Container Service for Kubernetes:Network security

Önerilen yaklaşım: varsayılan olarak reddet, ardından izin ver

En az ayrıcalık ilkesini uygulayın: Varsayılan olarak tüm trafiği reddedin, ardından her iş yükünün ihtiyaç duyduğu öğelere yalnızca izin verecek kurallar ekleyin.

1. Varsayılan bir reddetme ilkesi oluşturun -- Ad alanındaki tüm gelen ve giden trafiği engelleyin.

2. DNS sorgularına izin verin -- Pod'ların çalışması için DNS çözümlemesi gerekir.

3. Belirli trafiğe izin verin -- Yalnızca her iş yükünün gerektirdiği yolları açın.

Adım 1: Varsayılan bir reddetme ilkesi oluşturma

Bir ad alanındaki tüm gelen ve giden trafiği reddetmek için bir ağ ilkesi oluşturun veya genel bir ilke için Calico kullanın.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny
  namespace: default
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

Adım 2: DNS sorgularına izin verme

Varsayılan bir reddetme ilkesiyle pod'lar DNS adlarını çözümleyemez. CoreDNS'e DNS sorgularına izin veren bir ilke oluşturun.

1. kube-system ad alanına bir etiket ekleyin:

      kubectl label namespace kube-system name=kube-system

2. UDP bağlantı noktası 53 üzerinden CoreDNS'e giden trafiğe izin veren bir ağ ilkesi oluşturun:

      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-dns-access
        namespace: default
      spec:
        podSelector:
          matchLabels: {}
        policyTypes:
        - Egress
        egress:
        - to:
          - namespaceSelector:
              matchLabels:
                name: kube-system
          ports:
          - protocol: UDP
            port: 53

Adım 3: Belirli pod'lardan gelen trafiğe izin verme

Reddetme ve DNS ilkeleri yerindeyken, trafiğe yalnızca yetkili pod'lardan gelen isteklere izin verin. Yaygın kullanım senaryoları:

• Bir uygulamaya erişime yalnızca belirli mikroservislerin izin vermesi.

• Bir veritabanına erişime yalnızca belirli uygulamaların izin vermesi.

Bu örnekte bir pod oluşturulur ve gelen trafik app: bookstore etiketine sahip pod'larla sınırlandırılır.

1. app=bookstore ve role=api etiketlerine sahip bir pod oluşturun:

      kubectl run apiserver --image=nginx --labels="app=bookstore,role=api" --expose --port=80

2. Gelen trafiğe yalnızca app: bookstore etiketine sahip pod'lardan izin veren bir ağ ilkesi uygulayın:

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: api-allow
      spec:
        podSelector:
          matchLabels:
            app: bookstore
            role: api
        ingress:
        - from:
            - podSelector:
                matchLabels:
                  app: bookstore

3. app=bookstore etiketine sahip olmayan pod'ların erişiminin reddedildiğini doğrulayın:

      kubectl run test-$RANDOM --rm -i -t --image=alpine -- sh

      / # wget -qO- --timeout=2 http://apiserver
      wget: download timed out

4. app=bookstore etiketine sahip pod'ların sunucuya erişebildiğini doğrulayın:

      kubectl run test-$RANDOM --rm -i -t --image=alpine --labels="app=bookstore,role=frontend" -- sh

      / # wget -qO- --timeout=2 http://apiserver
      <!DOCTYPE html>
      <html><head>

Bir ad alanında pod'lar arasında özel kurallar ekleme

Bir ad alanı içindeki pod iletişimine izin verdikten sonra, daha ayrıntılı kontrol sağlamak üzere özel kurallar eklemek için Kubernetes Network Policy Recipes kaynağını kullanın.