Network policy (K8s)
Een firewallregel in Kubernetes die bepaalt welk netwerkverkeer van en naar pods is toegestaan. Standaard kunnen alle pods met elkaar praten; een network policy beperkt dat tot wat echt nodig is, en vormt de basis voor microsegmentatie en zero trust in een cluster.
Het probleem: Kubernetes kent standaard een "vlak netwerk" waarin elke pod elke andere pod kan bereiken, zodat een gecompromitteerde pod zich vrij zijdelings kan verplaatsen (lateral movement). Een network policy beperkt dat: regels selecteren pods via labels en definiëren toegestaan ingress- (inkomend) en egress-verkeer (uitgaand), bijvoorbeeld "frontend-pods mogen op poort 8080 met de backend praten, verder niets". Let op: Kubernetes handelt policies niet zelf af, dat doet de CNI-plugin (Calico, Cilium). Zonder een CNI die ze ondersteunt worden ze stilzwijgend genegeerd, een veelvoorkomende valkuil. Winst: kleiner aanvalsoppervlak, isolatie van tenants en omgevingen en makkelijker voldoen aan compliance-eisen. Het cloudnative equivalent van netwerksegmentatie.