托管在 kubernetes ingress 中的应用程序的安全性

Question

我需要在入口 kubernetes 上托管我的应用程序的前端和后端部分。 我只想将前端部分发送到后端部分，即使两者都在一个主机下的入口中可用（但路径不同）。 是否可以在 kubernetes 集群中设置这样的东西？ 这样没有其他应用程序可以向后端部分发送请求。 你能用 kubernetes 安全头做这样的事情吗？

Answer 1

在集群内，您可以使用网络策略限制服务之间的流量。 例如，您可以声明服务 A 可以向服务 B 发送流量，但服务 C 不能向服务 B 发送流量。但是，您需要确保您的集群具有支持网络策略的CNI 。 Calico是此类附加组件的一个示例。

Ingress 可用于声明哪些服务可以从集群外部接收流量。

此外，像Istio这样的服务网格对于进一步增强这种安全性很有用。 例如，通过使用 Egress 代理、mTLS 并要求在服务之间进行基于 JWT 的身份验证。