Kubernetes Network Policy

Définition

Les Kubernetes Network Policies (politiques réseau Kubernetes) sont des ressources Kubernetes permettant de définir les règles de communication réseau entre les Pods du cluster, implémentant une segmentation réseau fine (micro-segmentation) comparable aux ACLs d'un pare-feu traditionnel mais au niveau des Pods et des namespaces. Sans Network Policies, les Pods Kubernetes peuvent par défaut communiquer librement les uns avec les autres — configuration dite "flat networking" représentant un risque de latéralisation en cas de compromission d'un Pod. Une Network Policy Kubernetes définit, pour les Pods correspondant à ses sélecteurs (podSelector, namespaceSelector), les communications entrantes (ingress) et sortantes (egress) autorisées. Si une Network Policy s'applique à un Pod, tout trafic non explicitement autorisé est refusé (deny by default pour les types de trafic couverts). Une bonne pratique fondamentale est de déployer une politique "deny-all" par défaut dans chaque namespace, puis d'ajouter explicitement uniquement les communications autorisées. Les Network Policies sont implémentées au niveau du CNI (Container Network Interface) Kubernetes : le CNI plugin doit supporter les Network Policies pour qu'elles soient appliquées (Calico, Cilium, Weave Net supportent les Network Policies, le CNI par défaut de la plupart des distributions Kubernetes les implémente). Certains CNI comme Cilium offrent des politiques réseau étendues (CiliumNetworkPolicy) permettant des règles basées sur des protocoles de couche 7 (FQDN, HTTP paths) en plus des règles IP/port classiques. L'application des Network Policies en production nécessite une phase d'audit préalable : avant de déployer des politiques restrictives, une période d'observation (via les logs CNI ou des outils comme Hubble de Cilium) identifie les flux réseau réels entre Pods. Cette observation évite de bloquer accidentellement des communications légitimes lors du déploiement des politiques.