Pod 보안 계층

Pod 보안 계층 An architecture diagram generated by Archify. 네임스페이스 레이블 · enforce · audit · warn · 적용 방법 네임스페이스 레이블 enforce · audit · warn Privileged · 제한 없음 · Pod 보안 표준 (PSS) Privileged 제한 없음 Baseline · 권한 에스컬레이션 방지 · Pod 보안 표준 (PSS) Baseline 권한 에스컬레이션 방지 Restricted · 강력한 제한 · Pod 보안 표준 (PSS) Restricted 강력한 제한 보안 컨텍스트 · securityContext · 보안 컨텍스트 보안 컨텍스트 securityContext OPA Gatekeeper · 정책 엔진 · 정책 엔진 OPA Gatekeeper 정책 엔진 Kyverno · 정책 엔진 · 정책 엔진 Kyverno 정책 엔진 어드미션 웹훅 · 어드미션 컨트롤러 · 정책 엔진 어드미션 웹훅 어드미션 컨트롤러 권한 있는 파드 · Privileged 허용 · 파드 유형별 보안 권한 있는 파드 Privileged 허용 애플리케이션 파드 · Baseline / Restricted · 파드 유형별 보안 애플리케이션 파드 Baseline / Restricted 시스템 파드 · 보안 컨텍스트 적용 · 파드 유형별 보안 시스템 파드 보안 컨텍스트 적용 PSS 레벨 지정 정책 검증 적용 방법 Pod 보안 표준 (PSS) 보안 컨텍스트 정책 엔진 파드 유형별 보안

Pod 보안 표준 (PSS)

  • • Privileged: 제한 없음
  • • Baseline: 알려진 권한 에스컬레이션 방지
  • • Restricted: 강력한 보안 제한 적용
  • • 네임스페이스 레이블 pod-security.kubernetes.io/enforce·audit·warn 으로 지정

보안 컨텍스트

  • • runAsUser: 비루트 사용자로 실행
  • • readOnlyRootFilesystem: 읽기 전용 파일 시스템
  • • allowPrivilegeEscalation: false
  • • capabilities.drop: ALL

정책 엔진

  • • OPA Gatekeeper 또는 Kyverno로 클러스터 전체 정책 적용
  • • 어드미션 웹훅에서 파드 생성 요청을 검증
  • • 예: 권한 있는 컨테이너 방지 ClusterPolicy