$ kubectl get ing -n <ingress 리소스의 네임스페이스>
이름 호스트 주소 포트 연령
카페-인그레스 cafe.com 10.0.2.15 80 25초
$ kubectl describe ing <ingress-resource-name> -n <namespace-of-ingress-resource> 이름: cafe-ingress 네임스페이스: default 주소: 10.0.2.15 기본 백엔드: default-http-backend:80 (172.17.0.5:8080) 규칙:
호스트 경로 백엔드
---- ---- --------
카페닷컴
/tea tea-svc:80 (<없음>)
/커피 커피-서비스:80 (<없음>)
주석:
kubectl.kubernetes.io/last-applied-configuration: {"apiVersion":"networking.k8s.io/v1","kind":"Ingress","metadata":{"annotations":{},"name":"cafe-ingress","namespace":"default","selfLink":"/apis/networking/v1/namespaces/default/ingresses/cafe-ingress"},"spec":{"rules":[{"host":"cafe. com","http":{"paths":[{"backend":{"serviceName":"tea-svc","servicePort":80},"path":"/tea"},{"backend":{"serviceName":"coffee-svc","servicePort":80},"path":"/coffee"}]}}]},"status":{"loadBalancer":{"ingress":[{"ip":"169.48.142.110"}]}}} 이벤트:
유형 이유 나이 메시지
---- ------ ---- ---- -------
일반 CREATE 1m ingress-nginx-controller Ingress default/cafe-ingress
일반 업데이트 58s ingress-nginx-controller Ingress default/cafe-ingress
$ kubectl get pods -n <ingress 컨트롤러의 네임스페이스>
이름 준비 상태 재시작 나이
ingress-nginx-controller-67956bf89d-fv58j 1/1 실행 중 0 1m
$ kubectl logs -n <네임스페이스> ingress-nginx-controller-67956bf89d-fv58j
------------------------------------------------------------------------------- NGINX Ingress 컨트롤러 릴리스: 0.14.0 빌드: git-734361d 저장소: https://github.com/kubernetes/ingress-nginx
-------------------------------------------------------------------------------
....

해결책(단계별) :
1. 네트워크 정책 YAML 파일을 만듭니다.
- 네트워크 정책 규칙을 정의하는 YAML 파일을 만듭니다.

2. 네트워크 정책 적용: - 'kubectl apply -f app1 -to-app2-yaml'을 사용하여 YAML 파일을 적용합니다. 3. 네트워크 정책 확인: - 정책을 적용한 후 'kubectl get networkpolicies appl-to-app2 -n app1'을 사용하여 네트워크 정책의 상태를 확인합니다. 4. 정책 테스트: - "app1" 네임스페이스에서 포드를 시작하고 "app2" 네임스페이스에서 포드를 시작합니다. - 'curl' 또는 'telnet'과 같은 도구를 사용하여 통신을 테스트하여 정책이 "app2"의 포드에서 포드 80에만 액세스를 제한하는지 확인합니다. 5. 추가 제한 추가(선택 사항): - "app1"의 특정 포드에서만 액세스를 허용하거나 "app2"의 특정 IP 주소에 대한 액세스를 제한하는 등 더 제한적인 규칙을 지정하여 네트워크 정책을 더욱 세분화할 수 있습니다.

해결책(단계별) :
1. Cilium 설치:
- 공식 설치 가이드를 사용하여 Kubernetes 클러스터에 Cilium을 설치하세요: [httpsi//docs.Cilium.i0/ennatest/gettingstaned/install]
(https:Ildocs.cilium.io/en/latest/gettingsta ned/install).
- 클러스터와 호환되는 설치 방법을 선택하세요.
2. 암호화 활성화:
- 암호화를 활성화하도록 Cilium 구성을 수정하세요. 클러스터 구성 파일(예: 'cilium-config.yaml')에서 다음 설정을 추가하거나 수정하세요.

- 구성 변경 사항을 적용합니다: 'kubectl apply -f cilium-config_yamr 3. 암호화를 위한 네트워크 정책을 만듭니다: - 애플리케이션의 네임스페이스 내에서 암호화된 통신만 허용하는 NetworkPolicy를 정의합니다:

- NetworkPolicy 적용: 'kubectl apply -f pod-to-pod-encryption.yaml' 4. Ingress로 애플리케이션 노출: - 클러스터 외부에 애플리케이션을 노출하기 위해 Ingress 서비스를 만듭니다.

