Kubernetesパターン 第2版 ―クラウドネイティブアプリケーションのための再利用可能パターン

24章Network Segmentation（ネットワークセグメンテーション）

Kubernetesは、ネットワークを介して相互にやり取りする分散アプリケーションを動かす素晴らしいプラットフォームです。デフォルトではKubernetesのネットワーク領域はフラットであり、各Podはクラスタ内の他のどのPodにも接続できます。この章では、セキュリティを改善し、軽量なマルチテナントモデルを実現するためにネットワークを構成する方法について見ていきます。

24.1　問題

NamespaceはKubernetesの重要な部分であり、ワークロードをひとまとめにグループ化できます。しかし、Namespaceはグループ化の考え方を提供し、特定のNamespaceに関連付けられたコンテナに対して分離の制約を課しているだけです。Kubernetesでは、Namespaceとは関係なくどのPodも別のPodに対して通信できます。このデフォルトの動作にはセキュリティ上の影響があり、特にそれは、異なるチームが運用している複数の独立したアプリケーションが同じクラスタ内で動作している時に顕著になります。

PodからあるいはPodに対するネットワークアクセスを制限すると、ingress経由で誰でもアプリケーションにアクセスできるわけではなくなることから、アプリケーションのセキュリティ向上に重要な意味があります。Podからの外向きのegressネットワークトラフィックも、セキュリティ侵害の影響範囲を最小化するため、必要な範囲に限定するべきです。

複数の組織が同じクラスタを共有するマルチテナントの構成において、ネットワークセグメンテーションは重要な役割を持ちます。例として次のコラムでは、アプリケーションのネットワーク境界を作るなど、Kubernetesでのマルチテナントにおけるいくつかの課題について取り上げます。 ...