Dunia K6: Pengawal

Pod Security Standards

Anda akan belajar: tiga tahap Pod Security, dan cara satu label hidupkan pengawal sesebuah zon.

Teks BM belum disemak oleh penutur asli.

Disemak dengan Kubernetes 1.37 pada 31 Okt 2026

Masalahnya

Anda di sini: kluster kind-dev namespace default

~/shop $ kubectl apply -f plain.yamlError from server (Forbidden): error when creating "plain.yaml": pods "plain" is forbidden: violates PodSecurity "restricted:latest": allowPrivilegeEscalation != false (container "web" must set securityContext.allowPrivilegeEscalation=false), unrestricted capabilities (container "web" must set securityContext.capabilities.drop=["ALL"]), runAsNonRoot != true (pod or container "web" must set securityContext.runAsNonRoot=true), seccompProfile (pod or container "web" must set securityContext.seccompProfile.type to "RuntimeDefault" or "Localhost")

Dulang nginx biasa. Semalam ia berjalan elok. Hari ini zon kedai menolaknya, dengan empat sebab. Maksud mudah: zon ini hanya terima dulang yang berkunci.

Tengok

Ketik setiap titik pada garis masa.

ialah tiga tahap kebersihan untuk dulang. Tekan setiap satu, yang paling longgar dulu.

Tengok

Anda di sini: kluster kind-dev namespace default

~/shop $ cat zone.yamlapiVersion: v1kind: Namespacemetadata:  name: kedai  labels:    pod-security.kubernetes.io/enforce: restricted

Satu label pada zon hidupkan pengawal. enforce tolak pod yang tak lulus. warn benarkan masuk, dengan amaran.

Cuba

Tahap mana yang pertama menolak setiap dulang?

Seret kad ke dalam kotak. Atau ketik kad, kemudian ketik kotak.

Cuba

Hidupkan pengawal untuk zon kedai, pada tahap restricted.

Anda di sini: kluster kind-dev namespace default

dev-control-planeBukaPengurus

Tiada dulang di sini.

dev-workerBuka

Tiada dulang di sini.

dev-worker2Buka

Tiada dulang di sini.

Masa: +0s (dipercepat)

Petunjuk

Kunci label ialah pod-security.kubernetes.io/enforce.

Teka

Tiga pod root lama sudah berjalan dalam kedai. Anda hidupkan restricted. Apa jadi pada mereka?

Semak

Tabiat baik, atau berisiko? Leret setiap satu.

Leret ke kanan untuk bagus, ke kiri untuk perlu baiki. Atau guna butang.

1 / 4

Hidupkan warn=restricted dulu, kemudian baiki apa yang dilaporkan

Anda berjaya!

Kini anda boleh hidupkan tahap Pod Security untuk sesebuah zon.

Nak tahu lebih (pilihan)

Ada tiga mod: enforce, warn dan audit (tulis ke log audit). Kunci versi dengan pod-security.kubernetes.io/enforce-version: v1.37. Untuk Deployment, pengawal cuma beri amaran. Pod ReplicaSet itu ditolak kemudian. Anda akan jumpanya dalam boss.

Misi sebenar

Dalam kluster buang sahaja, buat satu zon.
kubectl create namespace guard-test
Dry run dulu.
kubectl label --dry-run=server --overwrite ns guard-test pod-security.kubernetes.io/enforce=restricted
Sekarang betul-betul.
kubectl label ns guard-test pod-security.kubernetes.io/enforce=restricted
Cuba pod biasa. Baca empat sebabnya.
kubectl run plain -n guard-test --image=nginx:1.29-alpine

0 daripada 4 langkah siap · Tanda anda disimpan.