Pod 安全标准

Windows Pod 提供运行主机进程容器的能力，这使您可以访问 Windows 节点的特权。基线策略不允许访问主机的特权。

受限字段

• spec.securityContext.windowsOptions.hostProcess
• spec.containers[*].securityContext.windowsOptions.hostProcess
• spec.initContainers[*].securityContext.windowsOptions.hostProcess
• spec.ephemeralContainers[*].securityContext.windowsOptions.hostProcess

允许的值

• 未定义/空
• false

必须禁止共享主机命名空间。

受限字段

• spec.hostNetwork
• spec.hostPID
• spec.hostIPC

允许的值

• 未定义/空
• false

特权 Pod 会禁用大多数安全机制，必须禁止。

受限字段

• spec.containers[*].securityContext.privileged
• spec.initContainers[*].securityContext.privileged
• spec.ephemeralContainers[*].securityContext.privileged

允许的值

• 未定义/空
• false

必须禁止添加除以下列出的功能之外的其他功能。

受限字段

• spec.containers[*].securityContext.capabilities.add
• spec.initContainers[*].securityContext.capabilities.add
• spec.ephemeralContainers[*].securityContext.capabilities.add

允许的值

• 未定义/空
• AUDIT_WRITE
• CHOWN
• DAC_OVERRIDE
• FOWNER
• FSETID
• KILL
• MKNOD
• NET_BIND_SERVICE
• SETFCAP
• SETGID
• SETPCAP
• SETUID
• SYS_CHROOT

必须禁止主机路径卷。

受限字段

• spec.volumes[*].hostPath

允许的值

• 未定义/空

应完全禁止主机端口（推荐）或限制为已知列表

受限字段

• spec.containers[*].ports[*].hostPort
• spec.initContainers[*].ports[*].hostPort
• spec.ephemeralContainers[*].ports[*].hostPort

允许的值

• 未定义/空
• 已知列表（不受内置Pod 安全准入控制器支持）
• 0

在支持的主机上，RuntimeDefault AppArmor 配置文件默认情况下会应用。基线策略应防止覆盖或禁用默认 AppArmor 配置文件，或将覆盖限制为允许的配置文件集。

受限字段

• spec.securityContext.appArmorProfile.type
• spec.containers[*].securityContext.appArmorProfile.type
• spec.initContainers[*].securityContext.appArmorProfile.type
• spec.ephemeralContainers[*].securityContext.appArmorProfile.type

允许的值

• 未定义/空
• RuntimeDefault
• 本地主机

• metadata.annotations["container.apparmor.security.beta.kubernetes.io/*"]

允许的值

• 未定义/空
• runtime/default
• localhost/*

设置 SELinux 类型受到限制，并且禁止设置自定义 SELinux 用户或角色选项。

受限字段

• spec.securityContext.seLinuxOptions.type
• spec.containers[*].securityContext.seLinuxOptions.type
• spec.initContainers[*].securityContext.seLinuxOptions.type
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.type

允许的值

• 未定义/""
• container_t
• container_init_t
• container_kvm_t

受限字段

• spec.securityContext.seLinuxOptions.user
• spec.containers[*].securityContext.seLinuxOptions.user
• spec.initContainers[*].securityContext.seLinuxOptions.user
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.user
• spec.securityContext.seLinuxOptions.role
• spec.containers[*].securityContext.seLinuxOptions.role
• spec.initContainers[*].securityContext.seLinuxOptions.role
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.role

允许的值

• 未定义/""

默认的 /proc 掩码已设置为减少攻击面，并且应要求。

受限字段

• spec.containers[*].securityContext.procMount
• spec.initContainers[*].securityContext.procMount
• spec.ephemeralContainers[*].securityContext.procMount

允许的值

• 未定义/空
• 默认

Seccomp 配置文件不得显式设置为 Unconfined。

受限字段

• spec.securityContext.seccompProfile.type
• spec.containers[*].securityContext.seccompProfile.type
• spec.initContainers[*].securityContext.seccompProfile.type
• spec.ephemeralContainers[*].securityContext.seccompProfile.type

