Pod 安全性標準

Windows Pod 提供執行 HostProcess 容器 的能力，這可以實現對 Windows 主機的特權存取。基準策略中不允許對主機的特權存取。

受限欄位

• spec.securityContext.windowsOptions.hostProcess
• spec.containers[*].securityContext.windowsOptions.hostProcess
• spec.initContainers[*].securityContext.windowsOptions.hostProcess
• spec.ephemeralContainers[*].securityContext.windowsOptions.hostProcess

允許的值

• 未定義/nil
• false

必須不允許共用主機命名空間。

受限欄位

• spec.hostNetwork
• spec.hostPID
• spec.hostIPC

允許的值

• 未定義/nil
• false

特權 Pod 會停用大多數安全性機制，因此必須不允許。

受限欄位

• spec.containers[*].securityContext.privileged
• spec.initContainers[*].securityContext.privileged
• spec.ephemeralContainers[*].securityContext.privileged

允許的值

• 未定義/nil
• false

必須不允許新增超出下列清單的其他功能。

受限欄位

• spec.containers[*].securityContext.capabilities.add
• spec.initContainers[*].securityContext.capabilities.add
• spec.ephemeralContainers[*].securityContext.capabilities.add

允許的值

• 未定義/nil
• AUDIT_WRITE
• CHOWN
• DAC_OVERRIDE
• FOWNER
• FSETID
• KILL
• MKNOD
• NET_BIND_SERVICE
• SETFCAP
• SETGID
• SETPCAP
• SETUID
• SYS_CHROOT

必須禁止 HostPath 磁碟區。

受限欄位

• spec.volumes[*].hostPath

允許的值

• 未定義/nil

應完全不允許 HostPorts（建議），或將其限制為已知清單

受限欄位

• spec.containers[*].ports[*].hostPort
• spec.initContainers[*].ports[*].hostPort
• spec.ephemeralContainers[*].ports[*].hostPort

允許的值

• 未定義/nil
• 已知清單（內建 Pod 安全性准入控制器 不支援）
• 0

在支援的主機上，預設會套用 RuntimeDefault AppArmor 設定檔。基準策略應防止覆寫或停用預設 AppArmor 設定檔，或將覆寫限制為允許的設定檔集。

受限欄位

• spec.securityContext.appArmorProfile.type
• spec.containers[*].securityContext.appArmorProfile.type
• spec.initContainers[*].securityContext.appArmorProfile.type
• spec.ephemeralContainers[*].securityContext.appArmorProfile.type

允許的值

• 未定義/nil
• RuntimeDefault
• Localhost

• metadata.annotations["container.apparmor.security.beta.kubernetes.io/*"]

允許的值

• 未定義/nil
• runtime/default
• localhost/*

設定 SELinux 類型受到限制，且禁止設定自訂 SELinux 使用者或角色選項。

受限欄位

• spec.securityContext.seLinuxOptions.type
• spec.containers[*].securityContext.seLinuxOptions.type
• spec.initContainers[*].securityContext.seLinuxOptions.type
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.type

允許的值

• 未定義/""
• container_t
• container_init_t
• container_kvm_t
• container_engine_t（自 Kubernetes 1.31 起）

受限欄位

• spec.securityContext.seLinuxOptions.user
• spec.containers[*].securityContext.seLinuxOptions.user
• spec.initContainers[*].securityContext.seLinuxOptions.user
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.user
• spec.securityContext.seLinuxOptions.role
• spec.containers[*].securityContext.seLinuxOptions.role
• spec.initContainers[*].securityContext.seLinuxOptions.role
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.role

允許的值

• 未定義/""

預設的 /proc 遮罩已設定為減少攻擊面，因此應該是必需的。

受限欄位

• spec.containers[*].securityContext.procMount
• spec.initContainers[*].securityContext.procMount
• spec.ephemeralContainers[*].securityContext.procMount

