Kuidas piirata suhtlust erinevates nimelahendustes töötavate rakenduste vahel?

Võrgu poliitikad: Määravad, millised podide kogumid on lubatud omavahel ja väliste lõpp-punktidega suhelda. Rakendatakse Namespace, Pod või Egress tasandil.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-cross-namespace
  namespace: default # Poliitika rakendamise Namespace
spec:
  podSelector: {} # Rakendub kõigile podidele 'default' Namespace'is
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
        - podSelector: {} # Lubab sissetuleva liikluse samast Namespace'ist podidelt
  // Egress jaotis puudub, mis automaatselt keelab kogu väljamineva liikluse
  // Välja arvatud selgelt lubatud juhtudel.

Service Meshes (näiteks, Istio, Linkerd): toovad sisse kõrvalkonteinerid podidele ja haldavad võrguliiklust rakenduste tasandil. Võimaldavad rakendada turvapoliitikaid, sealhulgas Namespace vahelise suhtluse piiranguid.

• МTLS (Mutual TLS): Krüpteerib ja autentib kogu liikluse teenuste vahel.
• Authorization Policies: Määravad, millised teenused saavad omavahel suhelda identiteedi alusel.

OpenShifti Namespace-spetsiifilised SecurityContextConstraints (SCC): Piiravad konkreetsete Namespace'ide podide võimalusi, mõjutades võrguvõimalusi.

Eraldi klaster erinevate turvavööndite jaoks: Kõige rangem meetod, kuid ka kõige kulukam. Täielikult eraldab erinevates klastrites töötavad rakendused.

Tulemüürireeglid: Võrgu infrastruktuuri tasemel konfiguratsioon (näiteks, AWS Security Groups, GCP Firewall Rules), mis lubab või keelab liikluse erinevate alamvõrkude vahel, kus paiknevad erinevad Namespace'i tööseadmed.

Võrgu segmentatsioon hüperviisoritasandil: Kasutatakse virtuaalmasinates töötades, kus iga Namespace või Namespace'i grupp paikneb eraldi alamvõrgus koos vastavate marsruutimise ja tulemüürireeglitega.