- Ingress 적용: 'kubectl apply -f your-application-ingress-yaml' 5. 구성 확인: - Cilium 포드의 상태를 확인하고 실행 중이며 준비되었는지 확인합니다. - 'kubectl get pods -n kube-system' 및 'kubectl get pods -n your-application-namespace'를 사용하여 상태를 모니터링합니다. 6. 통신 테스트: - 애플리케이션 네임스페이스 내의 포드 간 통신을 테스트하여 암호화된 트래픽을 확인합니다. - Ingress URL을 사용하여 클러스터 외부에서 애플리케이션에 액세스하는 것을 테스트합니다. 7. (선택 사항) 암호화 모니터링 - Cilium 로깅 및 모니터링을 활성화하여 핸드셰이크 성공/실패율과 같은 암호화 세부 정보를 보고 문제를 해결합니다. 참고: - 이 구성은 포드가 Cilium이 설치된 노드에서 실행된다고 가정합니다. - 퍼블릭 클라우드 공급자가 암호화된 트래픽에 필요한 방화벽 설정을 지원하는지 확인합니다. - 특정 애플리케이션 요구 사항에 따라 NetworkPolicy 규칙을 조정할 수 있습니다.

해결책(단계별) :
1. 읽기 전용 루트 파일 시스템 활성화:
- 구성:
- Pod 사양에서 'securityContext.readOnlyRootFilesystem' 플래그를 'true'로 설정하세요. 이렇게 하면 컨테이너 루트 파일 시스템이 읽기 전용으로 마운트됩니다.
- 예:

2. 권한이 있는 컨테이너 비활성화: - 구성: - Pod 사양에서 'securitycontext.privileged' 플래그를 'false'로 설정합니다. 이렇게 하면 컨테이너가 권한이 상승된 상태로 실행되는 것을 방지하여 호스트 시스템을 수정하는 기능을 제한합니다. - 예:

3. 컨테이너 이미지 스캐닝을 사용하여 승인 웹훅 구현: - 구성: - OPA(Open Policy Agent) 또는 Kyverno와 같은 도구를 사용하여 컨테이너 이미지를 실행하기 전에 검사하기 위한 승인 웹훅을 구성합니다. - 컨테이너 이미지 스캐너(예: Clair, Ancnore)를 사용하여 이미지의 취약점을 분석하고 보안 정책을 준수하는지 확인합니다. - COPA 예시):

4. 변경 불가능한 Pod 사양 사용: - 구성: - 필드를 사용하여 컨테이너 이미지를 지정합니다. - Pod 사양에 를 사용하지 마세요. 이렇게 하면 런타임 중에 Pod의 리소스를 수정할 수 없습니다. - 예:

5. 네트워크 보안 정책(NSP) 시행: - 구성: - 클러스터 내 포드 간의 네트워크 트래픽 흐름을 제어하는 ​​네트워크 보안 정책을 구현합니다. 이를 통해 무단 통신을 방지하고 공격 범위를 제한할 수 있습니다. - 예:

참고: 이 접근 방식은 런타임에 컨테이너 불변성을 보장하기 위한 다층적 심층 방어 전략을 제공하지만 컨테이너 이미지 서명 및 안전한 런타임 환경과 같은 추가적인 보안 조치를 구현하는 것도 고려해야 합니다.

해결책(단계별) :
1. 네트워크 정책 만들기:
- 'web-app' 배포와 일치하는 'podSeIector'를 사용하여 NetworkPoIicy 리소스를 정의합니다.
- 동일한 네임스페이스 내의 포드에서 트래픽을 허용하는 '수신' 규칙을 만듭니다.
- 'from' 필드를 사용하여 네임스페이스를 지정하고 'namespaceselector'를 'matchLabels: {}'로 설정하여 네임스페이스에 있는 모든 포드를 포함합니다.
- '포트' 필드에 포트 8080이 포함되어 있는지 확인하세요.

2. NetworkPolicy 적용: - 'kubectl apply -f web-app-namespace-policy.yaml'을 사용하여 YAML 파일을 적용합니다. 3. NetworkPolicy 확인: - 'kubectl get networkpolicies'를 사용하여 사용 가능한 네트워크 정책을 나열합니다. - 'kubectl describe networkpolicy web-app-namespace-policy'를 사용하여 적용된 정책의 세부 정보를 확인합니다. 4. NetworkPolicy 테스트: - 'web-app' 배포와 동일한 네임스페이스에 포드를 배포하고 API 엔드포인트에 액세스를 시도합니다. 연결이 성공하는지 확인합니다. - 다른 네임스페이스에 포드를 배포하고 API 엔드포인트에 액세스를 시도합니다. 연결이 거부되는지 확인합니다.