Zásady siete Cilium: Sieť s nulovou dôverou na Kubernetes

Sieť Kubernetes predvolene využíva široko otvorenú komunikáciu v rámci klastra. V prípade regulovaných pracovných zaťažení znamená nulová dôvera každé pripojenie výslovne povolené: frontendové moduly dosahujú moduly API na porte 8080, rozhrania API dosahujú Postgres na 5432 a všetko ostatné je odmietnuté.

Cilium rozširuje štandardné NetworkPolicy o pravidlá zohľadňujúce identitu, zásady založené na DNS a Hubble pre viditeľnosť toku. V kombinácii s kontrolérmi vstupu, ktoré končia na okraji klastra, môžu tímy mapovať povolené cesty z internetu → vstup → služba → databáza a overiť ich v štádiu pred uvedením do produkcie.

cloudstrata nasadzuje Cilium ako AKS CNI pre klientske a interné platformy a píše politiky spolu s manifestmi aplikácií v Git. Počas odozvy na incidenty skracujú protokoly toku z Hubbleovho teleskopu stredný čas do diagnostiky v porovnaní s tcpdump v jednotlivých moduloch – najmä keď pracovné zaťaženie agentov AI generuje neobvyklé vzory výstupu.