77 lines
3.4 KiB
YAML
77 lines
3.4 KiB
YAML
apiVersion: networking.k8s.io/v1
|
|
kind: NetworkPolicy
|
|
metadata:
|
|
name: vault-ingress-clients
|
|
labels:
|
|
app.kubernetes.io/name: vault
|
|
app.kubernetes.io/instance: vault
|
|
app.kubernetes.io/component: secret-management
|
|
app.kubernetes.io/part-of: security-platform
|
|
app.kubernetes.io/managed-by: kustomize
|
|
# -----------------------------------------------------------------------------
|
|
# Vault 정책 — 두 방향 통제
|
|
#
|
|
# (1) Ingress: VSO Controller Pod 에서만 8200 수신
|
|
# VSO 가 `vault-secrets-operator-system` ns 와 `mnt` ns 양쪽에서 접근할
|
|
# 가능성 (과거 설치 잔존 + 신규 전용 ns) 이 있어 둘 다 허용.
|
|
#
|
|
# (2) Egress: kube-apiserver 의 TokenReview 호출만 허용
|
|
# Vault k8s auth 는 클라이언트가 보낸 SA JWT 를 검증하기 위해
|
|
# `authentication.k8s.io/v1/tokenreviews` 를 호출한다. kube-apiserver 는
|
|
# host network 프로세스이므로 Pod/Namespace 라벨로 selector 를 못 쓰고
|
|
# ipBlock 이 불가피 (stock NetworkPolicy 의 한계; Cilium 이면
|
|
# `toEntities: [kube-apiserver]` 로 해결됨).
|
|
#
|
|
# 두 CIDR 이 필요한 이유:
|
|
# - 443/TCP → `kubernetes.default.svc` (Service ClusterIP). Vault 가
|
|
# 먼저 보내는 목적지. Service CIDR 에서 할당됨.
|
|
# - 6443/TCP → control-plane 노드의 실제 kube-apiserver 포트. k3s 의
|
|
# kube-proxy(iptables) 가 Service → node DNAT 를 수행하는데, 기본
|
|
# CNI (flannel + kube-router) 는 NetworkPolicy 를 veth iptables 단에서
|
|
# 평가하면서 DNAT 전/후 시점이 엇갈려 두 쪽 모두 허용해야 안전.
|
|
#
|
|
# CIDR 값의 출처:
|
|
# - 10.43.0.0/16 → k3s `service-cidr` 기본값. `/etc/rancher/k3s/config.yaml`
|
|
# 의 값과 동기화. 커스텀 service-cidr 를 쓰면 이 값을 맞춰 변경.
|
|
# - 10.208.141.0/24 → **이 overlay 의 control-plane 노드 서브넷**.
|
|
# 노드를 추가/교체하거나 staging/prod overlay 를 만들 때 실제 값으로
|
|
# 반드시 재지정. dev 단일 노드 기준으로 /24 여유를 둠.
|
|
#
|
|
# staging/prod overlay 는 이 파일을 그대로 복붙하지 말고 각자의 서브넷으로
|
|
# 교체. 재사용 구조가 필요해지면 base + per-env patch 로 분리할 것.
|
|
# -----------------------------------------------------------------------------
|
|
spec:
|
|
podSelector:
|
|
matchLabels:
|
|
app.kubernetes.io/name: vault
|
|
app.kubernetes.io/instance: vault
|
|
policyTypes:
|
|
- Ingress
|
|
- Egress
|
|
ingress:
|
|
- from:
|
|
- podSelector:
|
|
matchLabels:
|
|
app.kubernetes.io/name: vault-secrets-operator
|
|
- namespaceSelector:
|
|
matchLabels:
|
|
kubernetes.io/metadata.name: vault-secrets-operator-system
|
|
podSelector:
|
|
matchLabels:
|
|
app.kubernetes.io/name: vault-secrets-operator
|
|
ports:
|
|
- protocol: TCP
|
|
port: 8200
|
|
egress:
|
|
# Vault → kube-apiserver (TokenReview 용)
|
|
- to:
|
|
- ipBlock:
|
|
cidr: 10.43.0.0/16 # k3s service-cidr — kubernetes.default.svc 포함
|
|
- ipBlock:
|
|
cidr: 10.208.141.0/24 # dev control-plane 노드 서브넷 (env-specific)
|
|
ports:
|
|
- protocol: TCP
|
|
port: 443 # Service ClusterIP 경유
|
|
- protocol: TCP
|
|
port: 6443 # node DNAT 후 kube-apiserver 실포트
|