Kubernetes Blog
·
Kubernetes v1.36：无法删除的准入策略
内容提要
Kubernetes v1.36引入了基于清单的准入控制功能，解决了集群启动期间安全策略未激活的问题。通过加载存储在磁盘上的策略文件，确保关键策略始终有效，增强了安全性，保护共享集群中的基本安全策略。
关键要点
-
Kubernetes v1.36引入了基于清单的准入控制功能，解决了集群启动期间安全策略未激活的问题。
-
通过在API服务器启动时加载存储在磁盘上的策略文件，确保关键策略始终有效。
-
新的功能允许定义准入webhook和基于CEL的策略，增强了安全性，防止特权用户删除关键策略。
-
清单文件必须以.static.k8s.io结尾，以避免与基于API的配置冲突。
-
基于清单的策略可以拦截对其自身配置资源的操作，解决了API基础准入的自保护问题。
-
通过标记保护的准入资源，确保这些资源不能被修改或删除，增强了集群的安全性。
-
该功能支持在运行时监控文件变化，无需重启API服务器即可更新策略。
延伸解读
新功能的安全性提升
Kubernetes v1.36引入的基于清单的准入控制功能，确保了关键安全策略在集群启动时始终有效。这一改进解决了以往在集群启动期间，安全策略未激活的问题，降低了特权用户删除策略的风险，增强了集群的整体安全性。
自保护机制的优势
新功能允许基于清单的策略拦截对其自身配置资源的操作，解决了API基础准入的自保护问题。通过这种方式，平台团队可以确保关键的准入策略不被意外删除，从而维护集群的安全性和稳定性。
配置管理的灵活性
基于清单的准入控制支持在运行时监控文件变化，无需重启API服务器即可更新策略。这使得运维团队可以更灵活地管理策略，利用标准配置管理工具进行策略的批量更新，提升了运维效率。
延伸问答
Kubernetes v1.36引入了什么新功能？
Kubernetes v1.36引入了基于清单的准入控制功能，解决了集群启动期间安全策略未激活的问题。
如何确保Kubernetes中的关键安全策略始终有效？
通过在API服务器启动时加载存储在磁盘上的策略文件，确保关键策略始终有效。
基于清单的准入控制如何增强Kubernetes的安全性？
它允许定义准入webhook和基于CEL的策略，防止特权用户删除关键策略，增强了安全性。
清单文件的命名要求是什么？
清单文件必须以.static.k8s.io结尾，以避免与基于API的配置冲突。
如何防止对Kubernetes准入资源的修改或删除？
通过标记保护的准入资源，确保这些资源不能被修改或删除，增强了集群的安全性。
Kubernetes v1.36如何处理策略文件的实时更新？
该功能支持在运行时监控文件变化，无需重启API服务器即可更新策略。
