NetworkPolicy Kubernetes

Définition

Les NetworkPolicies Kubernetes sont des ressources spécifiant comment les pods peuvent communiquer entre eux et avec les endpoints réseau externes. Par défaut, Kubernetes n'applique aucune restriction réseau : tous les pods peuvent communiquer avec tous les autres pods dans le cluster. Les NetworkPolicies permettent d'implémenter une micro-segmentation réseau basée sur des labels de pods, des namespaces, et des blocs CIDR. Une NetworkPolicy est une ressource Kubernetes namespaced définissant des règles d'Ingress (trafic entrant vers les pods sélectionnés) et d'Egress (trafic sortant depuis les pods sélectionnés). Les sélecteurs de pods (podSelector) ciblent les pods auxquels la politique s'applique, tandis que les sources/destinations peuvent être des pods (podSelector), des namespaces (namespaceSelector), ou des blocs IP (ipBlock). Important : les NetworkPolicies ne fonctionnent que si le plugin CNI (Container Network Interface) déployé dans le cluster les implémente. Les CNI supportant les NetworkPolicies incluent Calico, Cilium, Weave Net, Antrea, et d'autres. Les CNIs Flannel standard ne supportent pas les NetworkPolicies. Dans un cluster managé (EKS, AKS, GKE), vérifiez que le CNI déployé supporte les NetworkPolicies. Un pattern recommandé est de commencer par une politique "default-deny" dans chaque namespace applicatif (NetworkPolicy avec podSelector vide et pas de règles d'entrée/sortie, bloquant tout trafic non explicitement autorisé), puis d'ajouter des politiques d'autorisation granulaires pour les communications légitimes. Cette approche zero-trust au niveau réseau contient les mouvements latéraux entre pods. Cilium étend les NetworkPolicies standard avec des politiques L7 (HTTP, Kafka, gRPC) permettant de filtrer non seulement par IP/port mais aussi par méthode HTTP, path, ou topic Kafka, offrant une granularité de micro-segmentation applicative.