Pod 安全标准

Windows Pod 提供运行 HostProcess 容器 的能力，这使得能够对 Windows 主机进行特权访问。基线策略不允许对主机进行特权访问。

受限字段

• spec.securityContext.windowsOptions.hostProcess
• spec.containers[*].securityContext.windowsOptions.hostProcess
• spec.initContainers[*].securityContext.windowsOptions.hostProcess
• spec.ephemeralContainers[*].securityContext.windowsOptions.hostProcess

允许的值

• 未定义/nil
• false

必须禁止共享主机命名空间。

受限字段

• spec.hostNetwork
• spec.hostPID
• spec.hostIPC

允许的值

• 未定义/nil
• false

特权 Pod 会禁用大多数安全机制，必须禁止。

受限字段

• spec.containers[*].securityContext.privileged
• spec.initContainers[*].securityContext.privileged
• spec.ephemeralContainers[*].securityContext.privileged

允许的值

• 未定义/nil
• false

必须禁止添加除以下列出的功能以外的任何其他功能。

受限字段

• spec.containers[*].securityContext.capabilities.add
• spec.initContainers[*].securityContext.capabilities.add
• spec.ephemeralContainers[*].securityContext.capabilities.add

允许的值

• 未定义/nil
• AUDIT_WRITE
• CHOWN
• DAC_OVERRIDE
• FOWNER
• FSETID
• KILL
• MKNOD
• NET_BIND_SERVICE
• SETFCAP
• SETGID
• SETPCAP
• SETUID
• SYS_CHROOT

必须禁止 HostPath 卷。

受限字段

• spec.volumes[*].hostPath

允许的值

• 未定义/nil

主机端口应该完全禁止（推荐）或限制为已知的列表

受限字段

• spec.containers[*].ports[*].hostPort
• spec.initContainers[*].ports[*].hostPort
• spec.ephemeralContainers[*].ports[*].hostPort

允许的值

• 未定义/nil
• 已知列表（不受内置 Pod 安全准入控制器 支持）
• 0

在支持的主机上，RuntimeDefault AppArmor 配置文件默认情况下会被应用。基线策略应该阻止覆盖或禁用默认 AppArmor 配置文件，或者将覆盖限制为允许的配置文件集。

受限字段

• spec.securityContext.appArmorProfile.type
• spec.containers[*].securityContext.appArmorProfile.type
• spec.initContainers[*].securityContext.appArmorProfile.type
• spec.ephemeralContainers[*].securityContext.appArmorProfile.type

允许的值

• 未定义/nil
• RuntimeDefault
• Localhost

• metadata.annotations["container.apparmor.security.beta.kubernetes.io/*"]

允许的值

• 未定义/nil
• runtime/default
• localhost/*

设置 SELinux 类型受到限制，设置自定义 SELinux 用户或角色选项被禁止。

受限字段

• spec.securityContext.seLinuxOptions.type
• spec.containers[*].securityContext.seLinuxOptions.type
• spec.initContainers[*].securityContext.seLinuxOptions.type
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.type

允许的值

• 未定义/""
• container_t
• container_init_t
• container_kvm_t
• container_engine_t（自 Kubernetes 1.31 起）

受限字段

• spec.securityContext.seLinuxOptions.user
• spec.containers[*].securityContext.seLinuxOptions.user
• spec.initContainers[*].securityContext.seLinuxOptions.user
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.user
• spec.securityContext.seLinuxOptions.role
• spec.containers[*].securityContext.seLinuxOptions.role
• spec.initContainers[*].securityContext.seLinuxOptions.role
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.role

允许的值

• 未定义/""

默认 /proc 掩码已设置为减少攻击面，应该被要求。

受限字段

• spec.containers[*].securityContext.procMount
• spec.initContainers[*].securityContext.procMount
• spec.ephemeralContainers[*].securityContext.procMount

