将 PodSecurityPolicies 映射到 Pod 安全标准

下表列出了 PodSecurityPolicy 对象上的配置参数，以及该字段是否会修改和/或验证 Pod，以及配置值如何映射到 Pod 安全标准。

对于每个适用的参数，都会列出 基线 和 受限 配置文件允许的值。任何超出这些配置文件允许值的配置都将属于 特权 配置文件。“无意见”表示所有值在所有 Pod 安全标准下都是允许的。

有关逐步迁移指南，请参阅 从 PodSecurityPolicy 迁移到内置 PodSecurity 准入控制器。

PodSecurityPolicy Spec

此表中列出的字段是 PodSecurityPolicySpec 的一部分，该字段在 .spec 字段路径下指定。

将 PodSecurityPolicySpec 字段映射到 Pod 安全标准
PodSecurityPolicySpec类型Pod 安全标准等效项
privileged验证基线和受限：false / 未定义 / 为空
defaultAddCapabilities修改和验证要求与下面的 allowedCapabilities 匹配。
allowedCapabilities验证

基线：子集

  • AUDIT_WRITE
  • CHOWN
  • DAC_OVERRIDE
  • FOWNER
  • FSETID
  • KILL
  • MKNOD
  • NET_BIND_SERVICE
  • SETFCAP
  • SETGID
  • SETPCAP
  • SETUID
  • SYS_CHROOT

受限：空 / 未定义 / 为空或仅包含 NET_BIND_SERVICE 的列表

requiredDropCapabilities修改和验证

基线：无意见

受限：必须包含 ALL

volumes验证

基线：除以下以外的任何内容

  • hostPath
  • *

受限：子集

  • configMap
  • csi
  • downwardAPI
  • emptyDir
  • ephemeral
  • persistentVolumeClaim
  • projected
  • secret
hostNetwork验证基线和受限：false / 未定义 / 为空
hostPorts验证基线和受限：未定义 / 为空 / 空
hostPID验证基线和受限：false / 未定义 / 为空
hostIPC验证基线和受限：false / 未定义 / 为空
seLinux修改和验证

基线和受限：seLinux.rule 为 MustRunAs，具有以下 options

  • user 未设置 ("" / 未定义 / 为空)
  • role 未设置 ("" / 未定义 / 为空)
  • type 未设置或为以下之一：container_t, container_init_t, container_kvm_t
  • level 为任何值
runAsUser修改和验证

基线：任何值

受限：rule 为 MustRunAsNonRoot

runAsGroup修改（MustRunAs）和验证无意见
supplementalGroups修改和验证无意见
fsGroup修改和验证无意见
readOnlyRootFilesystem修改和验证无意见
defaultAllowPrivilegeEscalation修改无意见（非验证）
allowPrivilegeEscalation修改和验证

仅在设置为 false 时修改

基线：无意见

受限：false

allowedHostPaths验证无意见（volumes 优先）
allowedFlexVolumes验证无意见（volumes 优先）
allowedCSIDrivers验证无意见（volumes 优先）
allowedUnsafeSysctls验证基线和受限：未定义 / 为空 / 空
forbiddenSysctls验证无意见
allowedProcMountTypes
（alpha 功能）		验证基线和受限：["Default"] 或未定义 / 为空 / 空
runtimeClass
 .defaultRuntimeClassName		修改无意见
runtimeClass
 .allowedRuntimeClassNames		验证无意见

PodSecurityPolicy 注释

可以在 PodSecurityPolicy 对象上的 .metadata.annotations 下指定此表中列出的 注释。

将 PodSecurityPolicy 注释映射到 Pod 安全标准
PSP 注释类型Pod 安全标准等效项
seccomp.security.alpha.kubernetes.io
/defaultProfileName		修改无意见
seccomp.security.alpha.kubernetes.io
/allowedProfileNames		验证

基线："runtime/default," （尾随逗号以允许未设置）

受限："runtime/default" （无尾随逗号）

localhost/* 值在基线和受限中也允许。

apparmor.security.beta.kubernetes.io
/defaultProfileName		修改无意见
apparmor.security.beta.kubernetes.io
/allowedProfileNames		验证

基线："runtime/default," （尾随逗号以允许未设置）

受限："runtime/default" （无尾随逗号）

localhost/* 值在基线和受限中也允许。

上次修改时间：2022 年 5 月 5 日下午 11:10 PST：为 1.25 清理 PSP 文档 (b167938367)