Comment limiter l'interaction entre les applications fonctionnant dans différents espaces de noms?

Politiques de Réseau : Définissent quels ensembles de pods sont autorisés à interagir entre eux et avec des points de terminaison externes. S'appliquent au niveau du Namespace, du Pod ou de l'Egress.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-cross-namespace
  namespace: default # Namespace auquel la politique s'applique
spec:
  podSelector: {} # S'applique à tous les pods dans le Namespace 'default'
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
        - podSelector: {} # Permet le trafic entrant depuis les pods dans le même Namespace
  // Pas de section egress, ce qui bloque par défaut tout le trafic sortant
  // Sauf dans les cas explicitement autorisés.

Service Meshes (par exemple, Istio, Linkerd): Introduisent des sidecar containers dans les pods et gèrent le trafic réseau au niveau des applications. Permettent de mettre en œuvre des politiques de sécurité, y compris la restriction des interactions entre Namespaces.

• Mutual TLS (mTLS): Chiffre et authentifie tout le trafic entre services.
• Politiques d'Autorisation: Définissent quels services peuvent interagir entre eux en fonction de l'identité.

SecurityContextConstraints (SCC) spécifiques au Namespace dans OpenShift: Limitent les capacités des pods dans des Namespaces spécifiques, affectant les capacités réseau.

Cluster séparé pour différentes Zones de Sécurité: Méthode la plus stricte, mais aussi la plus coûteuse. Isoler complètement les applications fonctionnant dans différents clusters.

Règles de Pare-feu: Configuration des règles au niveau de l'infrastructure réseau (par exemple, AWS Security Groups, GCP Firewall Rules), qui autorisent ou bloquent le trafic entre sous-réseaux où résident les Nœuds de travail de différents Namespaces.

Segmentation Réseau au niveau de l'Hyperviseur: Utilisée dans les environnements de machines virtuelles, où chaque Namespace ou groupe de Namespaces est placé dans un sous-réseau séparé avec des règles de routage et de pare-feu appropriées.