Чӣ гуна маҳдуд кардани ҳамкории байни барномаҳо, ки…

Нақша сиёсати: Қайта-қайта топларининг ўзаро ва ташқи нуқталар билан ўзаро таъсирлашга рухсат берилганлигини аниқлайди. Namespace, Pod ёки Egress даражасида қўлланилади.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-cross-namespace
  namespace: default # Сиёсат қўлланиладиган Namespace
spec:
  podSelector: {} # 'default' Namespaceдаги барча podларга қўлланилади
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
        - podSelector: {} # Ўтказишга рўзсат берилган кирувчи трафик ўша ўша Namespaceдаги podлардан
  // Egress бўлими йўқ, бу автоматик равишда барча чиқиш трафигини блоклайди
  // Фақат аниқ рўзсат берилган ҳолларда.

Service Meshes (масалан, Istio, Linkerd): Podларга ян контейнери қўшади ва тармоқ трафигини дастурлар даражасида бошқаради. Хавфсизлик сиёсатларини амалга оширишга, шу жумладан, Namespaceлар ўртасидаги таъсирни чеклашга имкон беради.
- Mutual TLS (mTLS): Ҳамма хизматлар ўртасидаги трафикни шифрлайди ва аутентификация қилади.
- Авторизация сиёсати: Қайси хизматлар ўзаро таъсир қила олишини идентификатор асосида белгилайди.
OpenShiftда Namespaceга Хос SecurityContextConstraints (SCC): Аниқ Namespaceлардаги podлар имкониятларини чеклайди, тармоқ имкониятларига таъсир қилади.
Турли хавфсизлик зоналари учун ажратилган кластер: Энг қатъий усул, аммо энг қиммат. Турли кластерларда ишлаётган дастурларни тўлиқ изоляциялайди.
Firewall қоидалари: Тармоқ инфратузилмаси даражасида конфигурацияланган қоидалар (масалан, AWS Security Groups, GCP Firewall Rules), турли Namespaceлардаги ишчи узеллар ўртасида трафикни рўзсат ёки блоклайди.
Hypervisor даражасида тармоқ сегментлаш: Виртуал машина муҳитларида қўлланилади, бу ерда ҳар бир Namespace ёки Namespace гуруҳи алоҳида подсетга жойлаштирилади ва мос қоидалар билан йўналиш ва тўсиқ қоидалари қўлланилади.

Чӣ гуна маҳдуд кардани ҳамкории байни барномаҳо, ки дар namespaceҳои гуногун кор мекунанд?