Kubernetes 为什么需要策略支持

Kubernetes 中内置了 RBAC、SecurityContext、PodSecurityPolicy 几个对象，用于为集群的运维和运营工作提供安全支持，那么为什么还要出现 Gatekeeper、Kyverno、Polaris 等策略系统呢？答案呼之欲出——不够用。首先看看几个内置手段的工作范围。

RBAC

这是一个最基础的访问控制手段，它的任务就是描述“谁”能把“什么”“怎么样”。

• 谁：这个主语通常指的是操作主体，在 RBAC 体系中，会在 RoleBinding 或 ClusterRoleBinding 的 Subject 字段中进行指定，其取值范围包括 user、group 以及 ServiceAccount 等。
• 什么：Kubernetes 中的对象，例如 Pod、Namespace、NetworkPolicy 等，除此之外还包括对象的子对象，例如 Pod 的 logs、exec 等。这个内容在 Role 或者 ClusterRole 的 resources 字段中进行表达。
• 怎么样：允许特定用户对特定资源进行的操作，例如 get、create 和 update 等，这个内容保存在 Role 或者 ClusterRole 对象的 verbs 字段中。

RBAC 相对来说是一个比较粗放的模型，实际工作中可能会有更复杂的需要，例如 Pod、NetworkPolicy 或者复杂 Operator 的 CRD，都是需要精细控制的。

SecurityContext

SecurityContext 负责定义 Pod 和容器的一些具体行为，可以直接在 Pod 中进行定义。

注意 SecurityContext 字段在容器和 Pod 两个级别都是存在的， 容器级别的对象类型为 SecurityContext，其限制范围包括：

• allowPrivilegeEscalation
• capabilities
• privileged
• procMount
• readOnlyRootFilesystem
• runAsGroup
• runAsNonRoot
• runAsUser
• seLinuxOptions
• windowsOptions

而 Pod 级别的对象类型为 PodSecurityContext，其限制范围包括：

• fsGroup
• fsGroupChangePolicy
• runAsGroup
• runAsNonRoot
• runAsUser
• seLinuxOptions
• supplementalGroups
• sysctls
• windowsOptions

PodSecurityPolicy

PSP 像是 RBAC 的延伸，通过 PodSecurityPolicy 对象定制 Pod 的安全规则，再借助 RBAC 的形式授权给用户，从而允许或者禁止特定用户/ServiceAccount 所创建的 Pod 的安全相关的能力。

和前面两种措施不同，PSP 并不是开箱即用的，需要单独启用这个 AdmissionController。在启用之前要注意，PSP 除了需要显式启用，还需要进行显式授权，必须为当前集群中运行的所有 Pod 所属的 ServiceAccount 赋予合适的 PSP，才能启用该功能，否则会造成大量的系统 Pod 无法正常运行。

PSP 基本覆盖了 SecurityContext 的各项能力，除此之外还加入了一些特技：

• hostPID、hostIPC
• hostNetwork、hostPorts
• allowedHostPaths

和可以自由发挥的 SecurityContext 相比，PSP 具备更多能力，也具备更大的强制性，可能会对既有集群上的业务造成一定影响，需要慎重使用。

工作负载安全

根据前面的了解，我们借助 Kubernetes 自有的安全设置能力，已经能够对工作负载进行很多有助于提高安全性的设置，这是否足够了呢？其实是存在一些漏洞的，例如管理需要，我们要求必须提供资源限制，可以使用如下的的 Kyverno 策略：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: check-cpu-memory
spec:
  validationFailureAction: enforce
  rules:
    - name: check-pod-resources
      match:
        resources:
          kinds:
            - Pod
      validate:
        message: "CPU and memory resource requests and limits are required"
        pattern:
          spec:
            containers:
              - name: "*"
                resources:
                  limits:
                    memory: "?*"
                    cpu: "?*"
                  requests:
                    memory: "?*"
                    cpu: "?*"

用类似的手法，还可以检查标签、标注等是否合规。

参考 CIS Kubernetes Benchmark (v151)，考虑以下几个要求：

5.1.1 Ensure that the cluster-admin role is only used where required

这是一个不计分项目，确保仅在必要时使用 cluster-admin 身份（例如 kubeadm 生成的缺省 kubeconfig 文件）。下面的 Kyverno 规则可以用于制止 cluster-admin 身份的用户创建 deployment：

apiVersion : kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: deny-cluster-admin
spec:
  validationFailureAction: enforce
  background: false
  rules:
  - name: deny-cluster-admin
    match:
      resources:
        kinds:
        - Deployment
      namespace: default
      clusterroles:
      - cluster-admin
    validate:
      message: "cluster-admin is denied"
      deny: {}

5.2.4 Minimize the admission of containers wishing to share the host network namespace (Scored)

在没有启用 PSP 的情况下，可以用如下策略完成这个限制：

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: check-hostnetwork
spec:
  validationFailureAction: enforce
  background: false
  rules:
  - name: check-hostnetwork
    match:
      resources:
        kinds:
        - Deployment
    validate:
      message: "Hostnetwork is not allowed"
      pattern:
        spec:
          template:
            spec:
              =(hostNetwork): "!true"

5.5.1 Configure Image Provenance using ImagePolicyWebhook admission controller

又一个不计分，但是个人认为很有用的规则，例如特定命名空间内，只会运行同样来源的镜像：

apiVersion : kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: image-prefix
spec:
  validationFailureAction: enforce
  background: false
  rules:
  - name: image-prefix
    match:
      resources:
        kinds:
        - Deployment
      namespace: default
    validate:
      message: "Registry is not allowed"
      pattern:
        spec:
          template:
            spec:
              containers:
              - name: "*"
                image: "trust-me/*"