将 PodSecurityPolicies 映射到 Pod 安全标准

下表列出了 PodSecurityPolicy 对象上的配置参数、字段是否会修改和/或验证 pod 以及配置值如何映射到 Pod 安全标准。

对于每个适用的参数，都会列出 基线 和 受限 配置文件中允许的值。这些配置文件中允许的值以外的任何内容都将属于 特权 配置文件。 “无意见”表示所有值在所有 Pod 安全标准下都是允许的。

有关分步迁移指南，请参见 从 PodSecurityPolicy 迁移到内置 PodSecurity Admission Controller。

PodSecurityPolicy Spec

此表中列出的字段是 PodSecurityPolicySpec 的一部分，该字段在 .spec 字段路径下指定。

将 PodSecurityPolicySpec 字段映射到 Pod 安全标准
PodSecurityPolicySpec类型等效的 Pod 安全标准
privileged验证基线和受限：false / 未定义 / 为空
defaultAddCapabilities修改和验证要求与下面的 allowedCapabilities 匹配。
allowedCapabilities验证

基线：的子集

  • AUDIT_WRITE
  • CHOWN
  • DAC_OVERRIDE
  • FOWNER
  • FSETID
  • KILL
  • MKNOD
  • NET_BIND_SERVICE
  • SETFCAP
  • SETGID
  • SETPCAP
  • SETUID
  • SYS_CHROOT

受限：为空 / 未定义 / 为空或仅包含 NET_BIND_SERVICE 的列表

requiredDropCapabilities修改和验证

基线：无意见

受限：必须包含 ALL

volumes验证

基线：除了

  • hostPath
  • *

受限：的子集

  • configMap
  • csi
  • downwardAPI
  • emptyDir
  • ephemeral
  • persistentVolumeClaim
  • projected
  • secret
hostNetwork验证基线和受限：false / 未定义 / 为空
hostPorts验证基线和受限：未定义 / 为空 / 为空
hostPID验证基线和受限：false / 未定义 / 为空
hostIPC验证基线和受限：false / 未定义 / 为空
seLinux修改和验证

基线和受限：seLinux.rule 为 MustRunAs，具有以下 options

  • user 未设置 ("" / 未定义 / 为空)
  • role 未设置 ("" / 未定义 / 为空)
  • type 未设置或为以下之一：container_t, container_init_t, container_kvm_t, container_engine_t
  • level 为任何值
runAsUser修改和验证

基线：任何值

受限：rule 为 MustRunAsNonRoot

runAsGroup修改（MustRunAs）和验证无意见
supplementalGroups修改和验证无意见
fsGroup修改和验证无意见
readOnlyRootFilesystem修改和验证无意见
defaultAllowPrivilegeEscalation修改无意见（非验证）
allowPrivilegeEscalation修改和验证

仅在设置为 false 时修改

基线：无意见

受限：false

allowedHostPaths验证无意见（volumes 优先级更高）
allowedFlexVolumes验证无意见（volumes 优先级更高）
allowedCSIDrivers验证无意见（volumes 优先级更高）
allowedUnsafeSysctls验证基线和受限：未定义 / 为空 / 为空
forbiddenSysctls验证无意见
allowedProcMountTypes
(alpha 特性)		验证基线和受限：["Default"] 或未定义 / 为空 / 为空
runtimeClass
 .defaultRuntimeClassName		修改无意见
runtimeClass
 .allowedRuntimeClassNames		验证无意见

PodSecurityPolicy 注释

此表中列出的 注释 可以在 PodSecurityPolicy 对象的 .metadata.annotations 下指定。

将 PodSecurityPolicy 注释映射到 Pod 安全标准
PSP 注释类型等效的 Pod 安全标准
seccomp.security.alpha.kubernetes.io
/defaultProfileName		修改无意见
seccomp.security.alpha.kubernetes.io
/allowedProfileNames		验证

基线："runtime/default," (末尾带逗号以允许未设置)

受限："runtime/default" (无末尾逗号)

localhost/* 值对于基线和受限都是允许的。

apparmor.security.beta.kubernetes.io
/defaultProfileName		修改无意见
apparmor.security.beta.kubernetes.io
/allowedProfileNames		验证

基线："runtime/default," (末尾带逗号以允许未设置)

受限："runtime/default" (无末尾逗号)

localhost/* 值对于基线和受限都是允许的。

上次修改时间：2024 年 7 月 23 日下午 12:19 PST：PSS：将 container_engine_t 添加到允许的 selinux 类型列表中 (06aff012a2)