允許的值

• 未定義/nil
• 預設

Seccomp 設定檔不得明確設定為 Unconfined。

受限欄位

• spec.securityContext.seccompProfile.type
• spec.containers[*].securityContext.seccompProfile.type
• spec.initContainers[*].securityContext.seccompProfile.type
• spec.ephemeralContainers[*].securityContext.seccompProfile.type

允許的值

• 未定義/nil
• RuntimeDefault
• Localhost

Sysctl 可以禁用安全機制或影響主機上的所有容器，除非是允許的「安全」子集，否則應被禁止。如果 sysctl 在容器或 Pod 中被命名空間化，並且與同一節點上的其他 Pod 或進程隔離，則該 sysctl 被認為是安全的。

受限欄位

• spec.securityContext.sysctls[*].name

允許的值

• 未定義/nil
• kernel.shm_rmid_forced
• net.ipv4.ip_local_port_range
• net.ipv4.ip_unprivileged_port_start
• net.ipv4.tcp_syncookies
• net.ipv4.ping_group_range
• net.ipv4.ip_local_reserved_ports (自 Kubernetes 1.27 起)
• net.ipv4.tcp_keepalive_time (自 Kubernetes 1.29 起)
• net.ipv4.tcp_fin_timeout (自 Kubernetes 1.29 起)
• net.ipv4.tcp_keepalive_intvl (自 Kubernetes 1.29 起)
• net.ipv4.tcp_keepalive_probes (自 Kubernetes 1.29 起)

Restricted 原則僅允許以下 volume 類型。

受限欄位

• spec.volumes[*]

允許的值

• spec.volumes[*].configMap
• spec.volumes[*].csi
• spec.volumes[*].downwardAPI
• spec.volumes[*].emptyDir
• spec.volumes[*].ephemeral
• spec.volumes[*].persistentVolumeClaim
• spec.volumes[*].projected
• spec.volumes[*].secret

不應允許權限提升（例如透過 set-user-ID 或 set-group-ID 檔案模式）。這是在 v1.25+ 中僅限 Linux 的原則 (spec.os.name != windows)

受限欄位

• spec.containers[*].securityContext.allowPrivilegeEscalation
• spec.initContainers[*].securityContext.allowPrivilegeEscalation
• spec.ephemeralContainers[*].securityContext.allowPrivilegeEscalation

允許的值

• false

必須要求容器以非 root 使用者身分執行。

受限欄位

• spec.securityContext.runAsNonRoot
• spec.containers[*].securityContext.runAsNonRoot
• spec.initContainers[*].securityContext.runAsNonRoot
• spec.ephemeralContainers[*].securityContext.runAsNonRoot

允許的值

• true

容器不得設定runAsUser為 0

受限欄位

• spec.securityContext.runAsUser
• spec.containers[*].securityContext.runAsUser
• spec.initContainers[*].securityContext.runAsUser
• spec.ephemeralContainers[*].securityContext.runAsUser

允許的值

• 任何非零值
• 未定義/null

Seccomp 配置檔必須明確設定為允許的值之一。Unconfined 配置檔和缺少配置檔都是被禁止的。這是在 v1.25+ 中僅限 Linux 的原則 (spec.os.name != windows)

受限欄位

• spec.securityContext.seccompProfile.type
• spec.containers[*].securityContext.seccompProfile.type
• spec.initContainers[*].securityContext.seccompProfile.type
• spec.ephemeralContainers[*].securityContext.seccompProfile.type

允許的值

• RuntimeDefault
• Localhost

容器必須刪除 ALL 功能，並且僅允許加回 NET_BIND_SERVICE 功能。這是在 v1.25+ 中僅限 Linux 的原則 (.spec.os.name != "windows")

受限欄位

• spec.containers[*].securityContext.capabilities.drop
• spec.initContainers[*].securityContext.capabilities.drop
• spec.ephemeralContainers[*].securityContext.capabilities.drop

允許的值

• 包含 ALL 的任何功能列表

受限欄位

• spec.containers[*].securityContext.capabilities.add
• spec.initContainers[*].securityContext.capabilities.add
• spec.ephemeralContainers[*].securityContext.capabilities.add

允許的值

• 未定義/nil
• NET_BIND_SERVICE