파드 시큐리티 스탠다드를 클러스터 수준에서 적용하기 | Kubernetes

파드 시큐리티(Pod Security)는 새로운 파드가 생성될 때 쿠버네티스 파드 시큐리티 스탠다드(Pod Security Standards)에 대한 검사를 수행하는 어드미션 컨트롤러이다. v1.25에서 GA된 기능이다. 이 튜토리얼에서는 baseline 파드 시큐리티 스탠다드를 클러스터 수준에서 강제(enforce)하여 클러스터의 모든 네임스페이스에 표준 구성을 적용하는 방법을 보여준다.
파드 시큐리티 스탠다드를 특정 네임스페이스에 적용하려면, 파드 시큐리티 스탠다드를 네임스페이스 수준에 적용하기를 참고한다.
실행 중인 쿠버네티스 버전이 v1.37이 아니라면, 해당 버전의 문서를 확인한다.
이 튜토리얼은 완전히 제어 가능한 쿠버네티스 클러스터에서 무엇을 설정할 수 있는지 보여준다. 컨트롤 플레인을 구성할 수 없는 관리형 클러스터에서 파드 시큐리티 어드미션을 설정하는 방법을 배우려면, 파드 시큐리티 스탠다드를 네임스페이스 수준에 적용하기를 읽어 본다.
파드 시큐리티 어드미션을 이용하여 내장 파드 시큐리티 스탠다드를 enforce, audit, warn 모드로 적용할 수 있다.
현재 구성에 가장 적합한 파드 시큐리티 스탠다드를 고르는 데 도움이 되는 정보를 수집하려면, 다음을 수행한다.
파드 시큐리티 스탠다드가 적용되지 않은 클러스터를 생성한다.
kubectl context를 새로 생성한 클러스터로 설정한다.
클러스터의 네임스페이스 목록을 조회한다.
--dry-run=server를 사용하여 다른 파드 시큐리티 스탠다드가 적용되었을 때 어떤 결과가 나타나는지 확인한다.
위의 출력에서, privileged 파드 시큐리티 스탠다드를 적용하면 모든 네임스페이스에서 경고가 발생하지 않는 것을 볼 수 있다. 그러나 baseline 및 restricted 스탠다드에서는 특히 kube-system 네임스페이스에서 경고가 발생한다.
이 섹션에서는, 다음 파드 시큐리티 스탠다드를 latest 버전으로 적용한다.
baseline 파드 시큐리티 스탠다드는 예외 목록을 간결하게 유지하고 알려진 권한 상승(privilege escalations)을 방지할 수 있는 편리한 절충안을 제공한다.
추가적으로, kube-system 내의 파드가 실패하는 것을 방지하기 위해, 해당 네임스페이스는 파드 시큐리티 스탠다드가 적용되지 않도록 제외할 것이다.
사용 중인 환경에 파드 시큐리티 어드미션을 적용할 때에는 다음의 사항을 고려한다.
클러스터에 적용된 위험 허용 수준에 따라, restricted와 같은 더 엄격한 파드 시큐리티 스탠다드가 더 나은 선택일 수 있다.
kube-system 네임스페이스를 제외하면 이 네임스페이스에서 파드가 privileged로 실행될 수 있다. 실제 사용 환경에서는 최소 권한 원칙에 따라 kube-system에 대한 접근을 제한하는 엄격한 RBAC 정책을 적용할 것을 쿠버네티스 프로젝트에서 강력히 권장한다. 상기 스탠다드를 구현하려면, 다음을 수행한다.
파드 시큐리티 어드미션 컨트롤러가 이러한 파드 시큐리티 스탠다드를 구현하는 데 사용할 수 있는 구성 파일을 생성한다.
API 서버가 클러스터 생성 과정에서 이 파일을 사용하도록 구성한다.
이러한 파드 시큐리티 스탠다드를 적용하기 위해 파드 시큐리티 어드미션을 사용하는 클러스터를 생성한다.
kubectl이 해당 클러스터를 가리키도록 한다.
기본(default) 네임스페이스에 파드를 생성한다.
파드는 정상적으로 시작되지만, 출력에는 경고가 포함된다.
위에서 생성한 클러스터들을 다음 명령어를 실행하여 삭제한다.
피드백 감사합니다. 쿠버네티스 사용 방법에 대해서 구체적이고 답변 가능한 질문이 있다면, 다음 링크에서 질문하십시오. Stack Overflow. 원한다면 GitHub 리포지터리에 이슈를 열어서 문제 리포트 또는 개선 제안이 가능합니다..
© 2026 The Kubernetes Authors | Documentation Distributed under CC BY 4.0
© 2026 The Linux Foundation ®. All rights reserved. The Linux Foundation has registered trademarks and uses trademarks. For a list of trademarks of The Linux Foundation, please see our Trademark Usage page
ICP license: 京ICP备17074266号-3