树叶云kubernetes教程-Kubernetes-Pod安全性标准 (树叶云朵拟人句怎么写)

Pod安全性标准

Pod安全性标准定义了三种不同的策略（Policy），以广泛覆盖安全应用场景。这些策略是渐进式的（Cumulative），安全级别从高度宽松至高度受限。本指南概述了每个策略的要求。

描述
Privileged	不受限制的策略，提供最大可能范围的权限许可。此策略允许已知的特权提升。
限制性最弱的策略，禁止已知的策略提升。允许使用默认的（规定最少）Pod 配置。
Restricted	限制性非常强的策略，遵循当前的保护 Pod 的最佳实践。

Profile细节

Privileged

Privileged策略是有目的地开放且完全无限制的策略。此类策略通常针对由特权较高、受信任的用户所管理的系统级或基础设施级负载。

Privileged策略定义中限制较少。对于默认允许（Allow-by-default）实施机制（例如gatekeeper），Privileged框架可能意味着不应用任何约束而不是实施某策略实例。与此不同，对于默认拒绝（Deny-by-default）实施机制（如Pod安全策略）而言，Privileged策略应该默认允许所有控制（即，禁止所有限制）。

Baseline策略的目标是便于常见的容器化应用采用，同时禁止已知的特权提升。此策略针对的是应用运维人员和非关键性应用的开发人员。下面列举的控制应该被实施（禁止）：

控制（Control）	策略（Policy）
HostProcess	Windows Pod 提供了运行HostProcess 容器的能力， 这使得对 Windows 节点的特权访问成为可能。 基线策略中对宿主的特权访问是被禁止的。 HostProcess Pod 是 Kubernetes版本的特性。 限制的字段 允许的值
宿主名字空间	必须禁止共享宿主名字空间。 限制的字段 允许的值
特权容器	特权 Pod 关闭了大多数安全性机制，必须被禁止。 限制的字段 允许的值
权能	必须禁止添加除下列字段之外的权能。 限制的字段 允许的值
HostPath 卷	必须禁止 HostPath 卷。 限制的字段 允许的值
宿主端口	应禁止使用宿主端口，或者至少限定为已知列表。 限制的字段 允许的值
在受支持的主机上，默认使用 runtime/default AppArmor Profile。 基线策略应避免覆盖或者禁用默认策略，以及限制覆盖一些 Profile 集合的权限。 限制的字段 允许的值
设置 SELINUX 类型的操作是被限制的，设置自定义的 SELinux 用户或角色选项是被禁止的。 限制的字段 允许的值 限制的字段 允许的值
挂载类型	要求使用默认的掩码以减小攻击面。 限制的字段 允许的值
Seccomp Profile 禁止被显式设置为 Unconfined 。 限制的字段 允许的值
Sysctls 可以禁用安全机制或影响宿主上所有容器，因此除了若干“安全”的子集之外，应该被禁止。 如果某 sysctl 是受容器或 Pod 的名字空间限制，且与节点上其他 Pod 或进程相隔离，可认为是安全的。 限制的字段 允许的值

Restricted

Restricted策略旨在实施当前保护Pod的最佳实践，尽管这样作可能会牺牲一些兼容性。该类策略主要针对运维人员和安全性很重要的应用的开发人员，以及不太被信任的用户。下面列举的控制需要被实施（禁止）：

