Pod 安全标准

Windows Pod 提供了运行 HostProcess 容器 的能力，这使得对 Windows 主机能够进行特权访问。基线策略中不允许对主机进行特权访问。

受限字段

• spec.securityContext.windowsOptions.hostProcess
• spec.containers[*].securityContext.windowsOptions.hostProcess
• spec.initContainers[*].securityContext.windowsOptions.hostProcess
• spec.ephemeralContainers[*].securityContext.windowsOptions.hostProcess

允许的值

• 未定义/nil
• false

必须禁止共享主机命名空间。

受限字段

• spec.hostNetwork
• spec.hostPID
• spec.hostIPC

允许的值

• 未定义/nil
• false

特权 Pod 会禁用大多数安全机制，必须被禁止。

受限字段

• spec.containers[*].securityContext.privileged
• spec.initContainers[*].securityContext.privileged
• spec.ephemeralContainers[*].securityContext.privileged

允许的值

• 未定义/nil
• false

必须禁止添加下列列表之外的额外能力。

受限字段

• spec.containers[*].securityContext.capabilities.add
• spec.initContainers[*].securityContext.capabilities.add
• spec.ephemeralContainers[*].securityContext.capabilities.add

允许的值

• 未定义/nil
• AUDIT_WRITE
• CHOWN
• DAC_OVERRIDE
• FOWNER
• FSETID
• KILL
• MKNOD
• NET_BIND_SERVICE
• SETFCAP
• SETGID
• SETPCAP
• SETUID
• SYS_CHROOT

HostPath 卷必须被禁止。

受限字段

• spec.volumes[*].hostPath

允许的值

• 未定义/nil

应该完全禁止使用主机端口（推荐），或仅限于已知列表。

受限字段

• spec.containers[*].ports[*].hostPort
• spec.initContainers[*].ports[*].hostPort
• spec.ephemeralContainers[*].ports[*].hostPort

允许的值

• 未定义/nil
• 已知列表（内置的 Pod 安全准入控制器 不支持）
• 0

在支持的主机上，默认应用 RuntimeDefault AppArmor 配置文件。基线策略应阻止覆盖或禁用默认的 AppArmor 配置文件，或将覆盖限制在一组允许的配置文件中。

受限字段

• spec.securityContext.appArmorProfile.type
• spec.containers[*].securityContext.appArmorProfile.type
• spec.initContainers[*].securityContext.appArmorProfile.type
• spec.ephemeralContainers[*].securityContext.appArmorProfile.type

允许的值

• 未定义/nil
• RuntimeDefault
• Localhost

• metadata.annotations["container.apparmor.security.beta.kubernetes.io/*"]

允许的值

• 未定义/nil
• runtime/default
• localhost/*

设置 SELinux 类型受到限制，禁止设置自定义 SELinux 用户或角色选项。

受限字段

• spec.securityContext.seLinuxOptions.type
• spec.containers[*].securityContext.seLinuxOptions.type
• spec.initContainers[*].securityContext.seLinuxOptions.type
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.type

允许的值

• 未定义/""
• container_t
• container_init_t
• container_kvm_t
• container_engine_t（自 Kubernetes 1.31 起）

受限字段

• spec.securityContext.seLinuxOptions.user
• spec.containers[*].securityContext.seLinuxOptions.user
• spec.initContainers[*].securityContext.seLinuxOptions.user
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.user
• spec.securityContext.seLinuxOptions.role
• spec.containers[*].securityContext.seLinuxOptions.role
• spec.initContainers[*].securityContext.seLinuxOptions.role
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.role

允许的值

• 未定义/""

默认的 /proc 屏蔽设置旨在减少攻击面，应予以强制要求。

受限字段

• spec.containers[*].securityContext.procMount
• spec.initContainers[*].securityContext.procMount
• spec.ephemeralContainers[*].securityContext.procMount

