Implementando Padrões de Segurança de Pods do Kubernetes

Visão Geral

Os Padrões de Segurança de Pods (Pod Security Standards - PSS) definem três níveis de políticas de segurança — Privilegiado, Básico e Restrito — aplicados pelo controlador de Admissão de Segurança de Pods (Pod Security Admission - PSA) integrado ao Kubernetes 1.25+. O PSA substitui o PodSecurityPolicy depreciado e fornece aplicação em nível de namespace com três modos: aplicar, auditar e avisar.

Quando Usar

• Decidir se um namespace ou carga de trabalho pertence a Privilegiado, Básico ou Restrito
• Auditar quais cargas de trabalho existentes seriam rejeitadas se Restrito fosse aplicado hoje
• Traduzir um requisito de "deve atender a Restrito" em alterações concretas de securityContext
• Planejar uma migração de PodSecurityPolicy e prever o que quebrará antes que aconteça
• Mapear a postura de segurança de pods para um controle de conformidade (NIST PR.PS-01, CIS Kubernetes)

Não é esta habilidade: configurar o controlador que aplica esses perfis — rótulos de namespace, AdmissionConfiguration, isenções ou depurar um pod rejeitado pelo PSA. Use implementing-pod-security-admission-controller.

Pré-requisitos

• Cluster Kubernetes 1.25+ (PSA GA)
• kubectl configurado com acesso cluster-admin
• Compreensão de capacidades Linux e contextos de segurança

Conceitos Principais

Três Perfis de Segurança

Três Modos de Aplicação

Fluxo de Trabalho

Etapa 1: Rotular Namespaces para PSA

# Restricted namespace - production workloads
apiVersion: v1
kind: Namespace
metadata:
  name: production
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: latest
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/audit-version: latest
    pod-security.kubernetes.io/warn: restricted
    pod-security.kubernetes.io/warn-version: latest

# Baseline namespace - general workloads
apiVersion: v1
kind: Namespace
metadata:
  name: staging
  labels:
    pod-security.kubernetes.io/enforce: baseline
    pod-security.kubernetes.io/enforce-version: latest
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/audit-version: latest
    pod-security.kubernetes.io/warn: restricted
    pod-security.kubernetes.io/warn-version: latest

# Privileged namespace - system components only
apiVersion: v1
kind: Namespace
metadata:
  name: kube-system
  labels:
    pod-security.kubernetes.io/enforce: privileged
    pod-security.kubernetes.io/enforce-version: latest

Etapa 2: Aplicar Rótulos a Namespaces Existentes

# Apply restricted enforcement to production
kubectl label namespace production \
  pod-security.kubernetes.io/enforce=restricted \
  pod-security.kubernetes.io/audit=restricted \
  pod-security.kubernetes.io/warn=restricted \
  --overwrite

# Apply baseline to staging with restricted warnings
kubectl label namespace staging \
  pod-security.kubernetes.io/enforce=baseline \
  pod-security.kubernetes.io/audit=restricted \
  pod-security.kubernetes.io/warn=restricted \
  --overwrite

# Check labels on all namespaces
kubectl get namespaces -L pod-security.kubernetes.io/enforce

Etapa 3: Criar Especificações de Pods Conformes

# Deployment compatível com Restrito
apiVersion: apps/v1
kind: Deployment
metadata:
  name: secure-app
  namespace: production
spec:
  replicas: 3
  selector:
    matchLabels:
      app: secure-app
  template:
    metadata:
      labels:
        app: secure-app
    spec:
      automountServiceAccountToken: false
      securityContext:
        runAsNonRoot: true
        runAsUser: 65534
        runAsGroup: 65534
        fsGroup: 65534
        seccompProfile:
          type: RuntimeDefault
      containers:
        - name: app
          image: myregistry.com/myapp:v1.0.0@sha256:abc123
          ports:
            - containerPort: 8080
              protocol: TCP
          securityContext:
            allowPrivilegeEscalation: false

…