Ngăn chặn các thùng chứa UID 0 chạy Kubernetes

Theo truyền thống, tôi sẽ ngăn các bộ chứa root/UID 0 chạy trong kubernetes bằng các chính sách bảo mật nhóm. Tuy nhiên, có vẻ như trong 1.21 PSP đã không được dùng nữa. Có cách nào khác được đề xuất để ngăn chúng chạy ở cấp độ cụm không?

Như nhận xét của @mdaniel gợi ý, nó rất đáng đọc Ngừng sử dụng PodSecurityPolicy: Quá khứ, Hiện tại và Tương lai bài viết, nơi bạn sẽ thấy rằng nhóm Kubernetes khuyến nghị sử dụng Thư viện chính sách Gatekeeper cho các quy tắc ràng buộc phức tạp.

Để biết thêm chi tiết tôi khuyên bạn nên đọc:

• Tài liệu Gatekeeper chính thức
• Sử dụng Gatekeeper làm giải pháp thay thế Chính sách bảo mật Pod thả vào trong Amazon EKS mạo từ

Bạn có thể thiết lập Gatekeeper ở cấp cụm:

• phạm vi chấp nhận *, cụm, hoặc đặt tên sẽ xác định xem các tài nguyên trong phạm vi cụm và/hoặc phạm vi tên có được chọn hay không. (mặc định là *)

Đối với cách sử dụng của bạn, có thể bạn sẽ tìm thấy Ràng buộc gác cổng người dùng trở nên hữu ích. Kiểm tra các ví dụ trong thư mục mẫu.