ネームスペース境界の強制

ポリシー:ネームスペース境界の強制

デフォルトでは、異なるネームスペースのポッドは、異なるラベルを使用していても相互に通信できます。この動作を制限するには、追加のネットワークルールを作成する必要があります。

ネームスペース境界の強制は、ポッドの通信をネームスペースまたは自然なアプリケーションの境界に制限する簡単な方法を提供します。

`NeuvectorNamespaceBoundary`ネームスペースラベルは、ポッド間の通信境界を強制します。有効にすると、NeuVectorはトラフィックを制限し、ポッドが同じネームスペース内または定義されたアプリケーションの境界内でのみ通信するようにします。

このアプローチは、カスタムグループや追加のネットワークポリシーの必要性を減らします。

ネームスペース境界の強制を制御するには、ネームスペースに`NeuvectorNamespaceBoundary`ラベルを適用します。

kubectl label namespace <namespace> NeuvectorNamespaceBoundary=enabled

kubectl label namespace <namespace> NeuvectorNamespaceBoundary=disabled

ラベルを削除すると、ネームスペース境界の強制が無効になります。

kubectl label namespace <namespace> NeuvectorNamespaceBoundary-

この例は、ネームスペース境界の強制がインバウンドおよびアウトバウンドの制御をどのように簡素化するかを示しています。

二つのネームスペース: ns1 と ns2
ポッド:
- ns1: pod1 (ラベル: app=app1, label=one), pod2 (ラベル: app=app2, label=two)
- ns2: pod3 (ラベル: app=app1, label=three), pod4 (ラベル: app=app2, label=four)
グループ:
- g1: app=app1 (pod1 と pod3 を含む)
- g2: app=app2 (pod2 と pod4 を含む)

ネットワークポリシーは、g1 から g2 へのすべてのアプリケーションとポートでのトラフィックを許可します。

グループベースのポリシーのみの場合：

同じネームスペースへの通信を制限するには、追加のグループを作成し、拒否ポリシーを設定する必要があります：

これにより、ポリシーの複雑さとメンテナンスの手間が増加します。

ネームスペース境界の強制が有効な場合：

追加のグループやネットワークポリシーは必要ありません。

ネームスペース境界の強制は、厳格なネームスペースレベルの隔離を強制しながら、ポリシー管理を簡素化します。