Référence des politiques

Cette page décrit tous les champs d’une politique de sandbox. Une politique est définie sur un exécuteur géré dans le champ policy et régit les Sandbox placées sur cet exécuteur. Pour un guide pas à pas axé sur les tâches, consultez Configurer une politique de sandbox. Pour des exemples complets, consultez Exemples de politiques.

Champs de premier niveau

Champ	Type	Description
`display_name`	string	Nom lisible de la posture décrite par cette politique.
`base`	object	Valeurs par défaut du runtime et éléments joints appliqués avant la spécification du bac à sable. Voir `base`.
`constraints`	`PolicyConstraints`	Bornes typées validées par rapport à la spécification résolue. Voir `constraints`.
`control_plane_access`	`ControlPlaneAccessPolicy`	Contrôles de l’adresse IP source appliqués au moment de la requête pour les opérations de l’API Sandbox. Voir `control_plane_access`.

Une politique vide est valide et ne fournit ni valeurs par défaut de base ni contraintes explicites. Les gates de sécurité de la plateforme s’appliquent toutefois, et en l’absence de liste d’autorisation des classes de runtime, aucune valeur concrète ne peut être épinglée pour runtime_class. Les groupes base, constraints et control_plane_access sont facultatifs. En l’absence de liste d’autorisation des adresses IP sources, aucune restriction n’est appliquée à l’adresse source.

Ordre de résolution

Un sandbox est résolu en deux étapes :

Base. Les valeurs par défaut du runtime, puis base, puis la spécification du bac à sable. Le sandbox l’emporte, valeur par valeur. Les éléments de liste joints par base sont toujours appliqués.
Contraintes. Les bornes sont validées par rapport à la spécification entièrement résolue. Toute violation entraîne un rejet, jamais une réécriture silencieuse.

Comme les contraintes valident la spécification résolue et non celle qui a été soumise, une valeur fournie par base est vérifiée dans les mêmes conditions qu’une valeur fournie par le sandbox.

`base`

Un fragment de valeurs par défaut et d’éléments joints du runtime. Sur un exécuteur Kubernetes, il s’agit d’un fragment de spécification de pod. base regroupe les paramètres d’infrastructure qu’une sandbox n’a pas à déclarer : l’ordonnanceur, les sélecteurs de nœuds, les tolérances, la classe de priorité, la répartition topologique, les secrets d’extraction d’image, les volumes de la plateforme, la configuration DNS et les métadonnées du pod, comme les annotations épinglées. Les champs sensibles sur le plan de la sécurité sont rejetés d’office, notamment les suivants :

affinity
Le securityContext du pod et du conteneur.
runtimeClassName
initContainers
Les namespaces de l’hôte.
Les volumes hostPath.
Les comptes de service autres que celui par défaut.

`control_plane_access`

ControlPlaneAccessPolicy restreint les requêtes API Sandbox qui sélectionnent un exécuteur ou ciblent une sandbox placée sur celui-ci. Ces contrôles viennent s’ajouter à l’authentification et à l’autorisation. Ils ne restreignent pas le trafic envoyé directement aux services exposés par une sandbox.

Champ	Type	Description
`source_ip_allowlist`	`SourceIpAllowlist`	Liste d’autorisation facultative des adresses sources. Si elle est absente, aucune restriction n’est appliquée en fonction de l’adresse source. Si elle est présente mais vide, toutes les sources publiques sont refusées.

`SourceIpAllowlist`

Champ	Type	Description
`cidrs`	liste de `string`	Préfixes CIDR (routage inter-domaines sans classe) IPv4 et IPv6 comparés à l’adresse du client observée à la périphérie de l’API. L’API accepte au maximum 256 entrées et 16 Kio de texte CIDR avant normalisation.

