Pod Security Admission（PSA）

用命名空间标签声明 Pod 安全标准与违规动作：enforce 拒绝、audit 记入审计、warn 只出警告，三个动作可分别配置。

Kubernetes 速查云更新于 2026-10-12

打标签与版本固定

kubectl label ns prod pod-security.kubernetes.io/enforce=baseline
kubectl label ns prod pod-security.kubernetes.io/warn=restricted
kubectl label ns prod pod-security.kubernetes.io/audit=restricted
kubectl label ns prod pod-security.kubernetes.io/enforce-version=v1.29

先只开 warn 观察影响面，再切 enforce；enforce-version 固定版本可避免集群升级后标准变严导致工作负载突然被拒。

易错点

直接把 enforce 设成 restricted：大量历史工作负载会创建失败，先用 warn 摸清范围
忽略特权组件：CNI、监控等需要特权或 hostPath 的组件应放在单独的命名空间

数据来源与参考

Kubernetes 官方文档 · Pod 安全准入

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