在集群级别应用 Pod 安全标准 | Kubernetes

Pod 安全是一个准入控制器，当新的 Pod 被创建时，它会根据 Kubernetes Pod 安全标准进行检查。 这是在 v1.25 中达到正式发布（GA）的功能。 本教程将向你展示如何在集群级别实施 baseline Pod 安全标准， 该标准将标准配置应用于集群中的所有名字空间。
要将 Pod 安全标准应用于特定名字空间， 请参阅在名字空间级别应用 Pod 安全标准。
如果你正在运行 v1.37 以外的 Kubernetes 版本， 请查阅该版本的文档。
本教程演示了你可以对完全由你控制的 Kubernetes 集群所配置的内容。 如果你正在学习如何为一个无法配置控制平面的托管集群配置 Pod 安全准入， 请参阅在名字空间级别应用 Pod 安全标准。
Pod 安全准入 允许你使用以下模式应用内置的 Pod 安全标准： enforce、audit 和 warn。
要收集信息以便选择最适合你的配置的 Pod 安全标准，请执行以下操作：
创建一个没有应用 Pod 安全标准的集群：
将 kubectl 上下文设置为新集群：
使用 --dry-run=server 来了解应用不同的 Pod 安全标准时会发生什么：
从前面的输出中，你会注意到应用 privileged Pod 安全标准不会显示任何名字空间的警告。 然而，baseline 和 restricted 标准都有警告，特别是在 kube-system 名字空间中。
在本节中，你将以下 Pod 安全标准应用于最新（latest）版本：
baseline Pod 安全标准提供了一个方便的中间立场，能够保持豁免列表简短并防止已知的特权升级。
此外，为了防止 kube-system 中的 Pod 失败，你将免除该名字空间应用 Pod 安全标准。
在你自己的环境中实施 Pod 安全准入时，请考虑以下事项：
根据应用于集群的风险状况，更严格的 Pod 安全标准（如 restricted）可能是更好的选择。
对 kube-system 名字空间进行赦免会允许 Pod 在其中以 privileged 模式运行。 对于实际使用，Kubernetes 项目强烈建议你应用严格的 RBAC 策略来限制对 kube-system 的访问， 遵循最小特权原则。
创建一个配置文件，Pod 安全准入控制器可以使用该文件来实现这些 Pod 安全标准：
pod-security.admission.config.k8s.io/v1 配置需要 v1.25+。 对于 v1.23 和 v1.24，使用 v1beta1。 对于 v1.22，使用 v1alpha1。
在创建集群时配置 API 服务器使用此文件：
如果你在 macOS 上使用 Docker Desktop 和 kind， 你可以在菜单项 Preferences > Resources > File Sharing 下添加 /tmp 作为共享目录。
创建一个使用 Pod 安全准入的集群来应用这些 Pod 安全标准：
在 default 名字空间下创建一个 Pod：
这个 Pod 正常启动，但输出包含警告：
现在通过运行以下命令删除你上面创建的集群：
感谢反馈。如果你有一个关于如何使用 Kubernetes 的具体问题需要答案，可以访问 Stack Overflow. 如果需要，请在 GitHub 仓库 上登记新的问题 报告问题 或者 提出改进建议.
© 2026 The Kubernetes 作者 | 文档发布基于 CC BY 4.0 授权许可
© 2026 Linux 基金会®。保留所有权利。Linux 基金会已注册并使用商标。如需了解 Linux 基金会的商标列表，请访问商标使用页面
ICP 许可： 京ICP备17074266号-3