控制（Control）	策略（Policy）
基线策略的所有要求。
卷类型	除了限制 HostPath 卷之外，此类策略还限制可以通过 PersistentVolumes 定义的非核心卷类型。 限制的字段 允许的值 spec.volumes[*] 列表中的每个条目必须将下面字段之一设置为非空值：
特权提升（v1.8+）	禁止（通过 SetUID 或 SetGID 文件模式）获得特权提升。 限制的字段 允许的值
以非 root 账号运行	必须要求容器以非 root 用户运行。 限制的字段 允许的值 如果 Pod 级别 spec.SecurityContext.runAsNonRoot 设置为，则允许容器组的安全上下文字段设置为 未定义/。
非 root 用户（v1.23+）	ConTainers 不可以将runAsUser设置为 0 限制的字段 允许的字段
Seccomp (v1.19+)	Seccomp Profile 必须被显式设置成一个允许的值。禁止使用 Unconfined Profile 或者指定 不存在的 Profile。 限制的字段 允许的值 如果 Pod 级别的 spec.securityContext.seccompProfile.type 已设置得当，容器级别的安全上下文字段可以为 未定义/。 反过来说，如果 _所有的_ 容器级别的安全上下文字段已设置，则 Pod 级别的字段可为 未定义/。
权能（v1.22+）	容器组必须弃用权能，并且只允许添加 NET_BIND_SERVICE 权能。 限制的字段 允许的值 限制的字段 允许的值

策略实例化

将策略定义从策略实例中解耦出来有助于形成跨集群的策略理解和语言陈述，以免绑定到特定的下层实施机制。

随着相关机制的成熟，这些机制会按策略分别定义在下面。特定策略的实施方法不在这里定义。

Pod安全性准入控制器

PodSecurityPolicy（已弃用）

常见问题

为什么不存在介于Privileged和Baseline之间的策略类型

这里定义的三种策略框架有一个明晰的线性递进关系，从最安全（Restricted）到最不安全，并且覆盖了很大范围的工作负载。特权要求超出Baseline策略者通常是特定于应用的需求，所以我们没有在这个范围内提供标准框架。这并不意味着在这样的情形下仍然只能使用Privileged框架，只是说处于这个范围的策略需要因地制宜地定义。

SIGauth可能会在将来考虑这个范围的框架，前提是有对其他框架的需求。

安全策略与安全上下文的区别是什么？

安全上下文在运行时配置Pod和容器。安全上下文是在Pod清单中作为Pod和容器规约的一部分来定义的，所代表的是传递给容器运行时的参数。

安全策略则是控制面用来对安全上下文以及安全性上下文之外的参数实施某种设置的机制。在2020年7月，Pod安全性策略已被废弃，取而代之的是内置的Pod安全性准入控制器。

Kubernetes生态系统中还在开发一些其他的替代方案，例如

我应该为我的WindowsPod实施哪种框架？

Kubernetes中的Windows负载与标准的基于Linux的负载相比有一些局限性和区别。尤其是PodSecurityContext字段对Windows不起作用。因此，目前没有对应的标准Pod安全性框架。

如果你为一个WindowsPod应用了Restricted策略，可能会对该Pod的运行时产生影响。Restricted策略需要强制执行Linux特有的限制（如seccompProfile，并且禁止特权提升）。如果kubelet和/或其容器运行时忽略了Linux特有的值，那么应该不影响WindowsPod正常工作。然而，对于使用Windows容器的Pod来说，缺乏强制执行意味着相比于Restricted策略，没有任何额外的限制。

你应该只在Privileged策略下使用HostProcess标志来创建HostProcessPod。在Baseline和Restricted策略下，创建WindowsHostProcessPod是被禁止的，因此任何HostProcessPod都应该被认为是有特权的。

沙箱（Sandboxed）Pod怎么处理？

现在还没有API标准来控制Pod是否被视作沙箱化Pod。沙箱Pod可以通过其是否使用沙箱化运行时（如gVisor或KataContainer）来辨别，不过目前还没有关于什么是沙箱化运行时的标准定义。

沙箱化负载所需要的保护可能彼此各不相同。例如，当负载与下层内核直接隔离开来时，限制特权化操作的许可就不那么重要。这使得那些需要更多许可权限的负载仍能被有效隔离。

此外，沙箱化负载的保护高度依赖于沙箱化的实现方法。因此，现在还没有针对所有沙箱化负载的建议策略。

---

为何不可以装多个杀毒软件

如何装多个杀毒软件系统装了一款杀毒软件后，如果再安装别的厂家的杀毒软件就会产生冲突然而每款杀毒软件都有自己的特点，如果能结合两种以上的杀毒软件保护系统那么安全性就会更高点。 这里以安装卡巴和瑞星为例先安装瑞星，然后在安装后，利用瑞星自带的删除组件，删除掉瑞星的时时监控系统然后再安装卡巴，我们是以开启卡巴的实时监控系统的保护功能。 理由是 卡巴杀毒范围广，主要以卡巴为主，瑞星杀毒为辅助。 在查杀病毒的时候，先开启一款，查完后，关了这一款，然后再启动另外一款

