18、云原生环境下的对象访问控制与安全策略实施

云原生环境下的对象访问控制与安全策略实施

1. 云原生环境中的对象访问控制

在云原生环境里，像 Pod、服务和数据存储等众多组件会相互交互。对象访问控制指的是确保系统中只有经过授权的实体才能访问这些对象的机制和策略。

Kubernetes 网络策略是一种能在网络层面建立和实施访问控制规则的机制。通过定义这些策略，可控制 Pod 与其他网络端点之间的通信，保证只允许授权的连接，从而保护敏感应用组件和数据存储免受未授权访问和潜在安全威胁。

要实施自定义网络策略，可将文件保存为 networkPolicy.yaml ，并在 Kubernetes 集群内运行以下命令：

$ kubectl apply -f networkPolicy.yaml

需注意，在集群内实施 Kubernetes 网络策略时，除了 YAML 定义中的入站/出站策略外，不允许其他网络连接。对于 Kubernetes 内部协议（如 DNS 解析），应定义全局网络策略以允许相关协议的连接。

2. Calico：增强 Kubernetes 网络安全

虽然 Kubernetes 网络策略能控制集群组件间的通信，但可能无法满足所有安全和网络需求。Calico 是一款开源的网络和网络安全解决方案，适用于容器、虚拟机和基于主机的原生工作负载，能提供额外功能和增强的安全特性，常与 Kubernetes 一起使用以扩展网络策略功能，更好地保障集群安全。

2.1 Calico 的关键特性