L’API normalise les préfixes, supprime les doublons ainsi que les préfixes couverts par une entrée plus large. Les CIDR non valides, y compris les adresses IPv6 qualifiées par une zone, sont rejetés. 0.0.0.0/0 autorise explicitement toutes les sources IPv4. ::/0 autorise explicitement toutes les sources IPv6. Les contrôles d’accès sont évalués au moment de la requête, indépendamment de la résolution de la spécification lors de la création. Les modifications s’appliquent aux nouvelles opérations sur les bacs à sable existants, une fois le cache de politiques propagé. Les administrateurs conservent l’accès à l’administration des politiques, quelle que soit la liste d’autorisation. Pour la configuration, le comportement des flux, les erreurs et la récupération, voir Restreindre l’accès à l’API Sandbox par IP source.

`constraints`

PolicyConstraints regroupe les bornes typées qu’une politique applique. Chaque groupe est facultatif. Si un groupe est omis, aucune contrainte explicite de ce type n’est ajoutée, mais les gates de sécurité de la plateforme et les restrictions de classe de runtime définies dans SecurityConstraints continuent de s’appliquer.

Groupe	Type	Régit
`resources`	`ResourceConstraints`	Limites et valeurs par défaut du CPU, de la mémoire et du GPU.
`image`	`ImageConstraints`	Les images qu’une sandbox peut exécuter.
`network`	`NetworkConstraints`	Listes d’autorisation et valeurs par défaut pour le trafic sortant et l’Ingress.
`security`	`SecurityConstraints`	Privilèges, capacités et isolation.
`instance`	`InstanceConstraints`	Les types d’instance de nœud sur lesquels une sandbox peut être placée.
`lifecycle`	`LifecycleConstraints`	La durée de vie maximale d’une sandbox.
`metadata`	`MetadataConstraints`	Clés d’annotation et leur nombre.
`volumes`	`VolumeConstraints`	Supports de stockage et taille par volume.

`ResourceConstraints`

Champ	Type	Description
`max_cpu`	string	CPU maximum qu’un conteneur peut demander, exprimé sous forme de quantité Kubernetes.
`max_memory`	string	Mémoire maximale qu’un conteneur peut demander.
`min_cpu`	string	CPU minimum qu’un conteneur peut demander.
`min_memory`	string	Mémoire minimale qu’un conteneur peut demander.
`default_cpu`	string	CPU par défaut par conteneur. Lorsqu’un conteneur ne déclare ni demandes de ressources ni limites, une valeur par défaut positive détermine également sa limite CPU.
`default_memory`	string	Mémoire par défaut par conteneur. Lorsqu’un conteneur ne déclare ni demandes de ressources ni limites, une valeur par défaut positive détermine également sa limite de mémoire.
`max_gpu_count`	int64	Nombre maximal de GPU par conteneur. Si ce champ est omis, aucun plafond ne s’applique ; une valeur explicite de `0` interdit toute demande de GPU.
`cpu_ceiling`	string	Plafond du CPU total résolu pour la sandbox.
`memory_ceiling`	string	Plafond de la mémoire totale résolue pour la sandbox.
`require_limits`	bool	Si la valeur est true, exige que chaque conteneur dispose de limites une fois les valeurs par défaut appliquées.

Les plafonds se distinguent des maximums : max_cpu borne la demande d’un seul conteneur, tandis que cpu_ceiling borne le total résolu, ce qui a son importance lorsque base ajoute ses propres conteneurs.

`ImageConstraints`

Champ	Type	Description
`allowed_registries`	liste de string	Registres dont peut provenir l’image d’une sandbox. Si la liste est vide, tous les registres sont autorisés.
`allowed_images`	liste de string	Images précises qu’une sandbox est autorisée à exécuter. Si la liste est vide, toutes les images sont autorisées.

`NetworkConstraints`

Les contraintes réseau définissent des listes d’autorisation encadrant l’accès qu’une sandbox peut demander. Lorsqu’une sandbox déclare du trafic sortant, la politique accepte ou rejette cette déclaration sans l’élargir. Lorsque la sandbox ne déclare aucun trafic sortant, la politique applique default_egress, sauf si la sandbox définit deny_egress. L’accès au DNS de la plateforme et au stockage est accordé séparément. Les mêmes contraintes encadrent les mises à jour dynamiques du réseau.

