Beispiel-Dokumentation: Pod Security Admission
Ziel
Pod Security Admission mit einem restricted Namespace und erlaubten sowie riskanten Pods nachvollziehen.
Was gemacht wird
Das Lab setzt Namespace-Labels für restricted, erstellt einen zulässigen Pod und enthält einen absichtlich riskanten Pod mit privileged und hostNetwork.
Typische Kommandos
kubectl apply -f manifests/00-namespace.yaml
kubectl apply -f manifests/10-allowed-pod.yaml
kubectl apply -f manifests/90-denied-pod.yaml
kubectl get events -n psa-lab --sort-by=.lastTimestamp
Erfolg prüfen
- Der erlaubte Pod wird angenommen.
- Der riskante Pod wird abgelehnt oder erzeugt deutliche Warnungen.
- Namespace-Labels enthalten
pod-security.kubernetes.io/enforce: restricted.
Typische Fehler
- Cluster nutzt ältere Kubernetes-Versionen ohne Pod Security Admission.
- Warnungen werden übersehen, weil nur Exit-Codes betrachtet werden.
- SecurityContext wird nur am Container, nicht am Pod geprüft.