强制 Kubernetes Pod 安全准入

目标

任何团队都能部署特权 Pod，破坏隔离意图与运行时控制。本配方为目标命名空间打上 restricted 强制标签，并实际提交一个特权 Pod 验证被准入拒绝；同时建议先用 audit/warn 模式发现问题再强制执行，并对系统命名空间做有意豁免而非全面放行。

步骤要点

1. 为命名空间打上 restricted 强制与审计标签。
2. 提交特权 Pod 验证被拒绝。
3. 先用 audit/warn 模式排查违规再强制执行。
4. 对系统命名空间做有意豁免。

kubectl label --overwrite ns production \
  pod-security.kubernetes.io/enforce=restricted \
  pod-security.kubernetes.io/audit=restricted

排错提示

• restricted 对部分工作负载过严。
• 系统组件可能中断，需谨慎豁免。
• 不覆盖准入后的运行时行为。

适用边界

• 需要工作负载整改投入。
• 不覆盖运行时行为。