K8s 平台是怎么处理Pod预授权问题

发布时间：2021-12-16 10:06:56 作者：柒染
来源：亿速云阅读：187

# K8s 平台是怎么处理Pod预授权问题

## 引言

在 Kubernetes（K8s）集群中，Pod 作为最小调度单元，其安全性和权限控制是集群管理的核心问题之一。Pod 预授权（Pre-authorization）机制涉及如何在 Pod 创建或运行前，预先配置其所需的权限范围，以避免过度授权或权限不足引发的安全问题。本文将深入探讨 K8s 如何处理 Pod 预授权问题，涵盖以下关键方面：

1. **Pod 安全上下文（Security Context）**
2. **ServiceAccount 与 RBAC 授权模型**
3. **PodSecurityPolicy（PSP）及其替代方案**
4. **动态准入控制（Admission Control）**
5. **最佳实践与常见问题**

---

## 1. Pod 安全上下文（Security Context）

### 1.1 基础概念
Pod 或容器的安全上下文（Security Context）定义了特权设置、权限控制和所有权配置。通过 `securityContext` 字段，可以限制 Pod 的行为：

```yaml
apiVersion: v1
kind: Pod
metadata:
  name: security-context-demo
spec:
  securityContext:
    runAsUser: 1000
    runAsGroup: 3000
    fsGroup: 2000
  containers:
  - name: nginx
    image: nginx
    securityContext:
      allowPrivilegeEscalation: false
      capabilities:
        add: ["NET_ADMIN"]
        drop: ["ALL"]

1.2 关键配置项

runAsUser/runAsGroup：指定运行进程的 UID/GID。
fsGroup：定义卷挂载时的文件系统组。
capabilities：添加或删除 Linux 能力（如 NET_ADMIN）。
readOnlyRootFilesystem：强制根文件系统只读。

注意：安全上下文仅能限制单个 Pod 的行为，无法实现集群级别的预授权策略。

2. ServiceAccount 与 RBAC 授权

2.1 ServiceAccount 的作用

每个 Pod 默认关联一个 ServiceAccount（SA），用于身份认证。SA 通过 RBAC（Role-Based Access Control）绑定到角色（Role/ClusterRole），从而控制 Pod 对 K8s API 的访问权限。

apiVersion: v1
kind: ServiceAccount
metadata:
  name: pod-creator

2.2 RBAC 配置示例

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: pod-manager
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["create", "get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: pod-creator-binding
subjects:
- kind: ServiceAccount
  name: pod-creator
roleRef:
  kind: Role
  name: pod-manager
  apiGroup: rbac.authorization.k8s.io

2.3 预授权流程

创建受限的 ServiceAccount。
通过 Role/RoleBinding 定义最小权限。

在 Pod 中指定 SA：


spec:
 serviceAccountName: pod-creator

3. PodSecurityPolicy（PSP）及其替代方案

3.1 PSP 的原始方案

PSP 是 K8s 早期用于集群级 Pod 安全策略的机制，可限制： - 特权容器 - 主机命名空间共享 - 文件系统权限等

apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
  name: restricted
spec:
  privileged: false
  runAsUser:
    rule: "MustRunAsNonRoot"
  seLinux:
    rule: "RunAsAny"

3.2 PSP 的弃用与替代方案

由于 PSP 的复杂性和使用门槛，K8s 1.21 起将其标记为弃用，推荐以下替代方案： - PodSecurity Admission（内置准入控制器） - OPA Gatekeeper - Kyverno

示例：PodSecurity Admission

apiVersion: v1
kind: Namespace
metadata:
  name: restricted-ns
  labels:
    pod-security.kubernetes.io/enforce: baseline

4. 动态准入控制（Admission Control）

4.1 工作原理

准入控制器（如 ValidatingAdmissionWebhook）在 Pod 创建前拦截请求，根据预定义规则允许或拒绝操作。

4.2 自定义预授权检查

通过编写 Webhook 实现： 1. 部署一个校验服务（如使用 OpenPolicy Agent）。 2. 注册 ValidatingWebhookConfiguration：

   apiVersion: admissionregistration.k8s.io/v1
   kind: ValidatingWebhookConfiguration
   webhooks:
   - name: validate-pod-policy.example.com
     rules:
     - operations: ["CREATE"]
       apiGroups: [""]
       apiVersions: ["v1"]
       resources: ["pods"]

5. 最佳实践与常见问题

5.1 推荐实践

最小权限原则：ServiceAccount 仅分配必要权限。
分层防御：结合 SecurityContext、RBAC 和准入控制。
审计日志：监控 Pod 创建行为。

5.2 常见陷阱

过度宽松的 Capabilities：避免随意添加 SYS_ADMIN。
默认 ServiceAccount 滥用：禁用自动挂载：
```
spec:
automountServiceAccountToken: false
```

结论

K8s 通过多层次的机制处理 Pod 预授权问题： 1. 基础层：Security Context 限制单个 Pod 行为。 2. 身份层：ServiceAccount + RBAC 控制 API 访问。 3. 集群层：准入控制器（如 PodSecurity）实现全局策略。 4. 扩展层：通过 OPA/Kyverno 实现灵活规则。

合理组合这些技术，可以构建既安全又灵活的 Pod 预授权体系。

延伸阅读
- K8s 官方文档：Pod 安全性标准
- OPA Gatekeeper 实践指南
- Kyverno 策略库 “`

这篇文档总计约 3200 字，采用 Markdown 格式，包含代码块、层级标题和重点标注，完整覆盖了 K8s 中 Pod 预授权的核心机制与实践方案。如需扩展特定章节或添加案例，可进一步补充。