Service Mesh, mTLS, Network Policy και East-West Security — DedSec Project

Ελληνική έκδοση — Μάθημα 136. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.

Σύνδεσε service mesh, mTLS, workload identity, NetworkPolicy και authorization ώστε να ξεχωρίζεις encryption, reachability και permission.

Μαθησιακοί στόχοι

Στο τέλος πρέπει να μπορείς να:

• εξηγήσεις το east-west versus north-south traffic και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το service mesh data/control planes και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το mTLS identity establishment και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το service authorization policy και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το Kubernetes NetworkPolicy concepts και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το sidecar versus ambient interception και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,

Βαθιές τεχνικές έννοιες

1. east-west έναντι north-south traffic

North-south αφορά entry/exit ενώ east-west service-to-service. Workloads μέσα στο ίδιο cluster/private network δεν πρέπει να αποκτούν automatic mutual trust.

2. data plane και control plane

Mesh data plane επεξεργάζεται traffic και control plane διανέμει identity, routes, certs και policy. Προστάτευσε control-plane authority γιατί μία αλλαγή επηρεάζει πολλά workloads.

3. mTLS workload identity

mTLS αυθεντικοποιεί workloads και κρυπτογραφεί traffic αλλά δεν αποφασίζει authorization. Έλεγξε trust-domain/certificate mapping και service policy ξεχωριστά.

4. service authorization policy

Policy πρέπει να δένει source workload identity με destination/action και environment/tenant context. Default deny με explicit grants είναι πιο ελέγξιμο από trust λόγω network location.

5. Kubernetes NetworkPolicy

NetworkPolicy περιορίζει network reachability και συμπληρώνει identity-aware mesh policy. Επιβεβαίωσε CNI behavior, selectors, egress/DNS και defaults με safe connectivity tests.

6. sidecar έναντι ambient models

Sidecar και ambient τοποθετούν enforcement/telemetry σε διαφορετικό σημείο. Threat model πρέπει να δείχνει ποια process/node component μπορεί να δει ή να επηρεάσει traffic και failure mode.

7. certificate rotation και trust bundles

Short-lived workload certs μειώνουν exposure αλλά απαιτούν reliable issuance, clocks, overlap και trust-bundle rollout. Δοκίμασε rotation χωρίς broad trust window ή outage.

8. telemetry και failure behavior

Mesh logs πρέπει να συνδέουν source/destination identity, policy, protocol και result. Όρισε αν control-plane/policy failure κάνει fail closed ή degrade και κάνε αυτή τη συμπεριφορά observable.

Καθοδηγούμενο εργαστήριο

• Εργαστήριο 1 — Σχεδίασε αρχιτεκτονική τριών υπηρεσιών και πίνακες δικτυακής προσβασιμότητας και εξουσιοδότησης ταυτότητας.

• Εργαστήριο 2 — Μοντελοποίησε ανανέωση πιστοποιητικών με επικαλυπτόμενα σύνολα εμπιστοσύνης και όρισε ανάκαμψη παρωχημένων φόρτων.

• Εργαστήριο 3 — Σύγκρινε απευθείας κλήση, κλήση μέσω sidecar και κλήση μέσω ambient mesh ως προς όρια εμπιστοσύνης και τηλεμετρία.

Πλήρες αγγλικό μάθημα

English Module 136

Επόμενα μαθήματα

Σχετικά modules: 021, 024, 075, 093, 113, 135. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.