k8s (in)security: “Как вы помните реализация концепции NetworkPolicy лежит на CNI, а не с…”

Как вы помните реализация концепции NetworkPolicy лежит на CNI, а не самом Kubernetes. Но при этом разработчики разных CNI на этот вопрос смотрят по-разному и расширяют эту концепцию также по-разному. В низу представлена небольшая сводная табличка по данному вопросу.



APIGROUP          NAMESPACED    KIND

cilium
cilium.io               false        CiliumClusterwideNetworkPolicy
cilium.io               true         CiliumNetworkPolicy
networking.k8s.io       true         NetworkPolicy

calico
crd.projectcalico.org   false        GlobalNetworkPolicy
crd.projectcalico.org   true         NetworkPolicy
networking.k8s.io       true         NetworkPolicy

weave
networking.k8s.io       true         NetworkPolicy

Kube-router
networking.k8s.io       true         NetworkPolicy

flannel
networking.k8s.io       true         NetworkPolicy (не умеет)

В OpenShift благодаря расширению концепции namespace до project, так и во все по умолчанию Pod`’ы в одном `namespace изолированы от всех остальных.