驾车错误操作是什么？

开车10大错误操作曝光:有ABS就放心开快车.目前很多汽车都装有防抱死制动系统ABS，有些驾驶员认为这类汽车稳定性和安全性绝对可靠. 有ABS就放心开快车目前很多汽车都装有防抱死制动系统ABS，有些驾驶员认为这类汽车稳定性和安全性绝对可靠。 事实并非如此。 ABS的作用有两个：一是防止汽车制动时车轮抱死而产生制动跑偏，提高汽车制动时的转向稳定性，二是把轮胎滑移率控制在10%～20%，提高车辆的制动力。 但是，ABS是为了防止车轮因紧急制动时车轮抱死而打滑，有时其制动距离较一般制动系 统汽车的制动距离还要长，在不好的路面如滑溜路面、粗糙的砂砾路就可能造成事故。 因此，驾驶装有ABS防抱死制动装置的汽车，也不应该盲目开快车，仍应注意提早制动才能确保行车安全。 急踩油门起动电喷车 发动机冷车起动时，由于温度低，混合气形成雾化条件差，点燃困难，所以往往需要供给极浓的混合气。 装用电控装置的发动机与装用化油器的发动机结构不同，为了在冷起动时也能加浓混合气，其起动时喷油量由基本喷射量(相当于化油器中的起动系供油量)两部分合成，有些车型进气岐管上还装有冷起动喷嘴。 此外，当电喷发动机低温起动时，空气辅助阀起了与化油器快怠速机构相似的作用，它自动控制发动机起动时的进气流量，不需要由驾驶员控制油门。 因此，电喷汽车起动时，没有必要踩油门，更没有必要在起动前连续急踩，否则反而会造成发动机起动不良。 起动柴油车前往复踩油门 有些柴油车驾驶员在起动柴油车前，往往要往复踩下几次油门踏板，而后才进行启动。 这种操作方法是不正确的。 因为，众所周知，汽油车在起动前(尤其在冬季)往往要往复踩几下油门踏板，目的是让汽化器加速装置工作，多喷入一些燃油，加浓混合气，以满足起动的需要；而柴油车在起动前这样操作，只会增加喷油泵操纵装置和油量调节机构的磨损，不会使混合气加浓。 因为柴油车所需的燃油是靠喷油泵凸轮通过挺杆顶动柱塞产生高压后，经喷油器喷入气缸的。 如果发动机未运转，柱塞不作上、下移动，燃油也就进不了气缸，当然无法加浓混合气。 正确的做法是在起动前，利用手油泵或电动泵泵油，使低压油路有足够的燃油，以便于起动时有更多的燃油进入气缸，达到迅速起动的目的。 起动后猛轰油门 在起动发动机后，由于机体温度低转速不易稳住，有些驾驶员怕发动机熄火便连续猛轰油门，还有的将油门踩得较大，让发动机高速运转，这是错误的做法。 因为，轰油门不但加剧气缸磨损，而且还可能出现烧瓦抱轴事故。 当发动机冷起动时，润滑油粘度大，流动性差，部件润滑不充分，处于半干甚至干摩擦状态。 同时，由于机体温度低，混合气燃烧不完全，部分混合气中的燃油会冲淡机油，这也将使发动机加剧磨损。 另外，由于猛轰油门，使发动机转速忽快忽慢，运转件的负荷忽大忽小，活塞在气缸中形成了无规律的撞击运动，造成活塞与缸壁之间撞击磨损，加速气缸失圆和锥形的形成，加快活塞环、活塞销及铜套、大小瓦的损坏。 正确的做法应当是：起动后应转入怠速运转，冬天因温度低发动机易熄火，可稍踏油门或拉阻风门，让发动机高怠速运转，并保持这种状况3～5分钟。 