通过配置内置准入控制器实施 Pod 安全标准

在 v1.22 版本中,Kubernetes 提供一种内置的准入控制器 用来强制实施 Pod 安全标准。 你可以配置此准入控制器来设置集群范围的默认值和豁免选项

准备开始

您的 Kubernetes 服务器版本必须不低于版本 v1.22. 要获知版本信息,请输入 kubectl version.

配置准入控制器

  1. apiVersion: apiserver.config.k8s.io/v1
  2. kind: AdmissionConfiguration
  3. plugins:
  4. - name: PodSecurity
  5. configuration:
  6. apiVersion: pod-security.admission.config.k8s.io/v1beta1
  7. kind: PodSecurityConfiguration
  8. # 当未设置 mode 标签时会应用的默认设置
  9. #
  10. # level 标签必须是以下取值之一:
  11. # - "privileged" (默认)
  12. # - "baseline"
  13. # - "restricted"
  14. #
  15. # version 标签必须是如下取值之一:
  16. # - "latest" (默认)
  17. # - 诸如 "v1.24" 这类版本号
  18. defaults:
  19. enforce: "privileged"
  20. enforce-version: "latest"
  21. audit: "privileged"
  22. audit-version: "latest"
  23. warn: "privileged"
  24. warn-version: "latest"
  25. exemptions:
  26. # 要豁免的已认证用户名列表
  27. usernames: []
  28. # 要豁免的运行时类名称列表
  29. runtimeClasses: []
  30. # 要豁免的名字空间列表
  31. namespaces: []

说明:

v1beta1 配置结构需要使用 v1.23+ 版本;对于 v1.22 版本,可使用 v1alpha1。

  1. apiVersion: apiserver.config.k8s.io/v1
  2. kind: AdmissionConfiguration
  3. plugins:
  4. - name: PodSecurity
  5. configuration:
  6. apiVersion: pod-security.admission.config.k8s.io/v1alpha1
  7. kind: PodSecurityConfiguration
  8. # 当未设置 mode 标签时会应用的默认设置
  9. #
  10. # level 标签必须是以下取值之一:
  11. # - "privileged" (默认)
  12. # - "baseline"
  13. # - "restricted"
  14. #
  15. # version 标签必须是如下取值之一:
  16. # - "latest" (默认)
  17. # - 诸如 "v1.24" 这类版本号
  18. defaults:
  19. enforce: "privileged"
  20. enforce-version: "latest"
  21. audit: "privileged"
  22. audit-version: "latest"
  23. warn: "privileged"
  24. warn-version: "latest"
  25. exemptions:
  26. # 要豁免的已认证用户名列表
  27. usernames: []
  28. # 要豁免的运行时类名称列表
  29. runtimeClasses: []
  30. # 要豁免的名字空间列表
  31. namespaces: []

最后修改 June 23, 2022 at 8:04 PM PST: [zh]Update tasks pages(part-4) for links with ‘/zh/‘ prefix, using new prefix ‘/zh-cn/‘ (67cddb1791)