托管在kubernetes入口中的应用程序的安全性

Question

我需要将应用程序的前端和后端部分托管在入口kubernetes上。我希望仅将前端部分发送到后端部分，即使两者都可以在一个主机（但路径不同）下在入口中使用。是否可以在kubernetes集群中设置类似的内容？这样，其他任何应用程序都无法将请求发送到后端部分。您可以使用kubernetes安全标头执行类似的操作吗？

Answer 1

在集群中，您可以使用Network Policies限制服务之间的流量。例如。您可以声明服务A可以将流量发送到服务B，但是服务C不能将流量发送到服务B。但是，您需要确保您的群集具有CNI，并且支持网络策略。 Calico是此类附加组件的示例。

入口对于声明哪些服务可以从群集外部接收流量非常有用。

此外，服务网格（如Istio）对于进一步增强此安全性很有用。例如。通过使用出口代理mTLS并要求服务之间基于JWT的身份验证。