18、云原生环境下的对象访问控制与安全策略实践

云原生环境下的对象访问控制与安全策略实践

1. 对象访问控制概述

在云原生环境中，众多组件（如 Pod、服务和数据存储）相互交互。对象访问控制旨在确保只有经过授权的实体才能访问系统中的这些对象。Kubernetes 网络策略是实现网络级访问控制的一种机制，通过定义这些策略，可以控制 Pod 与其他网络端点之间的通信，只允许授权的连接，从而保护敏感应用组件和数据存储免受未经授权的访问和潜在的安全威胁。

要实施自定义网络策略，可将文件保存为 networkPolicy.yaml ，并在 Kubernetes 集群中运行以下命令：

$ kubectl apply -f networkPolicy.yaml

需要注意的是，在集群中实施 Kubernetes 网络策略时，除了 YAML 定义中规定的入站/出站策略外，不允许其他网络连接。对于 Kubernetes 内部协议（如 DNS 解析），应定义全局网络策略以允许相关协议的连接。

2. Calico：增强网络安全的利器

Kubernetes 网络策略虽能控制组件间的通信，但可能无法满足所有安全和网络需求。Calico 是一款开源的网络和网络安全解决方案，适用于容器、虚拟机和基于主机的原生工作负载，它常与 Kubernetes 配合使用，以扩展网络策略的功能并更好地保护集群。

Calico 的关键特性如下：
- 网络策略执行 ：Calico 可执行 Kubernetes 网络策略及其自身的网络策略，对集群