kubernetes - 如何防止kubernetes服务账号被滥用

Question

我正在尝试使用 PodSecurityPolicy 来强化我的集群。
我创建了 2 个 Pod 安全策略，一个是默认的，允许最小权限，另一个是限制的，允许 Pod 的所有权限可以通过 SecurityContext 请求。
默认的可以被任何服务账户使用，受限的只能被某些服务账户使用。

正如官方文档中所说，“大多数 Kubernetes pod 不是由用户直接创建的。相反，它们通常是作为 Deployment、ReplicaSet 或其他模板化 Controller 的一部分通过 Controller 管理器间接创建的。授予 Controller 访问策略将授予该 Controller 创建的所有 pod 的访问权限，因此授权策略的首选方法是授予对 pod 服务帐户的访问权限”。
但似乎任何有创建部署权限的用户都可以通过 spec.ServiceAccountName 在 yaml 中指定任何服务帐户。
这意味着只要某个顽皮的人知道有权访问受限 PodSecurityPolicy 的服务帐户名称，他就可以使用该服务帐户创建一个 Pod，这将允许该 Pod 获得升级的权限。然后他可以在 pods 中做任何事情。

那么有没有办法防止在 pod 中滥用服务帐户？例如，如果用户想使用他无权使用的服务帐户创建 pod，apiserver 将阻止该请求。

任何人都可以提供任何想法吗？谢谢!

Answer 1

命名空间允许您将用户限制为一组服务帐户。不受信任的用户可以仅限于仅包含低权限服务帐户的命名空间。