k8s (in)security

Шок новость: Идут обсуждения об удалении/отказе (скорее о замене) от Pod Security Policies.



Проблемы PSP:

1) Путаница с привязкой субъектов

2) Проблема дублирования Admission Controllers

3) Отсутствие поддержки альтернативных CRI

4) PSP только для `Pod`s и ничего больше

5) Проблемы с тестированием покрытия PSP



Есть вероятность что от данной реализации откажутся в Kubernetes 1.22.



Обсуждение будущего PSPv2 можно наблюдать в документе "Future of PodSecurityPolicy". Работает над этим группы Sig-AUTH и Sig-SECURITY.



Об одной из перечисленных проблем я уже писал, так как сам недоумевал о причинах такой реализации. И считаю, что замена/переработка PodSecurityPolicy пойдет только на пользу.