Champ	Type	Description
`allowed_egress`	liste de `EgressRule`	Liste d’autorisation du trafic sortant, vérifiée à la création d’une sandbox et lors des mises à jour réseau à chaud. Si elle n’est pas vide, chaque règle déclarée doit s’y inscrire. Si elle est vide, tout ce qui peut être déclaré est autorisé.
`default_egress`	liste de `EgressRule`	Appliquée lorsque la sandbox ne déclare aucun trafic sortant, sauf si elle définit `deny_egress`. Entièrement remplacée dès qu’une déclaration est faite. Doit s’inscrire dans `allowed_egress` et ne doit pas contenir de règles `https_hostname`.
`allowed_ingress`	liste de `IngressRule`	Liste d’autorisation de l’Ingress pour les ports de visibilité `CUSTOM`, vérifiée à la création d’une sandbox et lors des mises à jour réseau à chaud. Si elle n’est pas vide, chaque règle déclarée doit s’y inscrire. Si elle est vide, tout ce qui peut être déclaré est autorisé.
`default_ingress`	liste de `IngressRule`	Appliquée lorsqu’une sandbox expose un port de visibilité `CUSTOM` sans déclarer d’Ingress, sauf si elle définit `deny_ingress`. Entièrement remplacée par des règles d’Ingress explicites. Doit s’inscrire dans `allowed_ingress`.
`deny_https_hostname_rules`	bool	Si la valeur est true, rejette les règles `https_hostname` dans `allowed_egress` et dans les requêtes de sandbox. Ne bloque ni les requêtes DNS ni le trafic HTTPS autorisé par des règles CIDR.
`dns_egress`	`DNSEgressMode`	Contrôle le trafic DNS sortant sur le port UDP/TCP 53. Si aucune valeur n’est spécifiée, la valeur par défaut est `DNS_EGRESS_MODE_ALLOW`. Une sandbox peut choisir `DNS_EGRESS_MODE_DENY`, mais ne peut pas demander `ALLOW` lorsque la politique exige `DENY`.

Lorsqu’une liste d’autorisation n’est pas vide, l’inclusion est vérifiée en fonction du type de destination ou de source et du port. Un CIDR déclaré doit s’inscrire dans l’ensemble des plages CIDR autorisées ou dans une règle any. Une portée de tenant déclarée nécessite une règle de tenant correspondante ou une règle any, et la déclaration de any nécessite une règle any.

`EgressRule`

Chaque règle désigne exactement une destination, éventuellement restreinte à certains ports.

Champ	Type	Description
`cidr`	`CidrBlock`	Une plage d’adresses, avec des exclusions facultatives.
`https_hostname`	string	Un nom d’hôte HTTPS, exact ou comportant une unique étiquette générique en première position (à gauche), tel que `.example.com`. Nécessite un exécuteur qui prend en charge les règles HTTPS basées sur le nom d’hôte. Dans `allowed_egress`, `` autorise toute déclaration de nom d’hôte.
`https_hostname_except`	liste de string	Noms d’hôte exclus de cette règle. Valide uniquement avec `https_hostname` dans `allowed_egress`. Accepte les mêmes modèles de noms d’hôte, à l’exception de `*`.
`tenant`	`TenantScope`	Autres bacs à sable, sélectionnés selon leur relation.
`any`	bool	Toutes les destinations accessibles, à l’exception des plages internes à la plateforme. Utilisez des règles tenant ou selector pour atteindre d’autres bacs à sable ou des charges de travail du cluster.
`selector`	`SelectorBlock`	Charges de travail sélectionnées par étiquette.
`ports`	liste de `PortRange`	Ports auxquels la règle s’applique. Omettez ce champ pour couvrir tous les ports, sauf pour les règles `https_hostname`, qui n’autorisent que le port TCP 443.

