通过容器策略治理配置Pod的安全策略

策略治理介绍

PodSecurityPolicy（简称PSP）从Kubenetes 1.21版本开始被标记为弃用（Deprecated）状态。为此，ACK集群改版了原先基于PSP的策略管理功能。基于使用OPA策略的Gatekeeper准入控制器，ACK集群扩展了相应的策略治理状态统计和日志上报检索等能力，同时内置了种类丰富的策略治理规则库，提供符合更多K8s应用场景的策略规则。在规则配置上，您可以在控制台上白屏化配置，降低使用策略治理相关能力的门槛。

前提条件

• 已创建ACK托管集群或ACK专有集群，且集群版本为v1.16及以上。具体操作， 请参见创建Kubernetes托管版集群或创建Kubernetes专有版集群。如需升级集群，请参见手动升级集群。

• 使用RAM用户进行策略管理时，已确保该RAM用户拥有以下授权：

  • cs:DescribePolicies：列举策略治理规则库列表

  • cs:DescribePoliceDetails：获取策略规则模板详情

  • cs:DescribePolicyGovernanceInCluster：获取集群策略治理详情

  • cs:DescribePolicyInstances：获取集群中当前部署的策略实例列表

  • cs:DescribePolicyInstancesStatus：获取集群当前不同策略类型对应的实例部署状态

  • cs:DeployPolicyInstance：在指定集群中部署策略规则实例

  • cs:DeletePolicyInstance：在指定集群中删除策略规则实例

  • cs:ModifyPolicyInstance：在指定集群中修改策略规则实例

  关于如何自定义RAM授权策略，请参见自定义RAM授权策略。

注意事项

• 仅适用于Linux节点。

• 当前不支持自定义策略规则，所有规则均来自于阿里云容器服务内置的规则库。

步骤一：安装或升级策略治理组件

启用安全策略治理功能时，需安装以下组件：

• gatekeeper组件：基于OPA策略引擎的K8s策略准入控制器，便于您管理和应用集群内的OPA策略，实现命名空间标签管理等功能。

  说明

  仅支持使用ACK集群提供的gatekeeper组件。如您通过其他途径安装了gatekeeper组件，请卸载后重新安装。关于gatekeeper组件的版本发布信息，请参见gatekeeper。

• logtail-ds日志组件：对不符合策略约束的拦截或告警事件的收集和检索。

• policy-template-controller组件：为基于阿里云策略模板开发的K8s控制器，便于您更好地管理基于不同策略模板部署的策略实例和集群整体的治理状态。

1. 登录容器服务管理控制台，在左侧导航栏选择集群。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择安全管理 > 策略管理。

3. 在策略管理页面，根据页面提示安装或升级组件。

步骤二：使用策略治理功能

相关文档

• 关于策略治理支持的四类内置规则库，包括Compliance、Infra、K8s-general和PSP，请参见容器安全策略规则库说明。

• 配置巡检功能可以扫描集群中Workload配置的安全隐患。更多信息，请参见使用配置巡检检查集群工作负载。