使用PSP安全策略

创建PSP策略

1. 登录容器服务管理控制台。
2. 在集群列表页面中，单击目标集群名称或者目标集群右侧操作列下的详情。
3. 在集群详情页面选择安全管理 > 策略管理。
4. 在策略管理页面单击创建，在选择策略模板编辑框中选择目标策略模板，单击目标策略模板上的使用。
   除了集群默认设置的特权策略（默认放开所有安全校验）ack.privileged之外，默认提供了两个PSP策略实例模板：

   • privileged-restricted：限制privileged，共用主机网络、端口、namespace等特权容器的部署。
   • privileged-root-volumes-restricted：限制privileged，共用主机网络、端口、namespace等特权容器的部署，同时限制挂载卷的类型和root权限的使用。
5. 在创建YAML页面根据不同的安全等级需求修改对应的配置项，从而创建不同应用场景下的PSP策略。PSP模板中的配置项详细说明请参见Pod Security Policies。

   配置项	描述
   privileged	启动特权容器。
   hostPID，hostIPC	使用主机namespaces。
   hostNetwork，hostPorts	使用主机网络和端口。
   volumes	允许使用的挂载卷类型。
   allowedHostPaths	允许hostPath类型挂载卷在主机上挂载的路径，通过pathPrefix字段声明允许挂载的主机路径前缀组。
   allowedFlexVolumes	允许使用的指定FlexVolume驱动。
   fsGroup	配置Pod中挂载卷使用的辅组ID。
   readOnlyRootFilesystem	约束启动Pod使用只读的root文件系统。
   runAsUser，runAsGroup，supplementalGroups	指定Pod中容器启动的用户ID以及主组和辅组ID。
   allowPrivilegeEscalation，defaultAllowPrivilegeEscalation	约束Pod中是否允许配置allowPrivilegeEscalation=true，该配置会控制setuid的使用，同时控制程序是否可以使用额外的特权系统调用。
   defaultAddCapabilities，requiredDropCapabilities，allowedCapabilities	控制Pod中使用的Linux Capabilities。
   seLinux	控制Pod使用seLinux配置。
   allowedProcMountTypes	控制Pod允许使用的ProcMountTypes。
   annotations	配置Pod中容器使用的AppArmor或seccomp。
   forbiddenSysctls，allowedUnsafeSysctls	控制Pod中容器使用的sysctl配置。

6. 单击确定。
   策略实例创建成功后，您可以在策略管理页面中查看创建的PSP策略实例。

   说明

   • 在策略管理页签，单击目标策略操作列的YAML，可以在弹出的窗口中修改PSP策略。
   • 在策略管理页签，单击目标策略操作列的删除，删除PSP策略。

绑定PSP策略

Error from server (Forbidden): error when creating xxx: pods "xxx" is forbidden: unable to validate against any pod security policy: []

1. 登录容器服务管理控制台。
2. 在控制台左侧导航栏中，单击集群。
3. 在集群列表页面中，单击目标集群名称或者目标集群右侧操作列下的详情。
4. 在集群详情页面选择安全管理 > 策略管理。
5. 选择策略绑定页签，单击新增绑定规则。
6. 在新增绑定规则编辑框中设置命名空间、服务账号、绑定策略。
7. 单击确定。

解除默认绑定

1. 登录容器服务管理控制台。
2. 在控制台左侧导航栏中，单击集群。
3. 在集群列表页面中，单击目标集群名称或者目标集群右侧操作列下的详情。
4. 在集群详情页面选择安全管理 > 策略管理。
5. 在策略管理使用引导区域中单击解除默认绑定。
6. 在解绑对话框中单击确定。

确保PSP的admission controller为开启状态

当前ACK新建的集群默认开启了PSP的admission controller。然而对于运行中的已有集群，为了使上述PSP操作生效，我们需要确保集群API server的PSP admission controller为开启状态。

1. 登录容器服务管理控制台。
2. 在控制台左侧导航栏中，单击集群。
3. 在集群列表页面中，单击目标集群名称或者目标集群右侧操作列下的详情。
4. 在集群详情页面选择安全管理 > 策略管理。
5. 开启admission controller。
   • 如果在策略管理页面右上角显示，则单击改变PSP状态，在PSP状态变更对话框中单击确定，开启admission controller。
   • 如果在策略管理页面右上角显示，则表示已开启admission controller。