Les règles de nom d’hôte autorisent l’accès HTTPS, et non les requêtes DNS. Lorsque allowed_egress n’est pas vide, un nom d’hôte déclaré doit correspondre à un modèle de nom d’hôte autorisé (exclusions comprises) ou à une règle any. Une liste d’autorisation composée uniquement de CIDR n’autorise aucune déclaration de nom d’hôte. Placez les autorisations de noms d’hôte réutilisables dans un modèle de sandbox, et non dans default_egress. dns_egress contrôle séparément le trafic sortant UDP/TCP sur le port 53. DNS_EGRESS_MODE_ALLOW autorise l’accès au résolveur de la plateforme ; les autres résolveurs nécessitent une règle de trafic sortant. DNS_EGRESS_MODE_DENY bloque le trafic sortant sur le port 53, même si une autre règle l’autorise. Ce mode ne bloque ni les recherches résolues localement ni le DNS acheminé par d’autres transports autorisés, comme HTTPS.

`IngressRule`

Champ	Type	Description
`cidr`	`CidrBlock`	Plage d’adresses, avec des exclusions facultatives.
`tenant`	`TenantScope`	Autres bacs à sable, sélectionnés selon leur relation.
`any`	bool	N’importe quelle source.
`ports`	liste de `PortRange`	Ports auxquels la règle s’applique. Omettez ce champ pour l’appliquer à tous les ports dont la visibilité est `CUSTOM`.

Les règles d’Ingress s’appliquent aux ports existants dont la visibilité est CUSTOM. Elles ne modifient pas la visibilité du service et ne permettent pas de sélectionner des sources par nom d’hôte ni par étiquette.

`CidrBlock`

Champ	Type	Description
`cidr`	string	Requis. La plage d’adresses, par exemple `10.0.0.0/8`.
`except`	liste de string	Plages exclues de `cidr`. Une exclusion ne restreint que la règle à laquelle elle appartient.

`PortRange`

Champ	Type	Description
`protocol`	string	Facultatif. Valeur par défaut : TCP.
`port`	int32	Requis. Le port ou le début d’une plage.
`end_port`	int32	Facultatif. La fin d’une plage.

`TenantScope`

Valeur	Sélectionne
`TENANT_SCOPE_SAME_USER`	Les bacs à sable appartenant au même utilisateur.
`TENANT_SCOPE_SAME_ORG`	Les bacs à sable de la même organisation.
`TENANT_SCOPE_SANDBOX_NETWORK`	Les bacs à sable situés sur le même réseau de sandbox. Pas encore pris en charge ; toute règle de trafic sortant qui utilise cette valeur est rejetée.

`SelectorBlock`

Champ	Type	Description
`pod_labels`	string map	Requis. Étiquettes à faire correspondre sur le pod de destination.
`namespace_labels`	string map	Facultatif. Étiquettes à faire correspondre sur le namespace de destination.

La correspondance repose sur des paires d’étiquettes exactes, mais les déclarations peuvent comporter des étiquettes supplémentaires. Lorsque la liste d’autorisation du trafic sortant n’est pas vide, un sélecteur déclaré doit comporter toutes les paires d’étiquettes d’une règle de sélecteur correspondante. Les deux sélecteurs doivent soit omettre tous deux les étiquettes de namespace, soit les inclure tous deux, auquel cas la déclaration doit comporter toutes les paires d’étiquettes de namespace requises. Une règle any ne couvre jamais les sélecteurs, mais une liste d’autorisation vide autorise les déclarations de sélecteurs.

