NetworkPolicy

NetworkPolicy (Kubernetes)

Eine NetworkPolicy ist ein zentrales Sicherheitsfeature in Kubernetes, mit dem sich der Netzwerkverkehr zwischen Pods gezielt kontrollieren lässt. Sie definiert, welche Verbindungen ein Pod eingehen oder empfangen darf – auf Basis von IP-Adressen, Namespaces, Labels oder Ports.

Ohne aktiv gesetzte NetworkPolicies ist der gesamte Traffic innerhalb eines Kubernetes-Clusters standardmäßig offen. Das bedeutet: Jeder Pod kann mit jedem anderen kommunizieren. Mit einer NetworkPolicy lässt sich diese Offenheit granular einschränken – ein wichtiges Prinzip im Rahmen von Zero Trust Security.

NetworkPolicies funktionieren nur, wenn der verwendete CNI (Container Network Interface) Provider – z. B. Calico, Cilium oder Weave – diese Funktionalität unterstützt.

Typische Einsatzmöglichkeiten:

  • Nur Web-Pods dürfen externe HTTP(S)-Verbindungen empfangen
  • Datenbank-Pods akzeptieren nur Traffic vom Applikations-Backend
  • Pods aus dem dev-Namespace dürfen keine Produktion erreichen

Vorteile von NetworkPolicies:

  • Erhöhte Sicherheit durch Mikrosegmentierung von Netzwerkpfaden
  • Vermeidung von lateralen Angriffen im Cluster
  • Umsetzung von Compliance-Vorgaben (z. B. DSGVO, ISO 27001)
  • Ein zentraler Baustein für Zero Trust Konzepte in Cloud-Umgebungen

Typische Konfigurationsparameter:

  • podSelector – legt fest, auf welche Pods sich die Regel bezieht
  • ingress / egress – eingehender und ausgehender Traffic
  • namespaceSelector – Einschränkung auf bestimmte Namespaces
  • ports – gezielte Öffnung einzelner Ports (z. B. 443 für HTTPS)

Verwandte Begriffe:

Kubernetes, Pod, Namespace, Zero Trust, CNI, Calico, DevSecOps, RBAC, Cluster

Glossar / Begriffserklärungen