Wie kann die Interaktion zwischen Anwendungen, die in verschiedenen Namespaces arbeiten, eingeschränkt werden?

Netzwerk-Richtlinien: Bestimmen, welche Satz von Pods erlaubt sind, um miteinander und mit externen Endpunkten zu interagieren. Werden auf Namespace-, Pod- oder Egress-Ebene angewendet.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-cross-namespace
  namespace: default # Namespace, auf das sich die Richtlinie bezieht
spec:
  podSelector: {} # Gilt für alle Pods im Namespace 'default'
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
        - podSelector: {} # Erlaubt eingehenden Traffic von Pods im selben Namespace
  // Kein Egress-Abschnitt, was standardmäßig den gesamten ausgehenden Traffic blockiert
  // Außer in Fällen, die explizit erlaubt sind.

Service Meshes (z.B. Istio, Linkerd): Fügen Sidecar-Container zu Pods hinzu und steuern den Netzwerkverkehr auf Anwendungsebene. Ermöglichen die Umsetzung von Sicherheitsrichtlinien, einschließlich Einschränkungen der Interaktion zwischen Namespaces.

• Mutual TLS (mTLS): Verschlüsselt und authentifiziert den gesamten Traffic zwischen Diensten.
• Autorisierungsrichtlinien: Bestimmen, welche Dienste miteinander interagieren dürfen basierend auf der Identität.

Namespace-spezifische SecurityContextConstraints (SCC) in OpenShift: Begrenzen die Fähigkeiten von Pods in bestimmten Namespaces, beeinflussen die Netzwerkmöglichkeiten.

Separater Cluster für verschiedene Sicherheitszonen: Der strengste Ansatz, aber auch der teuerste. Isoliert Anwendungen vollständig, die in verschiedenen Clustern laufen.

Firewall-Regeln: Konfiguration von Regeln auf der Ebene der Netzwerkinfrastruktur (z.B. AWS Security Groups, GCP Firewall Rules), die den Traffic zwischen Subnetzen erlauben oder blockieren, in denen die Worker Nodes verschiedener Namespaces platziert sind.

Netzwerksegmentierung auf Hypervisor-Ebene: Wird in virtuellen Maschinen verwendet, wobei jeder Namespace oder Namespace-Gruppe in einem separaten Subnetz mit entsprechenden Routing- und Firewall-Regeln platziert wird.