Policy di rete (K8s)
Una regola firewall di Kubernetes che controlla quale traffico di rete è consentito da e verso i pod. Per impostazione predefinita tutti i pod possono parlare con tutti: una network policy lo restringe alla sola comunicazione davvero necessaria. Base della microsegmentazione e dello zero trust in un cluster.
Il problema: il default di Kubernetes è una «rete piatta», in cui ogni pod raggiunge ogni altro pod, e quindi un pod compromesso può muoversi liberamente in orizzontale (lateral movement). Una network policy lo limita: le regole individuano i pod tramite label (selector) e definiscono il traffico ingress (in entrata) ed egress (in uscita) consentito, ad esempio «i pod frontend possono parlare con il backend sulla porta 8080, nient'altro». Attenzione: le policy non sono gestite da Kubernetes stesso ma dal plugin CNI (Calico, Cilium); senza un CNI che le supporti vengono ignorate in silenzio, un'insidia frequente. Vantaggi: ridurre la superficie d'attacco, isolare tenant e ambienti, rispettare la conformità. L'equivalente cloud-native della segmentazione di rete. Correlata a admission controller e service mesh sidecar.