APRENDER. PRATICAR. EVOLUIR.Conceito e mecanismo
Começa por desenhar os caminhos que o serviço realmente precisa: cliente, API, dependências, DNS e administração. Uma regra de rede só é útil se a implementação a aplicar e se os selectors corresponderem aos objetos pretendidos. As NetworkPolicies somam autorizações. Uma política antiga abrangente pode manter acesso apesar de adicionares default-deny. No mesmo elemento de um peer, namespaceSelector e podSelector combinam condições; separados, representam alternativas. Esta diferença muda quem pode ligar-se sem mudar a porta. Para comprovar a fronteira, usa um cliente autorizado e outro que deva ser recusado. Guarda origem, destino, namespace, protocolo e resultado, para que APS consiga repetir a verificação.
Aplicação guiada
Protege também os endpoints administrativos e o acesso de workloads à metadata cloud. Trocar uma porta não autentica ninguém. Num Ingress que termina TLS e usa HTTP a jusante, protege também o segmento backend quando o requisito exige cifragem até à aplicação; confirma as capacidades do controlador. Para cifragem entre serviços, confirma o mecanismo efetivo; permitir TCP 443 não prova TLS. Numa malha Istio com sidecars, uma transição de PERMISSIVE para STRICT deve ser precedida por inventário e migração dos clientes. Num projeto bancário fictício, inclui dependências de DNS, probes e integrações batch no ensaio, para não descobrir uma interrupção durante o fecho. Relatórios de hardening precisam de corresponder à distribuição e versão em uso. Cada exceção deve indicar controlo compensatório, responsável e condição de encerramento, com evidência técnica acessível à equipa de RUN.
Uma regra antiga allow-all continua a permitir o Pod de teste: revê o conjunto aplicável, não apenas o último manifesto.
Armadilhas comuns
Deny com precedência presumida; namespace como firewall; porta como prova de TLS; relatório de outra distribuição.
Tópicos relacionados: Identidades e autorização da API · Hardening Linux e controlos do kernel
A fronteira existe quando o caminho autorizado funciona e o não autorizado é efetivamente recusado.
Referência: Network policies · Kubernetes v1.35; current six-domain CKS outline