Pod Security Standards
Wbudowane w Kubernetes poziomy bezpieczeństwa podów — Privileged, Baseline i Restricted — ograniczające, co pod może robić (działać jako root, montować katalogi hosta, podnosić uprawnienia). Następca wycofanych Pod Security Policies (PSP).
Trzy poziomy: Privileged (bez ograniczeń, dla zaufanych komponentów systemowych), Baseline (blokuje znane ścieżki eskalacji uprawnień, ale jest liberalny) i Restricted (mocno utwardzony — wymaga użytkownika innego niż root, odrzucenia capabilities, rootfs tylko do odczytu, seccomp). Mechanika: na namespace ustawia się etykietę określającą poziom i tryb: enforce (blokuje pody naruszające zasady), audit (loguje, ale przepuszcza) lub warn (ostrzega użytkownika). Całość realizuje wbudowany admission controller.
Tło: zastąpiły Pod Security Policies, które były potężne, lecz osławione z powodu kapryśności, i zostały usunięte w wersji 1.25. Zaleta: proste, ustandaryzowane utwardzanie bez narzędzi zewnętrznych — do bardziej zaawansowanych polityk służą OPA Gatekeeper i Kyverno. Podstawa bezpieczeństwa klastra.