云服务器K8s集群：网络策略与Pod安全防护实践

在云服务器上搭建K8s（Kubernetes，容器编排系统）集群时，安全防护是绕不开的核心命题。网络策略与Pod安全策略作为K8s安全体系的两大支柱，能精准控制网络流量和Pod（K8s中最小可部署单元，包含一个或多个容器）行为，有效降低集群被攻击风险。本文结合实际操作步骤与示例，带你拆解这两种策略的防护实践。

网络策略：给Pod流量装"门禁系统"

网络策略的核心是为Pod间通信设置"白名单"，通过标签选择器定义允许/拒绝的流量规则。举个常见场景：生产环境中，前端Pod需要访问数据库Pod的5432端口，但测试环境的Pod不能越权访问——这种精准的流量控制，正是网络策略的典型应用。

实践步骤分两步走：
第一步，编写YAML文件定义策略。以下是允许前端Pod访问数据库Pod的示例：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: frontend-to-db-policy
spec:
  podSelector:          # 目标Pod：标签为role=db的数据库Pod
    matchLabels:
      role: db
  policyTypes: [Ingress] # 仅控制入站流量
  ingress:              # 允许的入站规则
  - from:
    - podSelector:      # 来源Pod：标签为role=frontend的前端Pod
        matchLabels:
          role: frontend
    ports:              # 允许的端口与协议
    - protocol: TCP
      port: 5432

第二步，通过kubectl命令应用策略：

kubectl apply -f frontend-to-db-policy.yaml

策略生效后，只有带"role: frontend"标签的Pod能连接数据库Pod的5432端口，其他Pod的访问会被自动阻断。

Pod安全策略：给容器行为划"红线"

Pod安全策略的作用更偏向"行为管控"，通过限制Pod的特权模式、用户权限、卷挂载类型等，避免容器因过度权限引发安全漏洞。例如，禁止Pod以root用户运行，能直接降低容器被入侵后提升系统权限的风险。

具体实践分三步：
首先，定义策略YAML文件。以下策略禁止特权模式，并要求非root用户运行：

apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
  name: non-privileged-psp
spec:
  privileged: false          # 禁用特权模式
  runAsUser:
    rule: MustRunAsNonRoot   # 必须以非root用户运行
  seLinux:
    rule: RunAsAny           # SELinux策略可选（根据实际环境调整）
  fsGroup:
    rule: RunAsAny           # 文件系统组策略可选
  volumes: ['*']             # 允许所有卷类型（可根据需求收紧）

其次，用kubectl应用策略：

kubectl apply -f non-privileged-psp.yaml

最后，绑定策略到服务账户。例如，将策略绑定到default命名空间的默认服务账户：

kubectl create rolebinding psp-binding --clusterrole=psp:non-privileged-psp --serviceaccount=default:default

完成绑定后，所有使用该服务账户的Pod都会自动遵守策略，无法以root或特权模式运行。

社区驱动：安全实践的"活字典"

K8s安全策略的完善离不开社区力量。GitHub的Kubernetes仓库中，每天都有开发者提交网络策略和Pod安全策略的优化方案；Stack Overflow等技术社区里，用户会分享"禁止跨命名空间访问"、"限制敏感端口暴露"等实战模板。

笔者曾遇到一个典型案例：某团队的测试环境Pod误连生产数据库，通过社区中分享的"基于命名空间的网络策略模板"，他们快速添加了"deny from namespace=test"规则，30分钟内就隔离了风险流量。这种"问题-解决-共享"的循环，让云服务器上的K8s安全实践始终保持着生命力。

在云服务器的K8s集群中，网络策略和Pod安全策略不是孤立的配置项，而是需要结合业务场景动态调整的防护体系。从基础的流量隔离到精细的行为管控，从参考社区模板到自定义规则，每一步实践都在为集群安全筑牢防线。掌握这两种策略，你就能更从容地应对云服务器上的K8s安全挑战。