Kubernetes NetworkPolicy：打造更安全的容器運(yùn)行環(huán)境

常見(jiàn)的應(yīng)用可以分為兩大類：Job和Service。Job比較簡(jiǎn)單，就是一個(gè)普通的任務(wù)，完成之后就退出，一般不需要暴露對(duì)外服務(wù)的網(wǎng)絡(luò)監(jiān)聽(tīng)端口。Service是指長(zhǎng)期運(yùn)行的進(jìn)程，監(jiān)聽(tīng)某個(gè)網(wǎng)絡(luò)端口，其他服務(wù)可以通過(guò)網(wǎng)絡(luò)連過(guò)來(lái)。生產(chǎn)環(huán)境里，將服務(wù)暴露在網(wǎng)絡(luò)上存在安全風(fēng)險(xiǎn)：必須限制只有信任的用戶才能訪問(wèn)服務(wù)。我們肯定不希望未授權(quán)的用戶能調(diào)用某個(gè)刪除數(shù)據(jù)的接口，把DB里的數(shù)據(jù)刪光。訪問(wèn)控制可以在應(yīng)用層做，客戶端訪問(wèn)服務(wù)時(shí)，帶上身份校驗(yàn)信息，服務(wù)端校驗(yàn)客戶身份，判斷客戶是否有權(quán)限完成請(qǐng)求的操作，如果有權(quán)限，執(zhí)行客戶端請(qǐng)求，否則返回一個(gè)拒絕信息。訪問(wèn)控制還可以在網(wǎng)絡(luò)層做，只允許受信的網(wǎng)絡(luò)段訪問(wèn)服務(wù)。兩種方式各有優(yōu)劣，應(yīng)用層可以做到更細(xì)粒度的權(quán)限控制，但需要開發(fā)，并且要求能客戶端/服務(wù)器在通信協(xié)議上支持鑒權(quán)。網(wǎng)絡(luò)層鑒權(quán)不依賴具體應(yīng)用，還有一個(gè)額外的

• ? 上一篇：從技術(shù)小白到收獲BAT研發(fā)offer，分享我的學(xué)習(xí)經(jīng)驗(yàn)和感悟（贈(zèng)送相關(guān)學(xué)習(xí)資料）
• ? 下一篇：C# HTTP系列8 GET與POST對(duì)比說(shuō)明