Kubernetes Pod Security Standards

Définition

Les Pod Security Standards (PSS) Kubernetes sont un ensemble de politiques de sécurité standardisées définissant les niveaux de sécurité acceptables pour les pods, remplaçant les Pod Security Policies (PSP) dépréciées depuis Kubernetes 1.21 et supprimées en 1.25. Ils offrent trois profils prédéfinis : Privileged, Baseline, et Restricted, appliqués au niveau du namespace via des labels. Le profil Privileged est sans restriction : tous les pods sont autorisés, incluant les pods privilegiés nécessaires aux composants système (CNI, CSI drivers, monitoring agents). Ce profil est utilisé uniquement dans le namespace kube-system et les namespaces d'outils d'infrastructure. Le profil Baseline prévient les élévations de privilege les plus courantes : interdit privileged: true, hostPID, hostIPC, hostNetwork, et les volumes hostPath. Il autorise les pods qui n'ont pas été spécifiquement durcis mais qui ne sont pas activement dangereux. Le profil Restricted est le plus strict : impose capDrop: [ALL], readOnlyRootFilesystem: true, runAsNonRoot: true, seccompProfile.type: RuntimeDefault ou Localhost, et refuse tous les volumes hostPath. L'application des Pod Security Standards se fait via des labels de namespace : pod-security.kubernetes.io/enforce=restricted définit le mode enforce (pods non-conformes refusés). pod-security.kubernetes.io/warn=restricted génère des warnings sans refuser les pods. pod-security.kubernetes.io/audit=restricted logue les violations sans les refuser. La combinaison enforce pour le profil Baseline + warn/audit pour Restricted est un bon point de départ : blocage des pods clairement dangereux tout en générant des avertissements pour guider la migration progressive vers Restricted. La migration depuis les Pod Security Policies (PSP) vers les Pod Security Standards nécessite une analyse de l'existant : quels pods seraient refusés par le profil Baseline ou Restricted ? Des outils comme Popeye et Polaris (Fairwinds) analysent les workloads existants et identifient les violations avant activation. La migration progressive (warn → enforce) sur chaque namespace réduit les risques de rupture de service. Pour les exigences plus granulaires que les PSS standards ne couvrent pas (ex: restreindre les registres d'images autorisés, valider les resource limits), des Admission Controllers comme OPA Gatekeeper ou Kyverno complètent les PSS.