安全 API

CertificateSigningRequest 对象提供了一种机制，可以通过提交证书签名请求并异步批准和颁发来获取 x509 证书。

Kubelet 使用此 API 获取：1. 用于向 kube-apiserver 进行身份验证的客户端证书（使用“kubernetes.io/kube-apiserver-client-kubelet” signerName）。2. kube-apiserver 可以安全连接到的 TLS 端点的服务证书（使用“kubernetes.io/kubelet-serving” signerName）。

此 API 可用于请求客户端证书以向 kube-apiserver 进行身份验证（使用“kubernetes.io/kube-apiserver-client” signerName），或从自定义非 Kubernetes 签名者获取证书。

CredentialsRequest 是 credentialsrequests API 的模式

PodSecurityPolicyReview 检查哪些服务帐户（而不是用户，因为这将是集群范围的）可以创建相关的PodTemplateSpec。

兼容性级别 2：在主要版本中稳定至少 9 个月或 3 个次要版本（以较长者为准）。

PodSecurityPolicySelfSubjectReview 检查此用户/SA 元组是否可以创建 PodTemplateSpec。

兼容性级别 2：在主要版本中稳定至少 9 个月或 3 个次要版本（以较长者为准）。

PodSecurityPolicySubjectReview 检查特定用户/SA 元组是否可以创建 PodTemplateSpec。

兼容性级别 2：在主要版本中稳定至少 9 个月或 3 个次要版本（以较长者为准）。

RangeAllocation 用于方便地公开安全组的 RangeAllocation 类型。

兼容性级别 4：不提供兼容性，API 可以随时因任何原因更改。需要长期支持的应用程序不应使用这些功能。

Secret 保持某种类型的秘密数据。Data 字段中值的总字节数必须小于 MaxSecretSize 字节。

SecurityContextConstraints 控制对影响将应用于容器的 SecurityContext 的请求的能力。由于历史原因，SCC 在核心 Kubernetes API 组下公开。该公开已弃用，将在未来的版本中删除 - 用户应改为使用 security.openshift.io 组来管理 SecurityContextConstraints。兼容性级别 1：在主要版本中稳定至少 12 个月或 3 个次要版本（以较长者为准）。

ServiceAccount 将以下内容绑定在一起：* 用户和外围系统可能理解的名称，用于标识 * 可以进行身份验证和授权的负责人 * 一组秘密