Kubernetes Pod Security Admission：Baseline/Restricted治理

Kubernetes Pod Security Admission：Baseline/Restricted治理概览PSA 替代 PSP 提供命名空间级安全配置检查；通过标签启用不同严格度。在集群中逐步收紧策略，保障安全与兼容。技术参数（已验证）- 标签：`pod-security.kubernetes.io/enforce/audit/warn: baselinerestricted`；按命名空间控制。规则：限制特权容器、主机路径、`hostPID/IPC/Network`、`capabilities` 与 `runAsNonRoot` 等。例外：为特定命名空间或工作负载设置 `warn/audit` 过渡；记录违规并修复。协同：与 Admission Webhook/OPA/Kyverno 策略协同；避免冲突。观测：记录拒绝与警告事件；纳入安全看板与审计。实战清单为所有命名空间设置 `warn/audit` 并进阶到 `enforce`；定义例外流程。对工作负载进行修复与迁移；保持文档与治理台账。监控策略效果与拒绝率；持续优化与演练。