정책 규칙에서 HTTP 메서드와 경로 사용하기

큰 그림

Istio가 활성화된 앱에 Calico 네트워크 정책을 사용해서, HTTP 메서드나 경로와 일치하는 이그레스가 아닌 인그레스 트래픽을 제한해요.

이 기능의 가치

Istio는 운영 목표와 애플리케이션 계층에서 동작하는 보안에 정책을 적용하기에 이상적이에요. 하지만 클러스터 내부와 외부의 보안 목표를 위해서는 Calico 네트워크 정책이 필요해요. Istio가 활성화된 앱을 위해 설계된 특별한 Calico 네트워크 정책을 사용하면, HTTP 메서드(예: GET 요청)를 기준으로 파드 내부와 외부의 인그레스 트래픽을 제한할 수 있어요.

개념

HTTP 매치 기준: 인그레스 트래픽 전용

Calico 네트워크 정책은 HTTP 메서드와 경로를 기준으로 한 트래픽 제한을 인그레스 트래픽에만 지원해요.

시작하기 전에

애플리케이션 계층 정책 활성화

방법

HTTP 매치 기준으로 인그레스 트래픽 제한하기

다음 예제에서 trading 앱은 정확한 경로 /projects/calico와 일치하거나 /users 프리픽스로 시작하는 HTTP GET 요청에 대해서만 인그레스 트래픽이 허용돼요.

apiVersion: projectcalico.org/v3
kind: GlobalNetworkPolicy
metadata:
  name: customer
spec:
  selector: app == 'tradingapp'
  ingress:
    - action: Allow
      http:
        methods: ['GET']
        paths:
          - exact: '/projects/calico'
          - prefix: '/users'
  egress:
    - action: Allow

출처: Use HTTP methods and paths in policy rules

본문

더 알아보기 (Learn more)

Calico 정책의 HTTP 매치 기준은 Istio가 활성화된 앱의 인그레스 트래픽을 메서드·경로 단위로 제한해 줘요. 이 기능은 인그레스 전용이라는 점과, 애플리케이션 계층 정책(ALP)이 먼저 활성화되어야 한다는 점을 기억하세요. exact와 prefix 두 가지 경로 매치 방식이 제공돼요.