21、Kubernetes 网络分段与安全配置全解析

Kubernetes 网络分段与安全配置全解析

1. 网络分段相关

在网络配置中，存在这样一种情况：带有标签 has-metrics: "true" 的每个 Pod 允许来自 prometheus 命名空间中每个 Pod 的流量访问其 /metrics 端点。不过，此策略生效的前提是默认情况下所有请求都被拒绝。

对于网络策略而言，一个不错的起始点是定义一个拒绝所有请求的策略，示例如下：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: deny-all
  namespace: istio-system 
spec: {}                 

该策略适用于所有命名空间，因为它是在 istio-system 中创建的。并且，具有空 spec 部分的策略会拒绝所有请求。

借助合适的标签方案， AuthorizationPolicy 有助于定义相互独立且隔离的应用网络段。它还可用于应用级授权，与常见的访问控制有所不同， AuthorizationPolicy 侧重于应用授权，而 Kubernetes RBAC 模型侧重于保障对 Kubernetes API 服务器的访问安全。

早期的网络拓扑由物理布线和交换机等设备定义，