🔐 Kyverno может автоматически закрывать весь сетевой трафик в новых namespace
🔐 Kyverno может автоматически закрывать весь сетевой трафик в новых namespace По умолчанию Pod'ы в Kubernetes могут свободно отправлять и принимать трафик, пока это не ограничено через NetworkPolicy. С помощью Kyverno Generate Rules это можно автоматизировать. Например, после команды: kubectl create namespace payments Kyverno автоматически создаст внутри payments политику deny-all-traffic, которая: - выбирает все Pod'ы; - блокирует входящий трафик; - блокирует исходящий трафик; - оставляет namespace в режиме deny by default. После этого команда уже явно добавляет только нужные разрешения: DNS, доступ к БД, внутренним API и другим сервисам. Полезный паттерн для cluster security: новый namespace → deny all → разрешаем только необходимое. Так базовая сетевая изоляция применяется автоматически, а не зависит от того, вспомнил ли разработчик добавить NetworkPolicy.
Канал в каталоге MAXimeter
12 992 подписчиков · IT и технологии