   注意 开启PSP会重启集群API server，如果集群中存在依赖API server的业务服务，请选择非业务非高峰期进行状态变更。

执行结果

下面将通过示例展示PSP策略管理的应用以及具体的安全校验应用效果。

1. 通过kubectl连接Kubernetes集群。
2. 创建privileged-restricted和privileged-root-volumes-restricted策略模板，详细介绍请参见创建PSP策略。
3. 执行以下命令，创建2个测试命名空间，同时在命名空间下创建测试用的serviceaccount实例并建立相应的RBAC权限绑定。

   kubectl create ns ack-all-restrictive
   kubectl create ns ack-restrictive
   
   kubectl create sa ack-dev -n ack-restrictive
   kubectl create sa ack-tester -n ack-all-restrictive
   
   kubectl -n ack-restrictive create rolebinding ack-dev-editor \
              --clusterrole=edit \
              --serviceaccount=ack-restrictive:ack-dev
   kubectl -n ack-all-restrictive create rolebinding ack-tester-editor \
              --clusterrole=edit \
              --serviceaccount=ack-all-restrictive:ack-tester          

4. 在策略绑定页签中绑定PSP策略。
   1. 单击新增绑定规则，在新增绑定规则编辑框中设置命名空间为ack-restrictive，设置服务账号为 ack-dev，设置绑定策略为 privileged-restricted，单击确定。
   2. 单击新增绑定规则，在新增绑定规则编辑框中设置命名空间为ack-restrictive，设置服务账号为 ack-dev，设置绑定策略为privileged-root-volumes-restricted，单击确定。
5. 执行以下命令，扮演使用ack-restrictive命名空间下的服务账号ack-dev和ack-all-restrictive命名空间下的服务账号ack-tester。

   alias kubectl-dev='kubectl --as=system:serviceaccount:ack-restrictive:ack-dev -n ack-restrictive'
   alias kubectl-tester='kubectl --as=system:serviceaccount:ack-all-restrictive:ack-tester -n ack-all-restrictive'
   
   kubectl-dev auth can-i use  podsecuritypolicy/privileged-restricted
   Warning: resource 'podsecuritypolicies' is not namespace scoped in group 'policy'
   yes
                           

6. 执行以下命令，创建共享主机网络的特权容器。

   kubectl-dev apply -f- <<EOF
   apiVersion: v1
   kind: Pod
   metadata:
     name: privileged
   spec:
     hostNetwork: true
     containers:
       - name: busybox
         image: busybox
         command: [ "sh", "-c", "sleep 1h" ]
   EOF
   Error from server (Forbidden): error when retrieving current configuration of:
   Resource: "/v1, Resource=pods", GroupVersionKind: "/v1, Kind=Pod"
   Name: "privileged", Namespace: "ack-restrictive"
   Object: &{map["apiVersion":"v1" "kind":"Pod" "metadata":map["annotations":map["kubectl.kubernetes.io/last-applied-configuration":""] "name":"privileged" "namespace":"ack-restrictive"] "spec":map["containers":[map["command":["sh" "-c" "sleep 1h"] "image":"busybox" "name":"busybox"]] "hostNetwork":%!q(bool=true)]]}
   from server for: "STDIN": pods "privileged" is forbidden: User "system:serviceaccount:ack-restrictive:ack-dev" cannot get resource "pods" in API group "" in the namespace "ack-restrictive"

   系统显示报错，创建特权容器失败。
7. 执行以下命令，创建非特权容器。

   kubectl-dev apply -f- <<EOF
   apiVersion: v1
   kind: Pod
   metadata:
     name: non-privileged
   spec:
     containers:
       - name: busybox
         image: busybox
         command: [ "sh", "-c", "sleep 1h" ]
   EOF
   pod/non-privileged created

   系统显示正常，创建非特权容器成功。
8. 执行以下命令，创建一个root权限Pod和一个非root权限Pod。

   kubectl-tester apply -f- <<EOF
   apiVersion: v1
   kind: Pod
   metadata:
     name: root-pod
   spec:
     containers:
       - name: busybox
         image: busybox
         command: [ "sh", "-c", "sleep 1h" ]
   EOF
   
   kubectl-tester apply -f- <<EOF
   apiVersion: v1
   kind: Pod
   metadata:
     name: non-root-pod
   spec:
     containers:
       - name: busybox
         image: busybox
         command: [ "sh", "-c", "sleep 1h" ]
         securityContext:
           runAsUser: 1000
           runAsGroup: 3000
   EOF

9. 执行以下命令，查看Pod状态。
   使用root权限的容器创建失败，使用的ack-tester sa绑定的PSP策略会约束pod使用非root权限启动容器。

   命令如下：

   kubectl-tester get po

   结果如下：

   NAME           READY   STATUS                       RESTARTS   AGE
   non-root-pod   1/1     Running                      0          115s
   root-pod       0/1     CreateContainerConfigError   0          24s

10. 执行以下命令，查看错误详情。

    命令如下：

    kubectl describe pod root-pod

    结果如下：

    Warning  Failed     28s (x5 over 2m1s)   kubelet, cn-shenzhen.192.168.1.52  Error: container has runAsNonRoot and image will run as root