Pod安全策略（PSP）通过限制特权模式、卷类型、用户ID、安全配置和能力控制来增强Kubernetes安全性，尽管已废弃，但其核心控制点仍适用于自定义准入控制器或Operator开发；使用Golang可实现Admission Webhook或控制器，在创建Pod时校验并注入安全配置，如禁止root运行、禁用特权模式，并可集成PSA标签管理，实现自动化安全防护。
在 Kubernetes 中，Pod 安全策略（Pod Security Policy，PSP）是一种重要的安全机制，用于控制 Pod 的创建和运行权限。虽然从 v1.21 版本开始，Kubernetes 已将 PSP 标记为废弃，并推荐使用 Pod Security Admission（PSA）或第三方策略引擎如 OPA Gatekeeper，但在一些旧版本集群中，PSP 仍被广泛使用。Golang 作为开发 Kubernetes 原生工具的主要语言，常用于编写控制器、准入 webhook 或自定义资源来实现安全策略管理。
理解 Pod 安全策略的核心控制点
PSP 通过限制 Pod 可使用的权限来增强集群安全性。使用 Golang 编写相关组件时，需清楚其关键控制项：
- 是否允许特权模式（privileged）：防止 Pod 获取宿主机的全部权限
- 允许挂载的卷类型：限制 hostPath、secret 等敏感卷的使用
- 运行用户 ID 和组 ID 限制：强制以非 root 用户运行容器
- SELinux、AppArmor、seccomp 配置：加强容器运行时隔离
- 能力（Capabilities）控制：仅授予必要的 Linux 能力，如 NET_BIND_SERVICE
这些字段在 policy/v1beta1/PodSecurityPolicy 资源中定义。尽管不再推荐直接使用 PSP，但理解其结构有助于开发替代方案。
使用 Golang 实现自定义准入控制
你可以用 Golang 编写一个 Admission Webhook 来模拟或替代 PSP 的行为。这种做法更灵活，且兼容新版本 Kubernetes。
立即学习“go语言免费学习笔记（深入）”；
基本流程如下：
- 定义一个 HTTPS 服务，接收来自 API Server 的准入请求
- 解析请求中的 Pod spec，检查是否符合预设安全规则
- 返回
AdmissionReview响应，决定是否允许创建
示例代码片段（简化版）：
func admitPods(ar v1beta1.AdmissionReview) *v1beta1.AdmissionResponse {
raw := ar.Request.Object.Raw
pod := corev1.Pod{}
json.Unmarshal(raw, &pod)
// 检查是否以 root 用户运行
if pod.Spec.SecurityContext != nil &&
pod.Spec.SecurityContext.RunAsUser != nil &&
*pod.Spec.SecurityContext.RunAsUser == 0 {
return denialResponse("must not run as root")
}
// 检查是否开启特权模式
for _, container := range pod.Spec.Containers {
if container.SecurityContext != nil &&
container.SecurityContext.Privileged != nil &&
*container.SecurityContext.Privileged {
return denialResponse("privileged mode is not allowed")
}
}
return &v1beta1.AdmissionResponse{Allowed: true}
}
这个逻辑可以封装成独立服务，配合 MutatingWebhookConfiguration 或 ValidatingWebhookConfiguration 使用。
集成到 Operator 或控制器中进行策略执行
如果你正在使用 Golang 开发 Kubernetes Operator，可以在控制器中加入安全检查逻辑。例如，在创建工作负载前自动注入安全配置。
常见做法包括：
- 在 Reconcile 方法中检查目标命名空间是否需要强制安全上下文
- 自动为容器添加
runAsNonRoot: true和只读根文件系统 - 移除不必要的 capabilities，设置默认 seccomp profile
这种方式无需依赖已废弃的 PSP 对象，而是通过控制器主动“加固”资源，更适合现代 Kubernetes 架构。
迁移到 Pod Security Standards 与 PSA
Kubernetes 当前推荐使用内置的 Pod Security Admission（PSA），它基于命名空间标签来应用安全级别，如 baseline、restricted。
你仍可用 Golang 编写工具来批量管理命名空间标签，例如：
clientset.CoreV1().Namespaces().Update(
context.TODO(),
&corev1.Namespace{
ObjectMeta: metav1.ObjectMeta{
Name: "dev-team",
Labels: map[string]string{"pod-security.kubernetes.io/enforce": "restricted"},
},
},
metav1.UpdateOptions{},
)
这类自动化脚本可集成进 CI/CD 流程，确保所有新命名空间都具备基础安全防护。
基本上就这些。Golang 在 Kubernetes 安全策略管理中扮演的是“构建者”角色——你不只是消费现有策略，还能用它打造更智能、更自动化的安全防线。关键是理解控制点，选择合适机制，然后编码落地。
