PSA豁免如何影响合规审计?

PSA 豁免会改变合规审计的证据边界：命中豁免的请求会跳过强制、审计和告警检查。因此，审计日志中没有违规记录，不能证明相关工作负载符合 Pod Security Standards（PSS），也不能证明它曾接受过检查。

豁免带来的审计盲区

Pod Security Admission（PSA）可以按命名空间、用户或 RuntimeClass 配置豁免。审计时，命名空间上的策略标签只能说明预期采用的等级，不能单独证明每个请求都实际受到该策略约束。即使命名空间设置了严格等级，也需要核对请求是否因其他豁免条件而跳过检查。

未发现违规还有其他可能原因：集群审计配置未保留相关事件，或者观察期间没有发生相应请求。长期未重建的 Pod、暂停的定时任务和低频运维操作，都可能没有出现在观察结果中。审计人员应区分“已检查且未发现违规”“未发生可观察请求”和“请求被豁免”，避免把三者合并为合规。

如何补足证据

合规审计应同时核对集群级豁免配置、命名空间策略与工作负载清单，并确认 PSA 已启用、审计事件能够获取。对豁免范围内的工作负载，需要通过单独的配置审查和业务验证判断其风险，而不是依赖 PSA 违规日志。

每项例外至少应记录适用范围、业务原因、负责人、到期时间和定期复核结果；涉及权限需求时，还应保留相应的验证与处置记录。真正需要节点权限或宿主机访问的组件，应评审其隔离边界，避免因少数组件需要例外而放宽普通业务的保护范围。

最后，应在授权的隔离测试环境验证审计可见性，并确认测试请求没有命中豁免。审计报告也应明确说明哪些范围由 PSA 覆盖、哪些范围依赖其他证据，以及仍有哪些未验证的低频场景；证据缺口本身需要被记录，而不是被解释为通过。