`SecurityConstraints`

Champ	Type	Description
`allow_privileged`	bool	Indique si un conteneur peut s’exécuter en mode privilégié à l’intérieur de la frontière d’isolation du sandbox.
`allowed_capabilities`	string list	Capacités Linux qu’un conteneur peut ajouter.
`allowed_seccomp_profiles`	string list	Profils seccomp autorisés, tels que `RuntimeDefault` ou `Unconfined`.
`allowed_runtime_classes`	string list	Classes de runtime qu’un sandbox peut épingler. Fermé par défaut (fail-closed) : une liste vide n’autorise aucun épinglage.
`default_cpu_runtime_class`	string	Classe de runtime appliquée à un sandbox CPU qui n’en épingle aucune.
`default_gpu_runtime_class`	string	Classe de runtime appliquée à un sandbox GPU qui n’en épingle aucune.
`runtime_class_mappings`	`RuntimeClassMapping` list	Associe des classes de runtime portables à des cibles d’exécution. Voir `RuntimeClassMapping`.

Les namespace de l’hôte ne sont pas configurables via les champs de sécurité de la politique v1. Les anciens champs allow_host_network et allow_host_pid ont été supprimés. Pour les profils v1beta2 hérités, voir Exemple : autoriser une posture de profil privilégié. allowed_runtime_classes est fermé par défaut (fail-closed) : une liste vide ou absente n’autorise aucun épinglage concret de runtime_class. La sélection de classes portables via runtime_class_selection s’appuie plutôt sur runtime_class_mappings. La politique limite les privilèges qu’un sandbox peut demander au sein de l’invité, ainsi que les classes de runtime qu’il peut sélectionner.

`RuntimeClassMapping`

Une liste runtime_class_mappings non vide active la sélection portable de la classe de runtime. Chaque classe mappée peut être sélectionnée par l’appelant. RUNTIME_CLASS_CPU_DEFAULT et RUNTIME_CLASS_GPU_DEFAULT assurent en outre la sélection automatique pour leur famille de ressources. Si l’une de ces classes par défaut est omise, la sélection automatique est désactivée pour la famille concernée. Les classes non mappées sont indisponibles, et les épinglages explicites de runtime_class sont rejetés. Les mappages ne peuvent pas être combinés avec allowed_runtime_classes, default_cpu_runtime_class ou default_gpu_runtime_class. Chaque classe portable ne peut apparaître qu’une seule fois.

Champ	Type	Description
`runtime_class`	`RuntimeClass`	Classe portable requise. Utilisez l’une des valeurs ci-dessous.
`kubernetes_runtime_class_name`	string	Nom de RuntimeClass Kubernetes non vide. Définissez soit ce champ, soit `node_default`, mais pas les deux.
`node_default`	bool	Définissez sur `true` pour utiliser l’environnement d’exécution de conteneurs par défaut du Nœud. Autorisé uniquement pour `RUNTIME_CLASS_CPU_DEFAULT` ou `RUNTIME_CLASS_GPU_DEFAULT`, et uniquement pour un placement CKS en dehors du pool sans serveur partagé.

Valeur `RuntimeClass`	Exigence d’exécution
`RUNTIME_CLASS_CPU_DEFAULT`	Exécution par défaut sans ressources GPU.
`RUNTIME_CLASS_CPU_NESTED_VIRT`	Exécution CPU avec virtualisation imbriquée.
`RUNTIME_CLASS_CPU_SNAPSHOT_RESTORE`	Exécution CPU avec instantané et restauration de l’état de la VM. Les instantanés du système de fichiers constituent une fonctionnalité distincte.
`RUNTIME_CLASS_GPU_DEFAULT`	Exécution par défaut avec ressources GPU.

`InstanceConstraints`

Champ	Type	Description
`allowed_instance_types`	liste de string	Types d’instance de nœud sur lesquels une sandbox peut être placée. Si la liste est vide, tous les types sont autorisés.

`LifecycleConstraints`

Champ	Type	Description
`default_lifetime_seconds`	int32	Durée de vie appliquée lorsque la sandbox n’en demande aucune.