允许的值

• 未定义/nil
• 默认

Seccomp 配置文件不能明确设置为 Unconfined。

受限字段

• spec.securityContext.seccompProfile.type
• spec.containers[*].securityContext.seccompProfile.type
• spec.initContainers[*].securityContext.seccompProfile.type
• spec.ephemeralContainers[*].securityContext.seccompProfile.type

允许的值

• 未定义/nil
• RuntimeDefault
• Localhost

Sysctls 可以禁用安全机制或影响主机上的所有容器，因此应禁止，除非允许使用“安全”子集。如果 sysctl 在容器或 Pod 中具有命名空间，并且与同一节点上的其他 Pod 或进程隔离，则它被认为是安全的。

受限字段

• spec.securityContext.sysctls[*].name

允许的值

• 未定义/nil
• kernel.shm_rmid_forced
• net.ipv4.ip_local_port_range
• net.ipv4.ip_unprivileged_port_start
• net.ipv4.tcp_syncookies
• net.ipv4.ping_group_range
• net.ipv4.ip_local_reserved_ports（自 Kubernetes 1.27 起）
• net.ipv4.tcp_keepalive_time（自 Kubernetes 1.29 起）
• net.ipv4.tcp_fin_timeout（自 Kubernetes 1.29 起）
• net.ipv4.tcp_keepalive_intvl（自 Kubernetes 1.29 起）
• net.ipv4.tcp_keepalive_probes（自 Kubernetes 1.29 起）

受限策略仅允许以下卷类型。

受限字段

• spec.volumes[*]

允许的值

• spec.volumes[*].configMap
• spec.volumes[*].csi
• spec.volumes[*].downwardAPI
• spec.volumes[*].emptyDir
• spec.volumes[*].ephemeral
• spec.volumes[*].persistentVolumeClaim
• spec.volumes[*].projected
• spec.volumes[*].secret

不应允许特权提升（例如通过 set-user-ID 或 set-group-ID 文件模式）。这是 v1.25+ 中的仅 Linux 策略 (spec.os.name != windows)

受限字段

• spec.containers[*].securityContext.allowPrivilegeEscalation
• spec.initContainers[*].securityContext.allowPrivilegeEscalation
• spec.ephemeralContainers[*].securityContext.allowPrivilegeEscalation

允许的值

• false

容器必须要求以非 root 用户身份运行。

受限字段

• spec.securityContext.runAsNonRoot
• spec.containers[*].securityContext.runAsNonRoot
• spec.initContainers[*].securityContext.runAsNonRoot
• spec.ephemeralContainers[*].securityContext.runAsNonRoot

允许的值

• true

容器不得设置runAsUser为 0

受限字段

• spec.securityContext.runAsUser
• spec.containers[*].securityContext.runAsUser
• spec.initContainers[*].securityContext.runAsUser
• spec.ephemeralContainers[*].securityContext.runAsUser

允许的值

• 任何非零值
• 未定义/null

Seccomp 配置文件必须明确设置为允许的值之一。Unconfined 配置文件和*没有* 配置文件都禁止。这是 v1.25+ 中的仅 Linux 策略 (spec.os.name != windows)

受限字段

• spec.securityContext.seccompProfile.type
• spec.containers[*].securityContext.seccompProfile.type
• spec.initContainers[*].securityContext.seccompProfile.type
• spec.ephemeralContainers[*].securityContext.seccompProfile.type

允许的值

• RuntimeDefault
• Localhost

容器必须放弃 ALL 功能，并且仅允许添加 NET_BIND_SERVICE 功能。这是 v1.25+ 中的仅 Linux 策略 (.spec.os.name != "windows")

受限字段

• spec.containers[*].securityContext.capabilities.drop
• spec.initContainers[*].securityContext.capabilities.drop
• spec.ephemeralContainers[*].securityContext.capabilities.drop

允许的值

• 任何包含 ALL 的功能列表

受限字段

• spec.containers[*].securityContext.capabilities.add
• spec.initContainers[*].securityContext.capabilities.add
• spec.ephemeralContainers[*].securityContext.capabilities.add

允许的值

• 未定义/nil
• NET_BIND_SERVICE