如何在Kubernetes CronJob中正确配置HostIPC与HostPID以通过Polaris校验

问题原因 #

你遇到的校验失败有两类常见原因：

• 字段大小写配置错误：Kubernetes官方的Pod属性字段为首字母小写的驼峰格式，即hostIPC、hostPID、hostNetwork。如果你按照误报的资料写成大写开头的HostIPC，Kubernetes会将其识别为自定义未知字段直接忽略，Polaris无法检测到对应配置就会触发告警。
• 版本兼容性缺陷：你使用的1.2.1版本Polaris属于较早的旧版本，对batch/v1beta1版本的CronJob的Pod模板字段解析存在已知问题，即使你正确配置了小写的host相关字段，也可能出现识别失败的情况。

另外注意你提供的报错日志中，hostIPCSet、hostPIDSet、hostNetworkSet三个检查项的Success字段均为true，代表这三项实际已经通过Polaris校验。如果你的构建流程依然失败，大概率是其他检查项扣分导致总分低于你设置的阈值87，可以拉取完整的Polaris审计报告定位其他扣分的配置项。

解决方法 #

1. 确认字段格式与层级 #

首先检查你的CronJob配置，确保hostIPC、hostPID、hostNetwork三个字段的大小写正确，且位于spec.jobTemplate.spec.template.spec层级下，参考配置如下：

apiVersion: batch/v1
kind: CronJob
spec:
  jobTemplate:
    spec:
      template:
        spec:
          hostIPC: false
          hostPID: false
          hostNetwork: false
          # 其余配置保持不变

2. 升级API与Polaris版本 #

• 将CronJob的apiVersion从batch/v1beta1更新为batch/v1，Kubernetes 1.21及以上正式版本均已稳定支持该API版本
• 升级Cloud Build配置中的Polaris镜像版本到最新稳定版，替换原有quay.io/fairwinds/polaris:1.2.1即可，新版本已经完全修复了CronJob字段解析的兼容性问题。

3. 临时豁免方案（无法升级版本时使用） #

如果暂时无法升级Polaris和K8s API版本，可以在项目中添加Polaris自定义配置文件，针对CronJob资源豁免这三项检查，避免校验阻塞构建流程。

内容的提问来源于stack exchange，提问作者Kafka4PresidentNow