允许的值

• 未定义/空
• RuntimeDefault
• 本地主机

Sysctls 可以禁用安全机制或影响主机上的所有容器，因此应禁止，除非允许使用“安全”子集。如果 sysctl 在容器或 Pod 中命名空间，并且与同一节点上的其他 Pod 或进程隔离，则它被认为是安全的。

受限字段

• spec.securityContext.sysctls[*].name

允许的值

• 未定义/空
• kernel.shm_rmid_forced
• net.ipv4.ip_local_port_range
• net.ipv4.ip_unprivileged_port_start
• net.ipv4.tcp_syncookies
• net.ipv4.ping_group_range
• net.ipv4.ip_local_reserved_ports（自 Kubernetes 1.27 起）
• net.ipv4.tcp_keepalive_time（自 Kubernetes 1.29 起）
• net.ipv4.tcp_fin_timeout（自 Kubernetes 1.29 起）
• net.ipv4.tcp_keepalive_intvl（自 Kubernetes 1.29 起）
• net.ipv4.tcp_keepalive_probes（自 Kubernetes 1.29 起）

受限策略仅允许以下卷类型。

受限字段

• spec.volumes[*]

允许的值

• spec.volumes[*].configMap
• spec.volumes[*].csi
• spec.volumes[*].downwardAPI
• spec.volumes[*].emptyDir
• spec.volumes[*].ephemeral
• spec.volumes[*].persistentVolumeClaim
• spec.volumes[*].projected
• spec.volumes[*].secret

不应允许权限提升（例如通过设置用户 ID 或设置组 ID 文件模式）。这是 v1.25+ 中的 Linux 专用策略 (spec.os.name != windows)

受限字段

• spec.containers[*].securityContext.allowPrivilegeEscalation
• spec.initContainers[*].securityContext.allowPrivilegeEscalation
• spec.ephemeralContainers[*].securityContext.allowPrivilegeEscalation

允许的值

• false

必须要求容器以非 root 用户身份运行。

受限字段

• spec.securityContext.runAsNonRoot
• spec.containers[*].securityContext.runAsNonRoot
• spec.initContainers[*].securityContext.runAsNonRoot
• spec.ephemeralContainers[*].securityContext.runAsNonRoot

允许的值

• true

容器不得设置runAsUser为 0

受限字段

• spec.securityContext.runAsUser
• spec.containers[*].securityContext.runAsUser
• spec.initContainers[*].securityContext.runAsUser
• spec.ephemeralContainers[*].securityContext.runAsUser

允许的值

• 任何非零值
• 未定义/空

Seccomp 配置文件必须显式设置为允许的值之一。Unconfined 配置文件和没有配置文件都是禁止的。这是 v1.25+ 中的 Linux 专用策略 (spec.os.name != windows)

受限字段

• spec.securityContext.seccompProfile.type
• spec.containers[*].securityContext.seccompProfile.type
• spec.initContainers[*].securityContext.seccompProfile.type
• spec.ephemeralContainers[*].securityContext.seccompProfile.type

允许的值

• RuntimeDefault
• 本地主机

容器必须放弃 ALL 功能，并且只能添加回 NET_BIND_SERVICE 功能。这是 v1.25+ 中的 Linux 专用策略 (.spec.os.name != "windows")

受限字段

• spec.containers[*].securityContext.capabilities.drop
• spec.initContainers[*].securityContext.capabilities.drop
• spec.ephemeralContainers[*].securityContext.capabilities.drop

允许的值

• 包含 ALL 的任何功能列表

受限字段

• spec.containers[*].securityContext.capabilities.add
• spec.initContainers[*].securityContext.capabilities.add
• spec.ephemeralContainers[*].securityContext.capabilities.add

允许的值

• 未定义/空
• NET_BIND_SERVICE