使用OPA Gatekeeper和Pod安全标准强化Kubernetes Pod安全

场景

在一个多租户Kubernetes集群中，开发团队部署工作负载，但安全团队需要强制执行Pod安全策略，同时不影响现有应用。许多Pod以root身份运行，使用特权容器或危险功能，安全审计发现大量漏洞。

症状

• 安全审计结果：大量Pod以root运行，拥有特权或危险capability。
• 开发者拒绝手动审查，安全策略（PodSecurityPolicy）已被弃用，缺乏自动化执行。

诊断

使用kubectl检查Pod的安全上下文：

kubectl get pods --all-namespaces -o jsonpath='{range .items[*]}{.metadata.namespace} {.metadata.name} {.spec.containers[*].securityContext.privileged}{.spec.containers[*].securityContext.runAsUser}{.spec.containers[*].securityContext.capabilities.add}{"\n"}{end}' | head -20

检查特权Pod：

kubectl get pods --all-namespaces -o json | jq '.items[] | select(.spec.containers[].securityContext.privileged == true) | {namespace: .metadata.namespace, name: .metadata.name}'

识别需要加固的命名空间。

命令（实施）

1. 安装OPA Gatekeeper：

kubectl apply -f https://raw.githubusercontent.com/open-policy-agent/gatekeeper/master/deploy/gatekeeper.yaml

1. 部署Pod安全标准约束模板（Baseline和Restricted）：

apiVersion: templates.gatekeeper.sh/v1beta1
kind: ConstraintTemplate
metadata:
  name: k8spspbaseline
spec:
  crd:
    spec:
      names:
        kind: K8sPSPBaseline
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8spspbaseline
        violation[{"msg": msg}] {
          # 实现Baseline约束逻辑
          msg := sprintf("Pod %v in namespace %v violates Baseline Pod Security Standard", [input.review.object.metadata.name, input.review.object.metadata.namespace])
        }

1. 应用约束（审计模式）：

kubectl apply -f constraint.yaml --dry-run=server

1. 对特定命名空间强制执行：

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sPSPBaseline
metadata:
  name: pod-security-baseline
spec:
  match:
    namespaces: ["prod", "staging"]
  enforcementAction: dryrun

随后改为warn或deny。

风险控制

• 先使用dryrun模式收集违反情况。
• 排除运行DaemonSet等关键组件的命名空间。
• 使用标签security.opsglobal.io/exempt=true跳过检查。
• 在非生产环境全面测试。

回滚

删除约束模板和实例，或回退到审计模式：

kubectl delete constrainttemplate k8spspbaseline
kubectl delete constraint pod-security-baseline

验证

查看Gatekeeper的违反状态：

kubectl get constrainttemplates
kubectl get K8sPSPBaseline -o yaml

创建测试Pod验证：

kubectl run nginx --image=nginx --restart=Never --dry-run=server -o yaml | kubectl apply -f -

若违反，应被拒绝或警告。

何时提交OpsGlobal工单

• 需要跨多个集群一致实施时。
• 自定义约束模板开发。
• 性能调优（Gatekeeper延迟）。
• 处理大量违反且需要紧急修复的情况。