将 PodSecurityPolicy 映射到 Pod 安全标准

下表列出了 PodSecurityPolicy 对象上的配置参数，该字段是否会修改和/或验证 Pod，以及配置值如何映射到 Pod 安全标准。

对于每个适用的参数，列出了 Baseline 和 Restricted 配置文件的允许值。超出这些配置文件允许值的任何内容都将归入 Privileged 配置文件。“无意见”表示所有值在所有 Pod 安全标准下都允许。

有关分步迁移指南，请参阅 从 PodSecurityPolicy 迁移到内置 Pod 安全准入控制器。

PodSecurityPolicy 规范

此表中枚举的字段是 PodSecurityPolicySpec 的一部分，该字段在 .spec 字段路径下指定。

将 PodSecurityPolicySpec 字段映射到 Pod 安全标准
PodSecurityPolicySpec类型Pod 安全标准等效项
privileged验证Baseline & Restricted：false / 未定义 / nil
defaultAddCapabilities修改 & 验证需求与下面的 allowedCapabilities 匹配。
allowedCapabilities验证

Baseline：子集

  • AUDIT_WRITE
  • CHOWN
  • DAC_OVERRIDE
  • FOWNER
  • FSETID
  • KILL
  • MKNOD
  • NET_BIND_SERVICE
  • SETFCAP
  • SETGID
  • SETPCAP
  • SETUID
  • SYS_CHROOT

Restricted：空 / 未定义 / nil 或包含仅 NET_BIND_SERVICE 的列表

requiredDropCapabilities修改 & 验证

Baseline：无意见

Restricted：必须包含 ALL

volumes验证

Baseline：除以下之外的任何内容

  • hostPath
  • *

Restricted：子集

  • configMap
  • csi
  • downwardAPI
  • emptyDir
  • ephemeral
  • persistentVolumeClaim
  • projected
  • secret
hostNetwork验证Baseline & Restricted：false / 未定义 / nil
hostPorts验证Baseline & Restricted：未定义 / nil / 空
hostPID验证Baseline & Restricted：false / 未定义 / nil
hostIPC验证Baseline & Restricted：false / 未定义 / nil
seLinux修改 & 验证

Baseline & Restricted：seLinux.rule 为 MustRunAs，具有以下 options

  • user 未设置 ("" / 未定义 / nil)
  • role 未设置 ("" / 未定义 / nil)
  • type 未设置或为以下之一：container_t, container_init_t, container_kvm_t, container_engine_t
  • level 为任何值
runAsUser修改 & 验证

Baseline：任何值

Restricted：rule 为 MustRunAsNonRoot

runAsGroup修改 (MustRunAs) & 验证无意见
supplementalGroups修改 & 验证无意见
fsGroup修改 & 验证无意见
readOnlyRootFilesystem修改 & 验证无意见
defaultAllowPrivilegeEscalation修改无意见 (非验证)
allowPrivilegeEscalation修改 & 验证

仅当设置为 false 时才进行修改

Baseline：无意见

Restricted：false

allowedHostPaths验证无意见（卷优先）
allowedFlexVolumes验证无意见（卷优先）
allowedCSIDrivers验证无意见（卷优先）
allowedUnsafeSysctls验证Baseline & Restricted：未定义 / nil / 空
forbiddenSysctls验证无意见
allowedProcMountTypes
(alpha 功能)		验证Baseline & Restricted：["Default"] 或未定义 / nil / 空
runtimeClass
 .defaultRuntimeClassName		修改无意见
runtimeClass
 .allowedRuntimeClassNames		验证无意见

PodSecurityPolicy 注解

此表中枚举的 注解 可以在 PodSecurityPolicy 对象的 .metadata.annotations 下指定。

将 PodSecurityPolicy 注解映射到 Pod 安全标准
PSP 注解类型Pod 安全标准等效项
seccomp.security.alpha.kubernetes.io
/defaultProfileName		修改无意见
seccomp.security.alpha.kubernetes.io
/allowedProfileNames		验证

Baseline："runtime/default," （末尾逗号以允许未设置）

Restricted："runtime/default" （无末尾逗号）

localhost/* 值也允许用于 Baseline & Restricted。

apparmor.security.beta.kubernetes.io
/defaultProfileName		修改无意见
apparmor.security.beta.kubernetes.io
/allowedProfileNames		验证

Baseline："runtime/default," （末尾逗号以允许未设置）

Restricted："runtime/default" （无末尾逗号）

localhost/* 值也允许用于 Baseline & Restricted。

上次修改时间：2024 年 7 月 23 日下午 12:19 PST：PSS: add container_engine_t to allowed list of selinux types (06aff012a2)