Menerapkan Standar Keamanan Pod di Tingkat Kluster | Kubernetes

Information in this document may be out of date
This document has an older update date than the original, so the information it contains may be out of date. If you're able to read English, see the English version for the most up-to-date information: Apply Pod Security Standards at the Cluster Level
Keamanan Pod adalah pengendali penerimaan (admission controller) yang melakukan pemeriksaan terhadap Standar Keamanan Pod Kubernetes saat pod baru dibuat. Fitur ini telah mencapai status GA di v1.25. Tutorial ini menunjukkan cara menerapkan Standar Keamanan Pod baseline di tingkat klaster, yang menerapkan konfigurasi standar ke semua namespace dalam klaster.
Untuk menerapkan Standar Keamanan Pod ke namespace tertentu, lihat Menerapkan Standar Keamanan Pod di tingkat namespace.
Jika kamu menggunakan versi Kubernetes selain v1.37, periksa dokumentasi untuk versi tersebut.
Pasang alat berikut di workstation kamu:
Tutorial ini menunjukkan apa yang dapat kamu konfigurasikan untuk klaster Kubernetes yang sepenuhnya kamu kendalikan. Jika kamu sedang mempelajari cara mengonfigurasi Pod Security Admission untuk klaster terkelola di mana kamu tidak dapat mengonfigurasi control plane, baca Menerapkan Standar Keamanan Pod di tingkat namespace.
Pod Security Admission memungkinkan kamu menerapkan Standar Keamanan Pod bawaan dengan mode berikut: enforce, audit, dan warn.
Untuk mengumpulkan informasi yang membantu kamu memilih Standar Keamanan Pod yang paling sesuai untuk konfigurasi kamu, lakukan langkah-langkah berikut:
Buat klaster tanpa Standar Keamanan Pod yang diterapkan:
Outputnya akan serupa dengan:
Setel konteks kubectl ke klaster baru:
Outputnya akan serupa dengan ini:
Dapatkan daftar namespace di klaster:
Outputnya akan serupa dengan ini:
Gunakan --dry-run=server untuk memahami apa yang terjadi saat Standar Keamanan Pod yang berbeda diterapkan:
Outputnya akan serupa dengan:
Outputnya akan serupa dengan:
Outputnya akan serupa dengan:
Dari output sebelumnya, kamu akan melihat bahwa menerapkan Standar Keamanan Pod privileged tidak menunjukkan peringatan untuk namespace mana pun. Namun, standar baseline dan restricted keduanya memiliki peringatan, khususnya di namespace kube-system.
Di bagian ini, kamu menerapkan Standar Keamanan Pod berikut ke versi latest:
Standar Keamanan Pod baseline menyediakan titik tengah yang nyaman yang memungkinkan daftar pengecualian tetap pendek dan mencegah eskalasi hak istimewa yang diketahui.
Selain itu, untuk mencegah pod gagal di kube-system, kamu akan mengecualikan namespace dari penerapan Standar Keamanan Pod.
Saat kamu menerapkan Pod Security Admission di lingkungan kamu sendiri, pertimbangkan hal-hal berikut:
Berdasarkan postur risiko yang diterapkan pada klaster, Standar Keamanan Pod yang lebih ketat seperti restricted mungkin merupakan pilihan yang lebih baik.
Mengecualikan namespace kube-system memungkinkan pod berjalan sebagai privileged di namespace ini. Untuk penggunaan di dunia nyata, proyek Kubernetes sangat menyarankan agar kamu menerapkan kebijakan RBAC yang ketat yang membatasi akses ke kube-system, mengikuti prinsip hak istimewa paling sedikit. Untuk menerapkan standar sebelumnya, lakukan langkah-langkah berikut:
Buat file konfigurasi yang dapat dikonsumsi oleh Pod Security Admission Controller untuk menerapkan Standar Keamanan Pod ini:
Konfigurasikan API server untuk mengonsumsi file ini selama pembuatan klaster:
Buat klaster yang menggunakan Pod Security Admission untuk menerapkan Standar Keamanan Pod ini:
Outputnya akan serupa dengan ini:
Arahkan kubectl ke klaster:
Outputnya akan serupa dengan ini:
Buat Pod di namespace default:
Pod akan dimulai secara normal, tetapi outputnya menyertakan peringatan:
Sekarang hapus klaster yang kamu buat di atas dengan menjalankan perintah berikut:
Apakah halaman ini membantu?
Terima kasih atas masukannya. Jika kamu mempunyai pertanyaan yang spesifik terkait bagaimana menggunakan Kubernetes, tanyakanlah di Stack Overflow. Buat isu di repositori GitHub jika kamu ingin laporkan problem atau beri saran perbaikan.
© 2026 Para Pencipta Kubernetes | Dokumentasi didistribusikan di bawah CC BY 4.0
© 2026 Linux Foundation ®. Hak cipta dilindungi. Linux Foundation telah mendaftarkan merek dagang dan pengunaannya. Perinciannya bisa dilihat pada halaman penggunaan merek dagang
ICP license: 京ICP备17074266号-3