Pod Security Standards
Встроенные в Kubernetes уровни безопасности подов — Privileged, Baseline и Restricted, — ограничивающие, что поду разрешено (работать от root, монтировать каталоги хоста, повышать привилегии). Преемник устаревших Pod Security Policies (PSP).
Три уровня: Privileged (без ограничений — для доверенных системных компонентов), Baseline (блокирует известные пути повышения привилегий, но довольно мягок) и Restricted (жёсткое укрепление: не root, сброшенные capabilities, rootfs только для чтения, seccomp). На namespace вешают метку с уровнем и режимом: enforce (блокировать нарушающие поды), audit (записать в лог, но разрешить) или warn (предупредить пользователя). Реализовано встроенным admission controller. Предыстория: стандарты заменили Pod Security Policies, мощные, но капризные в настройке, которые убрали в версии 1.25. Выигрыш — простое стандартизированное укрепление без сторонних инструментов; для более тонких политик используют OPA Gatekeeper или Kyverno.