雨天行车突然放松油门 雨天中行车路面较滑，若制动运用不当会产生侧滑，而雨天在泥泞的道路行驶中突然猛加油门或突然放松油门也会引起侧滑，却往往被人们忽视。 这是因为当汽车高速行驶时突然松油门，由发动机的怠速给传动部分一个减速度，这个突然的减速度再传递到车轮上，使车轮与地面之间产生了瞬间制动，因而产生侧滑。 猛加油门同样也会产生侧滑。 因此，雨天切莫高速停车，减速时除了正确使用制动外，油门放松也应缓和。 当加速时也应该稳住油门缓缓加油门，低速行驶，增大摩擦系数和扭力矩，安全通过。 下长坡频繁制动 汽车下长坡时，如果驾驶员长时间踩制动踏板，或频繁间歇性使用制动，对车辆的危害极大，对交通安全也会产生严重的威胁。 因为长时间使用制动，会使制动摩擦片过热，摩擦系数下降，造成热衰退，导致制动性能下降甚至失效。 另外，还会加剧制动蹄片的磨损，减少其使用寿命。 因此，汽车下长坡前应提前降低车速。 下长坡时，若车速加快，可迅速踩下制动踏板，降低车速，之后迅速放松踏板，若需再次降低，可重复此法。 新车拖档行驶 新车在走合期内，应注意车辆的动力应随时与档位相符，根据发动机动力适时换档，否则，易造成发动机早期损坏。 因为，低档位、油门过大会使发动机作高速动转；高档位、慢速度会引起动力不足，也会影响发动机的正常运转。 两者均会加速发动机的磨损。 因此，驾驶员在驾驶新车时，尤其在走合期时应掌握好动力与档位相符，不能拖挡行驶。 行车中连续急加速 有些驾驶员喜欢在发动机负荷状态下连续急速加油。 出现这种情况大致有两种原因：一是发动机有故障，不去查明原因认真排除，而是想通过连续急加速改变发动机的工作情况；二是冬季不按规定进行起动，怕麻烦图省事，好不容易发动着，担心再熄火，所以连续急加速。 殊不知，这种做法极易导致以下不良后果：易烧蚀白金造成发动机工作不良；易打坏正时齿轮，造成发动机无法工作。 因为，采用连续急加速的做法，将使正时齿轮与啮合副之间的啮合力随之骤变，极易使正时齿轮打坏，导致配合机构、汽油泵等无法工作。 用降低转速来节油 有些驾驶员认为，发动机转速越低，耗油越少。 因此在行车中采用一些错误的做法。 如在完成起步、加速、加档这一动作时，很短的距离内就将低档换入高档，结果汽车行驶常常拖档。 有时在汽车负荷较重的情况下，又强行用高档行驶以降低发动机转速，结果造成发动机转速不稳定，爆燃严重，功率下降，油耗增加。 因此不能用降低发动机转速来节油。 下长坡熄火空档滑行 不少汽车都装有转向、离合、制动等助力装置，这些装置都只在发动机运转状态和有电状态下才能工作。 一旦长时间熄火脱档滑行，就可能会出现转向沉重、ABS系统失效、离合器踏板变沉等，甚至失效。 同时，熄火空档滑行还将使真空度或气压不足，造成制动性能差，影响行车安全；造成变速器同步器过早损坏。 这是因为，当汽车熄火空档滑行时，变速器一轴和中间轴不转，只有二轴在后轮作用下转动，变速器中的润滑油很难甩起，而二轴上的同步器摩擦锥环上的机油随二轴转动时很快甩干，因此在换档时同步器锥环和锥盘之间几乎是干摩擦，使二者之间磨损增大，造成同步器的过早损坏。 总之，在确保行车安全的前提下，虽可采取挂档滑行的办法，但发动机不可熄火，更不能熄火空档滑行。 该答案来自极限户外网官方网站

