Pod 安全标准

Windows Pod 提供了运行HostProcess 容器的功能，该容器支持对 Windows 主机进行特权访问。基准策略中不允许对主机的特权访问。

受限字段

• spec.securityContext.windowsOptions.hostProcess
• spec.containers[*].securityContext.windowsOptions.hostProcess
• spec.initContainers[*].securityContext.windowsOptions.hostProcess
• spec.ephemeralContainers[*].securityContext.windowsOptions.hostProcess

允许的值

• 未定义/nil
• false

必须禁止共享主机命名空间。

受限字段

• spec.hostNetwork
• spec.hostPID
• spec.hostIPC

允许的值

• 未定义/nil
• false

特权 Pod 会禁用大多数安全机制，必须禁止使用。

受限字段

• spec.containers[*].securityContext.privileged
• spec.initContainers[*].securityContext.privileged
• spec.ephemeralContainers[*].securityContext.privileged

允许的值

• 未定义/nil
• false

必须禁止添加超出以下列出的功能之外的附加功能。

受限字段

• spec.containers[*].securityContext.capabilities.add
• spec.initContainers[*].securityContext.capabilities.add
• spec.ephemeralContainers[*].securityContext.capabilities.add

允许的值

• 未定义/nil
• AUDIT_WRITE
• CHOWN
• DAC_OVERRIDE
• FOWNER
• FSETID
• KILL
• MKNOD
• NET_BIND_SERVICE
• SETFCAP
• SETGID
• SETPCAP
• SETUID
• SYS_CHROOT

必须禁止 HostPath 卷。

受限字段

• spec.volumes[*].hostPath

允许的值

• 未定义/nil

应完全禁止 HostPorts（推荐）或将其限制为已知列表

受限字段

• spec.containers[*].ports[*].hostPort
• spec.initContainers[*].ports[*].hostPort
• spec.ephemeralContainers[*].ports[*].hostPort

允许的值

• 未定义/nil
• 已知列表（内置的 Pod 安全准入控制器 不支持）
• 0

在受支持的主机上，默认情况下会应用 RuntimeDefault AppArmor 配置文件。基准策略应防止覆盖或禁用默认 AppArmor 配置文件，或将覆盖限制为允许的配置文件集。

受限字段

• spec.securityContext.appArmorProfile.type
• spec.containers[*].securityContext.appArmorProfile.type
• spec.initContainers[*].securityContext.appArmorProfile.type
• spec.ephemeralContainers[*].securityContext.appArmorProfile.type

允许的值

• 未定义/nil
• RuntimeDefault
• Localhost

• metadata.annotations["container.apparmor.security.beta.kubernetes.io/*"]

允许的值

• 未定义/nil
• runtime/default
• localhost/*

设置 SELinux 类型受到限制，并且禁止设置自定义 SELinux 用户或角色选项。

受限字段

• spec.securityContext.seLinuxOptions.type
• spec.containers[*].securityContext.seLinuxOptions.type
• spec.initContainers[*].securityContext.seLinuxOptions.type
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.type

允许的值

• 未定义/""
• container_t
• container_init_t
• container_kvm_t
• container_engine_t （自 Kubernetes 1.31 起）

受限字段

• spec.securityContext.seLinuxOptions.user
• spec.containers[*].securityContext.seLinuxOptions.user
• spec.initContainers[*].securityContext.seLinuxOptions.user
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.user
• spec.securityContext.seLinuxOptions.role
• spec.containers[*].securityContext.seLinuxOptions.role
• spec.initContainers[*].securityContext.seLinuxOptions.role
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.role

允许的值

• 未定义/""

默认的 /proc 掩码设置为减少攻击面，并且应该是必需的。

受限字段

• spec.containers[*].securityContext.procMount
• spec.initContainers[*].securityContext.procMount
• spec.ephemeralContainers[*].securityContext.procMount