允许的值

• 未定义/nil
• Default

Seccomp 配置文件不能明确设置为 Unconfined。

受限字段

• spec.securityContext.seccompProfile.type
• spec.containers[*].securityContext.seccompProfile.type
• spec.initContainers[*].securityContext.seccompProfile.type
• spec.ephemeralContainers[*].securityContext.seccompProfile.type

允许的值

• 未定义/nil
• RuntimeDefault
• Localhost

Sysctls 可以禁用安全机制或影响主机上的所有容器，除了允许的“安全”子集外，应予以禁止。如果 Sysctl 在容器或 Pod 中具有命名空间，并且与同一节点上的其他 Pod 或进程隔离，则被认为是安全的。

受限字段

• spec.securityContext.sysctls[*].name

允许的值

• 未定义/nil
• kernel.shm_rmid_forced
• net.ipv4.ip_local_port_range
• net.ipv4.ip_unprivileged_port_start
• net.ipv4.tcp_syncookies
• net.ipv4.ping_group_range
• net.ipv4.ip_local_reserved_ports（自 Kubernetes 1.27 起）
• net.ipv4.tcp_keepalive_time（自 Kubernetes 1.29 起）
• net.ipv4.tcp_fin_timeout（自 Kubernetes 1.29 起）
• net.ipv4.tcp_keepalive_intvl（自 Kubernetes 1.29 起）
• net.ipv4.tcp_keepalive_probes（自 Kubernetes 1.29 起）

受限策略仅允许以下卷类型。

受限字段

• spec.volumes[*]

允许的值

• spec.volumes[*].configMap
• spec.volumes[*].csi
• spec.volumes[*].downwardAPI
• spec.volumes[*].emptyDir
• spec.volumes[*].ephemeral
• spec.volumes[*].persistentVolumeClaim
• spec.volumes[*].projected
• spec.volumes[*].secret

不应允许特权提升（例如通过 set-user-ID 或 set-group-ID 文件模式）。在 v1.25+ 中，此策略仅适用于 Linux（spec.os.name != windows）

受限字段

• spec.containers[*].securityContext.allowPrivilegeEscalation
• spec.initContainers[*].securityContext.allowPrivilegeEscalation
• spec.ephemeralContainers[*].securityContext.allowPrivilegeEscalation

允许的值

• false

容器必须被要求以非 root 用户身份运行。

受限字段

• spec.securityContext.runAsNonRoot
• spec.containers[*].securityContext.runAsNonRoot
• spec.initContainers[*].securityContext.runAsNonRoot
• spec.ephemeralContainers[*].securityContext.runAsNonRoot

允许的值

• true

容器不得设置runAsUser为 0

受限字段

• spec.securityContext.runAsUser
• spec.containers[*].securityContext.runAsUser
• spec.initContainers[*].securityContext.runAsUser
• spec.ephemeralContainers[*].securityContext.runAsUser

允许的值

• 任何非零值
• 未定义/null

Seccomp 配置文件必须显式设置为允许值之一。禁止使用 Unconfined 配置文件或不设置配置文件。 在 v1.25+ 中，此策略仅适用于 Linux（spec.os.name != windows）

受限字段

• spec.securityContext.seccompProfile.type
• spec.containers[*].securityContext.seccompProfile.type
• spec.initContainers[*].securityContext.seccompProfile.type
• spec.ephemeralContainers[*].securityContext.seccompProfile.type

允许的值

• RuntimeDefault
• Localhost

容器必须删除 ALL 能力，并且只允许添加回 NET_BIND_SERVICE 能力。在 v1.25+ 中，此策略仅适用于 Linux（.spec.os.name != "windows"）

受限字段

• spec.containers[*].securityContext.capabilities.drop
• spec.initContainers[*].securityContext.capabilities.drop
• spec.ephemeralContainers[*].securityContext.capabilities.drop

允许的值

• 包含 ALL 的任何能力列表

受限字段

• spec.containers[*].securityContext.capabilities.add
• spec.initContainers[*].securityContext.capabilities.add
• spec.ephemeralContainers[*].securityContext.capabilities.add

允许的值

• 未定义/nil
• NET_BIND_SERVICE