Окружение видимо, енв - environment ?

а, да, сори

окружение

что то типа why do you need to filter egress traffic in your environment

Ну вдруг)

Microservices Security in Action

Brief content:
- Microservices security landscape
- First steps in securing microservices
- Securing north/south traffic with an API gateway
- Accessing a secured microservice via a single-page application
- Engaging throttling, monitoring, and access control
- Securing east/west traffic with certificates
- Securing east/west traffic with JWT
- Securing east/west traffic over gRPC
- Securing reactive microservices
- Conquering container security with Docker
- Securing microservices on Kubernetes
- Securing microservices with Istio service mesh
- Secure coding practices and automation

#literature #k8s #docker

Сегодня только нашел

В кубере без фильтрации на выход не обойтись, чаще всего

Ну и тут больше риски для той инфраструктуры,  куда доступ с кубера предоставляется

Такое ощущение, что все сводится к двум тезисам

1. Кубер - это для самописных сервисов.
2. Используйте истио

Мы с ИБ это обсуждали. Для них кубер - это облачко на схеме, где может быть что угодно. А без нормальных acl на корневых коммутаторах они не хотят

Я сам с ИБ и сам проходил этот вопрос пару лет назад))

Остаётся только договариваться, просвещать. Внедрять network policies. Опеншифт со своим cni или истио, матьего

Мы, как ИБ, советуем внедрять принцип минимальных привилегий через dependency management сразу: чтобы сервис явно указывал в виде зависимостей, куда он ходит, включая другие сервисы, БД и т.п.

как то это визуализируете? документируете?

Вообще кроме как прибивать ip к подам по другому не получится фильтровать,  либо использовать l7 fw

Это должно быть не на уровне "этот айпи" в "этот айпи", а на уровне выше "сервис а в сервис б"

И пускай это на уровне ниже преобразуется в правила файрволла - учитывая, что среда полностью динамичная

Визуализируем пока никак, только начинаем эту историю. Документация - общая для всех сервисов, у них у каждого свой мини-манифест, где они указывают свои требования к кубернетесу типа env, реусрвов и т.п.