Implementando o Controlador de Admissão Pod Security

Visão Geral

O Pod Security Admission (PSA) é um controlador de admissão nativo do Kubernetes (estável desde a v1.25) que aplica os Padrões de Segurança de Pod (Pod Security Standards) no nível do namespace. Ele substitui o PodSecurityPolicy (PSP), que foi descontinuado, e oferece três perfis de segurança: Privileged, Baseline e Restricted, com três modos de aplicação: enforce, audit e warn.

Quando Usar

• Configurando o PSA em um cluster pela primeira vez
• Definindo a aplicação padrão em todo o cluster via AdmissionConfiguration
• Isentando namespaces do sistema, contas de serviço ou classes de runtime da aplicação
• Depurando por que um pod foi rejeitado, ou por que a aplicação está silenciosamente sem funcionar
• Planejando um rollout seguro: warn e audit primeiro, enforce quando as violações chegarem a zero
• Extraindo violações do PSA do log de auditoria do kube-apiserver

Não é esta habilidade: decidir sob qual perfil uma carga de trabalho deve ser executada, ou quais securityContext mudanças o Restricted exige. Use implementing-kubernetes-pod-security-standards.

Pré-requisitos

• Kubernetes v1.25+ (PSA é estável/GA)
• kubectl com acesso cluster-admin
• Sem dependência de ferramentas externas - PSA é nativo do kube-apiserver

Padrões de Segurança de Pod

Perfil Privileged

• Sem restrições - Nenhuma restrição aplicada
• Caso de uso: Pods de nível de sistema (kube-system, monitoramento)

Perfil Baseline

• Minimamente restritivo - Previne escalonamento de privilégios conhecido
• Bloqueia: contêineres privilegiados, hostPID, hostIPC, hostNetwork, hostPorts, certos tipos de volume, adição de capacidades além dos padrões de runtime

Perfil Restricted

• Altamente restritivo - Segue as melhores práticas de segurança
• Requer: não root, drop ALL capabilities, seccomp RuntimeDefault, considerações sobre sistema de arquivos raiz somente leitura
• Bloqueia: Tudo no Baseline, mais execução como root, escalonamento de privilégios, tipos de volume não aprovados

Modos de Aplicação

Implementação

Aplicar ao Namespace via Labels

# Restricted enforcement with audit and warn
apiVersion: v1
kind: Namespace
metadata:
  name: production
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: v1.28
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/audit-version: v1.28
    pod-security.kubernetes.io/warn: restricted
    pod-security.kubernetes.io/warn-version: v1.28

# Baseline enforcement for staging
apiVersion: v1
kind: Namespace
metadata:
  name: staging
  labels:
    pod-security.kubernetes.io/enforce: baseline
    pod-security.kubernetes.io/enforce-version: v1.28
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/audit-version: v1.28
    pod-security.kubernetes.io/warn: restricted
    pod-security.kubernetes.io/warn-version: v1.28

# Privileged for system namespaces
apiVersion: v1
kind: Namespace
metadata:
  name: kube-system
  labels:
    pod-security.kubernetes.io/enforce: privileged

Aplicar Labels com kubectl

# Set restricted enforcement
kubectl label namespace production \
  pod-security.kubernetes.io/enforce=restricted \
  pod-security.kubernetes.io/enforce-version=v1.28 \
  pod-security.kubernetes.io/audit=restricted \
  pod-security.kubernetes.io/warn=restricted

# Set baseline enforcement
kubectl label namespace staging \
  pod-security.kubernetes.io/enforce=baseline \
  pod-security.kubernetes.io/audit=restricted \
  pod-security.kubernetes.io/warn=restricted

# Check current labels
kubectl get namespace production -o jsonpath='{.metadata.labels}' | jq .

Teste de Dry-Run

# Test what would happen with restricted policy on a namespace
kubectl label --dry-run=server --overwrite namespace staging \
  pod-security.kubernetes.io/enforce=restricted

# Output shows existing pods that would violate the policy
# Warning: existing pods in namespace "staging" violate the new PodSecurity enforce level "restricted:latest"

Padrões em Todo o Cluster (AdmissionConfiguration)

# /etc/kubernetes/psa-config.yaml
apiVersion: apiserver.config.k8s.io/v1
kind: AdmissionConfiguration
plugins:
  - name: PodSecurity
    configuration:
      apiVersion: pod-security.admission.config.k8s.io/v1

…