消防安全方面的知识及火海逃生技巧

碰到着火，如果火苗很小，而且短时间找不到水或消防器材时，可以用不易燃或者燃点较高的东西把它盖住，隔绝空气能迅速灭火。 如果是电器起火一定不能用水来灭火，可以用干粉灭火器来灭火。 干粉灭火器需要倒过来使用。 另外泡沫灭火器需要摇晃以后喷射。 碰到已经起火后，可以找湿毛巾捂住口鼻，尽量贴着地爬出去逃生，不要往高处躲，不要坐电梯。 如果条件允许，最好找被子弄湿，盖在身上，再爬出去

闻到较重的煤气味时，不能进行开灯、打手机等容易产生静电的动作，要迅速开窗通风，然后迅速切断气源、寻找泄漏点或报修；遇油锅着火不要慌，只要把锅盖盖上就行；家里常备一个小的灭火器或准备一些干粉；家中有自备车，别忘记车上要常备一个小的灭火器；遇家里着火，要迅速逃离火场，不要惊慌，无法从门口逃离的，可用床单等由阳台逃离。 另外以下是网上搜到的一些常识：消防小常识一、 公共场所防火1、 在公共场所不吸烟，不使用明火。2、 不携带易燃、易爆物品进入公共场所。3、 进入公共场所一定要观察疏散标志和通道。二、 在有“严禁烟火”标志的地方要特别注意防火。1、 这些地方多是火灾的易发地或一些防火重要场所，如化工厂、汽车加油站、发电站、实验室、仓库等。2、 火灾的引发，往往是由于平时不注意防火安全，所以我们必须时时刻刻提高防火警惕。更不能在“严禁烟火”的地方吸烟，否则会容易引起火灾。三、 遇到火灾要镇静，抓紧时间快报警1、 发生火灾，尽快拨打“119”火警电话报警。2、 拨打“119”时要清楚发生火灾的地点，燃烧物和火势的大小。3、 在打电话的同时，应尽力扑灭初起的火源。四、 灭火器的使用方法1、 炮沫灭火器可以扑救汽油、煤油、柴油和木材等引起的火灾。使用方法：一手握提环，一手托底部，将灭火器颠倒后摇晃几次，泡沫就会射出来。2、 干粉灭火器是通用的灭火器。使用方法：拔出保险销，一手握住喷嘴，对准火源，一手向下压动压把，便会喷出粉雾，覆盖燃烧区。3、 二氧化碳灭火器是一种新型的压力式气体灭火器。它灭火性能高，毒性底，腐蚀性小，灭火后不留痕迹。使用方法：先拔掉安全销，一手紧握压把，一手将喷嘴对准火源根部，压杆一启，左右扫射，快速推进。五、 怎样逃生1、 看好楼房的示意图，选择好逃生路线。要走最近的安全通道，迅速逃离火灾现场。不能贪恋财物，而耽误了最佳逃生时间。2、 检查门窗烫不烫，若烫说明外面的火大。在外面火大的情况下不能开门，不能让浓烟跑近来。发生火灾时，许多人都是被烟熏昏迷后，在被烧死的。3、 千万不要乘坐电梯，要走安全通道。楼下着火，楼上的人应关闭通向走廊和阳台的门窗，在室内或阳台上待援，切忌跳楼和往楼下的火场跑。4、 防止烧伤，烟气熏呛和中毒。用湿毛巾捂住鼻子，俯身行走，热浪弱时起身快跑，烟气凶的地方一定匍匐前进，因为烟往高处走。5、 火灾时，从窗台逃生别慌乱。若你在底楼层居住，火灾时，情况危急，可利用绳索或把床单、被套撕成条状连成绳索，栓在窗框，确保安全的情况下，顺绳滑下。在高层居住，火灾危急时，要大声呼救和发出明显信号，等待救援。若下层火势大，可向上层逃生。