允许的值

• 未定义/nil
• 默认

Seccomp 配置文件不得显式设置为 Unconfined。

受限字段

• spec.securityContext.seccompProfile.type
• spec.containers[*].securityContext.seccompProfile.type
• spec.initContainers[*].securityContext.seccompProfile.type
• spec.ephemeralContainers[*].securityContext.seccompProfile.type

允许的值

• 未定义/nil
• RuntimeDefault
• Localhost

Sysctls 可以禁用安全机制或影响主机上的所有容器，除允许的“安全”子集外，应禁止使用。如果 sysctl 在容器或 Pod 中进行了命名空间划分，并且与同一节点上的其他 Pod 或进程隔离，则认为它是安全的。

受限字段

• spec.securityContext.sysctls[*].name

允许的值

• 未定义/nil
• kernel.shm_rmid_forced
• net.ipv4.ip_local_port_range
• net.ipv4.ip_unprivileged_port_start
• net.ipv4.tcp_syncookies
• net.ipv4.ping_group_range
• net.ipv4.ip_local_reserved_ports （自 Kubernetes 1.27 起）
• net.ipv4.tcp_keepalive_time （自 Kubernetes 1.29 起）
• net.ipv4.tcp_fin_timeout （自 Kubernetes 1.29 起）
• net.ipv4.tcp_keepalive_intvl （自 Kubernetes 1.29 起）
• net.ipv4.tcp_keepalive_probes （自 Kubernetes 1.29 起）

受限策略仅允许以下卷类型。

受限字段

• spec.volumes[*]

允许的值

• spec.volumes[*].configMap
• spec.volumes[*].csi
• spec.volumes[*].downwardAPI
• spec.volumes[*].emptyDir
• spec.volumes[*].ephemeral
• spec.volumes[*].persistentVolumeClaim
• spec.volumes[*].projected
• spec.volumes[*].secret

不应允许权限提升（例如通过设置用户 ID 或设置组 ID 文件模式）。在 v1.25+ 中，这仅是 Linux 策略(spec.os.name != windows)

受限字段

• spec.containers[*].securityContext.allowPrivilegeEscalation
• spec.initContainers[*].securityContext.allowPrivilegeEscalation
• spec.ephemeralContainers[*].securityContext.allowPrivilegeEscalation

允许的值

• false

必须要求容器以非 root 用户身份运行。

受限字段

• spec.securityContext.runAsNonRoot
• spec.containers[*].securityContext.runAsNonRoot
• spec.initContainers[*].securityContext.runAsNonRoot
• spec.ephemeralContainers[*].securityContext.runAsNonRoot

允许的值

• true

容器不得设置runAsUser为 0

受限字段

• spec.securityContext.runAsUser
• spec.containers[*].securityContext.runAsUser
• spec.initContainers[*].securityContext.runAsUser
• spec.ephemeralContainers[*].securityContext.runAsUser

允许的值

• 任何非零值
• 未定义/null

Seccomp 配置文件必须显式设置为允许值之一。禁止使用 Unconfined 配置文件和*缺少*配置文件。*v1.25+ 中这是仅限 Linux 的策略 (spec.os.name != windows)*

受限字段

• spec.securityContext.seccompProfile.type
• spec.containers[*].securityContext.seccompProfile.type
• spec.initContainers[*].securityContext.seccompProfile.type
• spec.ephemeralContainers[*].securityContext.seccompProfile.type

允许的值

• RuntimeDefault
• Localhost

容器必须删除*所有*功能，并且只允许添加回 NET_BIND_SERVICE 功能。*v1.25+ 中这是仅限 Linux 的策略 (.spec.os.name != "windows")*

受限字段

• spec.containers[*].securityContext.capabilities.drop
• spec.initContainers[*].securityContext.capabilities.drop
• spec.ephemeralContainers[*].securityContext.capabilities.drop

允许的值

• 任何包含 ALL 的功能列表

受限字段

• spec.containers[*].securityContext.capabilities.add
• spec.initContainers[*].securityContext.capabilities.add
• spec.ephemeralContainers[*].securityContext.capabilities.add

允许的值

• 未定义/nil
• NET_BIND_SERVICE