Pod Security Standards
Os níveis de segurança nativos do Kubernetes para pods — Privileged, Baseline e Restricted — que limitam o que um pod pode fazer (rodar como root, montar diretórios do host, escalar privilégios). Sucessor das Pod Security Policies (PSP), já descontinuadas.
Os três níveis: Privileged (sem restrição — tudo liberado, para componentes confiáveis do sistema), Baseline (bloqueia escalações de privilégio conhecidas, mas é permissivo) e Restricted (fortemente endurecido — exige usuário não-root, capabilities removidas, rootfs somente leitura e seccomp). Na prática, você coloca um rótulo no namespace indicando nível + modo: enforce (bloqueia pods que violem), audit (registra, mas permite) ou warn (avisa quem aplicou). Tudo é implementado por um admission controller embutido. Contexto: substituiu as Pod Security Policies (PSP), poderosas mas notoriamente trabalhosas, removidas na 1.25. Vantagem: hardening simples e padronizado sem ferramentas de terceiros — para políticas mais avançadas, usa-se OPA Gatekeeper ou Kyverno. Segurança básica de cluster. Relacionada a admission controller e contêiner rootless.