Pod Security Standards
Niveaux de sécurité intégrés à Kubernetes pour les pods — Privileged, Baseline et Restricted — qui limitent ce qu'un pod peut faire (tourner en root, monter des répertoires de l'hôte, élever ses privilèges). Successeur des Pod Security Policies (PSP), désormais abandonnées.
Les trois niveaux : Privileged (aucune restriction, réservé aux composants système de confiance), Baseline (bloque les élévations de privilèges connues, mais reste permissif) et Restricted (très durci : non-root obligatoire, capabilities retirées, rootfs en lecture seule, seccomp). On pose sur un namespace un label qui précise le niveau et le mode : enforce (bloque les pods fautifs), audit (journalise mais laisse passer) ou warn (avertit l'utilisateur). Le tout repose sur un contrôleur d'admission intégré.
Contexte : les PSP, puissantes mais réputées délicates à configurer, ont été retirées en 1.25. Avantage : un durcissement simple et standardisé sans outil tiers — pour une politique plus fine, on se tourne vers OPA Gatekeeper ou Kyverno. Fondamental pour la sécurité d'un cluster. À rapprocher du contrôleur d'admission et du conteneur rootless.