PSP, o Pod Security Policy, era un recurso de admisión (Admission Controller) en Kubernetes que permitía a los administradores de clústeres definir un conjunto de condiciones de seguridad que un Pod debía cumplir para ser admitido en el clúster. Estas políticas eran altamente granulares y podían controlar aspectos como el uso de contenedores privilegiados, la asignación de IDs de usuario y grupo, el uso de volúmenes específicos (hostPath, flexVolume), capacidades de Linux, y el uso de host namespaces. Una PSP se aplicaba a través de un Admission Controller que interceptaba las solicitudes de creación de Pods y las validaba contra las políticas definidas, rechazando aquellas que no cumplían los requisitos.
Aunque PSP fue marcado como 'deprecated' en Kubernetes 1.21 y eliminado en 1.25, su concepto y funcionalidad fueron ampliamente utilizados en entornos de producción para reforzar la seguridad. Antes de su eliminación, sistemas como OpenShift implementaban sus propias versiones de políticas de seguridad de Pods, que eran más robustas y fáciles de gestionar que las PSPs nativas de Kubernetes. Herramientas de cumplimiento y seguridad como Kyverno o OPA Gatekeeper (Open Policy Agent Gatekeeper) son los sucesores espirituales y las soluciones actuales para implementar políticas de seguridad de Pods, ofreciendo una flexibilidad aún mayor y una gestión más sencilla a través de políticas personalizadas.
Para un Arquitecto de Sistemas, entender el concepto detrás de PSP es crucial para diseñar arquitecturas de microservicios seguras en Kubernetes. Aunque PSP ya no existe, la necesidad de controlar la postura de seguridad de los Pods persiste. La decisión de cómo implementar estas políticas (ej. Kyverno vs. OPA Gatekeeper) implica trade-offs en complejidad de configuración, lenguaje de políticas (YAML nativo vs. Rego), rendimiento y curva de aprendizaje. Un arquitecto debe evaluar la madurez del equipo, los requisitos de cumplimiento (ej. PCI DSS, HIPAA) y la necesidad de una política de seguridad granular para seleccionar la herramienta adecuada, garantizando que los Pods operen con el principio de mínimo privilegio y mitigando riesgos de escalada de privilegios o acceso no autorizado a recursos del host.