Используйте эту политику, чтобы ограничить сетевое взаимодействие между разными компаниями в Kubernetes-кластере. При этом доступ к системным сервисам кластера остаётся разрешённым.
Например, если в одном кластере развёрнуты окружения elma365-dev, elma365-stage и elma365-prod, можно запретить им обмениваться сетевым трафиком напрямую.
Заполнение конфигурационного файла
Чтобы включить изоляцию компаний, заполните блок tenantIsolation в файле values-policies.yaml.
В этом примере каждое окружение указано как отдельная компания. Поэтому сетевой трафик между пространствами имён elma365-dev, elma365-stage и elma365-prod изолируется:
...
## Настройки изоляции компаний
tenantIsolation:
enabled: true
## Описание компаний и входящих в них пространств имён
tenants:
- name: dev
namespaces:
- elma365-dev
- name: stage
namespaces:
- elma365-stage
- name: prod
namespaces:
- elma365-prod
...
где:
- tenantIsolation.enabled — установите значение true, чтобы включить сетевые политики. Значение false отключает их;
- tenantIsolation.tenants — укажите список компаний и входящие в них пространства имён, к которым будут применятся сетевые политики. Пространства имён в рамках одной компании могут взаимодействовать между собой, но изолированы от других компаний.
После настройки политики безопасности выполните установку чарта kyverno-policies, как указано в шаге 3 этапа 2 статьи «Установка Kyverno».