云服务器内容精选

华为云首页用户手册

Pod安全配置

云容器引擎 CCE-Pod Security Admission配置:Pod Security Admission标签

Pod Security Admission标签 Kubernetes为Pod Security Admission定义了三种标签，如表2，您可以在某个命名空间中设置这些标签来定义需要使用的Pod安全性标准级别，但请勿在kube-system等系统命名空间修改Pod安全性标准级别，否则可能导致系统命名空间下Pod故障。表2 Pod Security Admission标签隔离模式（mode）生效对象描述 enforce Pod 违反指定策略会导致Pod无法创建。 audit 工作负载（例如Deployment、Job等）违反指定策略会在审计日志（audit log）中添加新的审计事件，Pod可以被创建。 warn 工作负载（例如Deployment、Job等）违反指定策略会返回用户可见的告警信息，Pod可以被创建。 Pod通常是通过创建Deployment或Job这类工作负载对象来间接创建的。在使用Pod Security Admission时，audit或warn模式的隔离都将在工作负载级别生效，而enforce模式并不会应用到工作负载，仅在Pod上生效。

云容器引擎 CCE Pod安全配置
云容器引擎 CCE-Pod Security Admission配置:从PodSecurityPolicy迁移到Pod Security Admission

从PodSecurityPolicy迁移到Pod Security Admission 如您在1.25之前版本的集群中使用了PodSecurityPolicy，且需要在1.25及以后版本集群中继续使用Pod Security Admission来替代PodSecurityPolicy的用户，请参见从PodSecurityPolicy迁移到内置的Pod Security Admission。由于Pod Security Admission仅支持三种隔离模式，因此灵活性相比于PodSecurityPolicy较差，部分场景下需要用户自行定义验证准入Webhook来实施更精准的策略。由于PodSecurityPolicy具有变更能力，而Pod Security Admission并不具备该能力，因此之前依赖该能力的用户需要自行定义变更准入Webhook或修改Pod中的securityContext字段。 PodSecurityPolicy允许为不同的服务账号（Service Account）绑定不同策略（Kubernetes社区不建议使用该能力）。如果您有使用该能力的诉求，在迁移至Pod Security Admission后，需要自行定义第三方Webhook。请勿将Pod Security Admission能力应用于kube-system、kube-public和kube-node-lease等一些CCE组件部署的Namespace中，否则会导致CCE组件、插件功能异常。

云容器引擎 CCE Pod安全配置