La politique ne comporte aucun plafond de durée de vie. Le maximum de la plateforme, actuellement fixé à 30 jours, s’impose à toute sandbox : toute requête de création qui le dépasse est rejetée. Le champ max_lifetime_seconds a été supprimé du document de politique, et cwic rejette toute politique qui le contient encore.

`MetadataConstraints`

Champ	Type	Description
`denied_annotation_prefixes`	liste de string	Préfixes de clés d’annotation refusés.
`max_annotation_count`	int32	Nombre maximal d’annotations qu’une sandbox peut définir. `0` signifie qu’il n’y a aucune limite.

`VolumeConstraints`

Champ	Type	Description
`allowed_media`	liste de `StorageMedium`	Supports de stockage autorisés. Si la liste est vide, tous sont autorisés.
`max_size`	string	Taille maximale par volume, par exemple `100Gi`.

`StorageMedium`

Valeur	Description
`STORAGE_MEDIUM_UNSPECIFIED`	Valeur par défaut de la plateforme, qui repose sur le disque.
`STORAGE_MEDIUM_DISK`	Repose sur le disque.
`STORAGE_MEDIUM_MEMORY`	Repose sur la RAM et est décompté de la mémoire du conteneur.

Retirez STORAGE_MEDIUM_MEMORY de allowed_media pour interdire les volumes en RAM.

Règles de validation

Une politique est rejetée si l’une des conditions suivantes est remplie :

Le document encodé dépasse 256 Kio.
La politique a la valeur null. Une politique configurée ne peut pas être effacée, seulement remplacée.
default_egress contient des règles https_hostname.
Les règles par défaut de trafic sortant ou d’Ingress ne respectent pas la liste d’autorisation correspondante.
Une liste d’autorisation d’adresses IP source contient un CIDR IPv4 ou IPv6 non valide, plus de 256 entrées ou plus de 16 Kio de texte CIDR.

Voir aussi

Configurer une politique de sandbox : le guide pas à pas, orienté tâches, qui couvre chaque groupe présenté sur cette page.
Exemples de politiques : cinq politiques complètes correspondant aux postures de cluster les plus courantes.
Aperçu des politiques : comment une sandbox est résolue en fonction d’une politique.
Déployer et gérer un exécuteur : où se trouve la politique et comment la définir.

Sandbox

Utiliser les Sandbox

Gérer les bacs à sable

Référence

Référence des politiques

Champs de premier niveau

Ordre de résolution

`base`

`control_plane_access`

`SourceIpAllowlist`

`constraints`

`ResourceConstraints`

`ImageConstraints`

`NetworkConstraints`

`EgressRule`

`IngressRule`

`CidrBlock`

`PortRange`

`TenantScope`

`SelectorBlock`

`SecurityConstraints`

`RuntimeClassMapping`

`InstanceConstraints`

`LifecycleConstraints`

`MetadataConstraints`

`VolumeConstraints`

`StorageMedium`

Règles de validation

Voir aussi

​Champs de premier niveau

​Ordre de résolution

​base

​control_plane_access

​SourceIpAllowlist

​constraints

​ResourceConstraints

​ImageConstraints

​NetworkConstraints

​EgressRule

​IngressRule

​CidrBlock

​PortRange

​TenantScope

​SelectorBlock

​SecurityConstraints

​RuntimeClassMapping

​InstanceConstraints

​LifecycleConstraints

​MetadataConstraints

​VolumeConstraints

​StorageMedium

​Règles de validation

​Voir aussi

Champs de premier niveau

Ordre de résolution

`base`

`control_plane_access`

`SourceIpAllowlist`

`constraints`

`ResourceConstraints`

`ImageConstraints`

`NetworkConstraints`

`EgressRule`

`IngressRule`

`CidrBlock`

`PortRange`

`TenantScope`

`SelectorBlock`

`SecurityConstraints`

`RuntimeClassMapping`

`InstanceConstraints`

`LifecycleConstraints`

`MetadataConstraints`

`VolumeConstraints`

`StorageMedium`

Règles de validation

Voir aussi