ネットワークポリシー (K8s)
Podへの通信、Podからの通信のうち何を許可するかを制御する、Kubernetesのファイアウォールルール。既定では全Podが互いに通信できるが、ネットワークポリシーは本当に必要な通信だけに絞り込む。クラスタ内のマイクロセグメンテーションとゼロトラストの基礎である。
問題は、Kubernetesの既定が「フラットなネットワーク」で、どのPodからでも他のすべてのPodに届くことだ。侵害されたPodが自由に横展開（ラテラルムーブメント）できてしまう。ネットワークポリシーはラベル（セレクタ）でPodを選び、許可するingress（受信）とegress（送信）を定める。たとえば「フロントエンドのPodはバックエンドの8080番ポートにだけ通信できる」といった具合だ。重要なのは、ポリシーを処理するのがKubernetes自身ではなくCalicoやCiliumなどのCNIプラグインだということ。対応するCNIがなければ黙って無視される、よくある落とし穴だ。効果は攻撃面の縮小、テナントや環境の分離、コンプライアンスへの対応。クラウドネイティブ版のネットワークセグメンテーションと言える。アドミッションコントローラやサービスメッシュのサイドカーとも関連する。