3.5 · Parcours 3 — Réseau et exposition (CKAD · CKA)
NetworkPolicies
Lab Kubernetes · questionnaire de validation · gratuit, dans le navigateur
Par défaut, dans Kubernetes, tout pod peut joindre tout pod : le réseau est plat et ouvert. Une application compromise peut donc interroger directement la base de données d'à côté. Les NetworkPolicies sont le pare-feu du cluster : des règles déclaratives qui disent quels pods ont le droit de parler à quels pods, sur quels ports.
Ce que vous saurez à la fin : expliquer quand une NetworkPolicy s'applique à un pod, écrire une politique de refus par défaut, ouvrir un flux précis entre deux applications (sélecteur et port), et lire une politique existante pour prédire ce qu'elle laisse passer.
Au programme de ce lab
- Votre mission
- Pas à pas
- Qui applique les règles ?
- Le modèle en trois règles
- Anatomie d'une NetworkPolicy
- Le refus par défaut
- Les pièges de syntaxe
- Lire les politiques en place
Ce que KubeNow vérifie
- refus-par-defaut sélectionne tous les pods pour le trafic entrant, sans rien autoriser
- Plus rien n'entre dans front
- front joint api sur le port 8080, et seulement ce port
- api joint base sur le port 5432
- front ne joint pas base, base ne joint pas api
- Aucun pod d'un autre namespace ne joint api ni base