安全策略
PodSecurityPolicy
📌 概念释义与技术定位 (Definition & Overview)
PodSecurityPolicy 是 Kubernetes 集群中用于强制实施容器安全基线、限制容器运行时行为及资源访问权限的已废弃安全策略模型，旨在通过最小特权原则构建容器环境的防御纵深。
PodSecurityPolicy (PSP) 是 Kubernetes 1.7 至 1.21 版本间引入的一项核心安全机制，其本质是一套基于 RBAC 的静态策略模型，用于定义允许创建或更新 Pod 的严格规则集。它不直接控制 Pod 运行时的行为，而是作为 Gatekeeper 的前置过滤器，拦截不符合安全基线的 Pod 定义。随着 Kubernetes 1.25 版本的发布，PSP 已被标记为废弃（Deprecated），其功能由 Pod Security Standards (PSS) 和 OPA Gatekeeper 等动态策略机制取代，标志着容器安全治理从静态白名单向动态策略管理的范式转移。
在 Kubernetes 生态演进中，PSP 曾长期扮演‘容器安全守门员’的角色，通过强制实施最小特权原则，有效遏制了容器逃逸、特权容器滥用及资源耗尽等风险。尽管其静态配置模式在应对复杂动态环境时显得僵化，但在早期 Kubernetes 版本中，它是构建企业级安全合规基线的唯一标准化工具。当前，PSP 正逐步退出历史舞台，被更灵活的 Pod Security Admission (PSA) 标准所继承，后者允许管理员根据集群需求选择‘受限’、‘基线’或‘特权’等预定义标准，实现了安全策略的动态化与标准化，解决了 PSP 无法适应云原生动态编排的痛点。
⚙️ 核心架构与工作机制 (Technical Mechanism)
PSP 的核心机制在于其基于 YAML 声明式的规则引擎，通过定义 `spec` 中的 `allowedHostPaths`、`allowedCapabilities`、`privileged` 等字段，精确控制容器的挂载路径、系统能力（如 NET_ADMIN）、特权模式及资源限制。当 API Server 接收到新的 Pod 创建请求时，PSP 组件会拦截该请求，将其与预定义的策略规则进行匹配校验。若 Pod 定义中的任何属性（如使用了 `root` 用户或挂载了敏感路径）违反了 PSP 的约束，请求将被直接拒绝并返回错误。其底层逻辑依赖于 Kubernetes 的 API 服务器鉴权与授权流程，通过 RBAC 机制确保只有具备特定权限的管理员才能修改 PSP 策略，从而形成了一套‘策略定义 - 请求拦截 - 拒绝执行’的闭环控制流，确保集群内所有容器运行在预设的安全基线上。
📖 权威专著深度引证与原文精粹 (Expert Book Insights)
3 本专著引用《Kubernetes进阶实战（第2版）》
马永亮
“名称空间本身并不具有网络隔离和访问限制等功能，但它可以作为网络访问控制策略（NetworkPolicy）、授权策略（RBAC）、资源限制策略（ResourceQuota）和Pod安全策略（PodSecurityPolicy）等管理逻辑的承载组件，这也是支撑集群“多租户”机制的基础组件。”
《Kubernetes生产化实践之路》
孟凡杰等
“Kubernetes 中的能够打破容器隔离的配置中，除shareProcessNamespace 外，其他配置均为特殊权限，由Pod 安全策略（PSP）来管理，想要获得任何特殊权限，都需要通过RBAC来授权。”
《Kubernetes修炼手册》
（英）奈吉尔·波尔顿（Nigel Poulton）
“这样可以确保文件系统是不可修改的，我们可以通过在部署文件中设置Pod安全策略（Pod security policy）或指定securityContext的属性值来配置它。”
🚀 典型应用场景 (Industrial Applications)
构建企业级 Kubernetes 集群的默认安全基线，强制禁止特权容器运行
限制容器挂载敏感系统路径（如 /etc/passwd, /proc）及挂载特定设备
控制容器的网络能力（Capabilities）与系统调用权限，防止提权攻击
作为合规审计工具，确保集群内所有 Pod 符合特定的安全标准（如 PCI-DSS）
⚖️ 技术优势与工程权衡 (Trade-offs & Pros/Cons)
🟢 核心优势与技术特性
- + 提供细粒度的静态控制能力，可精确定义容器运行的所有安全边界
- + 与 Kubernetes 原生 RBAC 深度集成，无需额外组件即可生效
- + 在早期版本中是解决容器逃逸风险最直接、最广泛采用的方案
🔴 工程考量与潜在挑战
- - 静态配置模式难以适应云原生环境的动态编排与快速迭代需求
- - 无法处理复杂的动态策略逻辑，维护成本随集群规模线性增长
- - 已被 Kubernetes 官方废弃，在新版本集群中不再支持，需迁移至 PSA
❓ 常见问题速查 (FAQ)
为什么在现代软件架构中需要重视 安全策略？
在何种场景下应当优先选用 安全策略？
🔗 推荐协同基座模型与开源工具链
学术引证与可靠性指数
引用专著数
全库出现频次
本词条定义与原理解析直接溯源自行业权威专著与最新同行评审成果，保障工程决策严谨性。
