Estándares de seguridad de pods
Los estándares de seguridad de pods definen tres políticas diferentes para cubrir ampliamente el
espectro de seguridad. Estas políticas son acumulativas y van desde altamente permisivas hasta
altamente restrictivas. Esta guía describe los requisitos de cada póliza.
Perfil Descripción
Privilegiad
o
Política sin restricciones, que proporciona el nivel de permisos más amplio posible. Esta política permite escaladas de privilegios conocidas.
Base Política mínimamente restrictiva que evita escaladas de privilegios conocidas. Permite la configuración de pod predeterminada (mínimamente
especificada).
Restringido Política muy restringida, siguiendo las mejores prácticas actuales de refuerzo de Pod.
detalles del perfil
Privilegiado
La política Privileged está intencionalmente abierta y no tiene restricciones. Este tipo de política
generalmente está dirigido a cargas de trabajo a nivel de sistema e infraestructura administradas
por usuarios privilegiados y confiables.
La política Privilegiada se define por la ausencia de restricciones. Los mecanismos permitidos de
forma predeterminada (como el portero) pueden tener privilegios de forma predeterminada. Por
el contrario, para un mecanismo de denegación por defecto (como la política de seguridad de
pod), la política privilegiada debe deshabilitar todas las restricciones.
Base
La política de línea de base tiene como objetivo facilitar la adopción de cargas de trabajo en
contenedores comunes y, al mismo tiempo, evitar escaladas de privilegios conocidas. Esta
política está dirigida a operadores de aplicaciones y desarrolladores de aplicaciones no críticas. Los
siguientes controles enumerados deben ser aplicados/no permitidos:
Nota: En esta tabla, los comodines ( *) indican todos los elementos de una lista. Por
ejemplo, spec.containers[*].securityContexthace referencia al objeto Contexto de seguridad
para todos los contenedores definidos . Si alguno de los contenedores enumerados no cumple con
los requisitos, todo el pod fallará en la validación.
Control Política
HostProceso Los pods de Windows ofrecen la capacidad de ejecutar contenedores de HostProcess, lo que permite el acceso privilegiado al
nodo de Windows. El acceso privilegiado al host no está permitido en la política de referencia.
ESTADO DE LA CARACTERÍSTICA: Kubernetes v1.23 [beta]
Campos Restringidos
