安全上下文（Security Context）配置。其本质是在 API 服务器层拦截并拒绝不符合策略的 Pod 创建请求，从而在容器逃逸风险极高的环境中构建第一道防线。随着 Kubernetes 社区对安全模型的演进，PSP 已被更灵活、细粒度的 Pod Security Standards (PSS) 和 Pod Security Admission (PSA) 机制所取代，但在遗留系统迁移中仍具参考价值。
在现代容器安全架构中，PSP 曾扮演‘安全守门员’的关键角色，通过集中式策略管理解决了早期 Kubernetes 缺乏默认安全约束的痛点。尽管其已被官方弃用，但理解其‘强制约束’的核心逻辑对于构建基于 Pod Security Admission 的零信任架构至关重要。当前生态中，PSP 的职能已完全转移至 Pod Security Admission 插件，后者不仅保留了强制合规能力，还引入了‘最佳实践’、‘受限’和‘特权’三级标准体系，并支持细粒度的资源与网络策略控制，成为云原生安全合规的基石。
⚙️ 核心架构与工作机制 (Technical Mechanism)
PSP 的底层机制依赖于 Kubernetes API Server 的预处理器（Preprocessor）与策略引擎的协同工作。当控制器（Controller）或用户提交 Pod 定义时，API Server 会首先调用 PSP 插件，将 Pod 的安全上下文（如 runAsUser, runAsNonRoot, capabilities 等）与预定义的 PSP 规则进行匹配校验。若 Pod 配置违反了任何一条强制规则（例如试图以 root 身份运行），API Server 将直接拒绝该请求并返回 403 Forbidden 错误，阻止 Pod 被调度至节点。这一过程发生在调度器（Scheduler）介入之前，确保了不合规的 Pod 无法进入集群运行。其核心架构组件包括 PSP 资源对象（定义规则）、API Server 插件（执行拦截）以及 Controller 组件（触发创建请求）。
📖 权威专著深度引证与原文精粹 (Expert Book Insights)
1 本专著引用《Certified Kubernetes Security Specialist (CKS) Study Guide In-Depth Guidance and Practice》
Benjamin Muschko
“Older versions of Kubernetes shipped with a feature called Pod Security Policies (PSP). Pod Security Policies are a concept that help with”
🚀 典型应用场景 (Industrial Applications)
构建高安全等级的生产级 Kubernetes 集群，强制禁止特权容器运行
防止容器逃逸攻击，限制 Pod 挂载主机设备或提升进程权限
在遗留系统迁移期间，作为临时安全加固手段保护现有工作负载
定义严格的网络与资源隔离策略，确保多租户环境下的安全边界
⚖️ 技术优势与工程权衡 (Trade-offs & Pros/Cons)
🟢 核心优势与技术特性
- + 提供强制性的安全约束，从源头杜绝不安全 Pod 的创建
- + 集中化管理策略，降低运维人员配置错误导致的安全风险
- + 在 Kubernetes 早期版本中填补了缺乏默认安全策略的空白
- + 规则定义直观，易于理解与审计，适合快速部署安全基线
🔴 工程考量与潜在挑战
- - 已被 Kubernetes 官方弃用，不再获得社区支持与更新
- - 策略粒度较粗，难以满足现代微服务架构的细粒度安全需求
- - 与 Pod Security Admission (PSA) 相比，缺乏灵活的‘最佳实践’模式
- - 在较新版本的 Kubernetes 中部署会导致集群功能受限或报错
❓ 常见问题速查 (FAQ)
为什么在现代软件架构中需要重视 Pod Security Policies？
在何种场景下应当优先选用 Pod Security Policies？
🔗 推荐协同基座模型与开源工具链
学术引证与可靠性指数
引用专著数
全库出现频次
本词条定义与原理解析直接溯源自行业权威专著与最新同行评审成果，保障工程决策严谨性。
