托管在 Kubernetes 入口中的应用程序的安全性

Question

我需要在 ingress kubernetes 上托管我的应用程序的前端和后端部分。我只想将前端部分发送到后端部分，即使两者都可以在一个主机下的入口中使用(但路径不同)。是否可以在 kubernetes 集群中设置类似的东西？这样没有其他应用程序可以向后端部分发送请求。你能用 kubernetes 安全头做这样的事情吗？

Answer 1

在集群内，您可以使用 Network Policies 限制服务之间的流量。 .例如。您可以声明服务 A 可以向服务 B 发送流量，但服务 C 不能向服务 B 发送流量。但是，您需要确保您的集群有 CNI支持网络策略。 Calico是此类附加组件的示例。
Ingress 对于声明哪些服务可以接收来自集群外部的流量很有用。
此外，服务网格，如 Istio有助于进一步增强这种安全性。例如。通过使用 Egress 代理、mTLS 并要求在服务之间进行基于 JWT 的身份验证。