Come limitare l'interazione tra applicazioni che operano in namespace diversi?

Politiche di Rete: Determinano quali set di pod sono autorizzati a interagire tra loro e con endpoint esterni. Si applicano a livello di Namespace, Pod o Egress.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-cross-namespace
  namespace: default # Namespace a cui si applica la politica
spec:
  podSelector: {} # Si applica a tutti i pod nel Namespace 'default'
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
        - podSelector: {} # Permette il traffico in ingresso dai pod nello stesso Namespace
  // Nessuna sezione egress, che di default blocca tutto il traffico in uscita
  // Tranne nei casi che sono esplicitamente permessi.

Service Meshes (ad esempio, Istio, Linkerd): Introducono container sidecar nei pod e gestiscono il traffico di rete a livello di applicazione. Permettono di implementare politiche di sicurezza, inclusi restrizioni sull'interazione tra Namespace.

• Mutual TLS (mTLS): Cifra e autentica tutto il traffico tra i servizi.
• Politiche di Autorizzazione: Determinano quali servizi possono interagire tra loro in base all'identità.

SecurityContextConstraints (SCC) specifici di Namespace in OpenShift: Limitano le capacità dei pod in Namespace specifici, influenzando le capacità di rete.

Cluster separato per diverse Zone di Sicurezza: Metodo più rigoroso, ma anche il più costoso. Isola completamente le applicazioni che operano in diversi cluster.

Regole del Firewall: Configurazione delle regole a livello di infrastruttura di rete (ad esempio, AWS Security Groups, GCP Firewall Rules), che permettono o bloccano il traffico tra subnet in cui si trovano i nodi di lavoro di diversi Namespace.

Segmentazione di Rete a livello di Hypervisor: Usata in ambienti di macchine virtuali, dove ogni Namespace o gruppo di Namespace viene collocato in una subnet separata con regole di routing e firewall corrispondenti.