Selektoren, Entities, CIDR
endpointSelector wählt die Ziel-Endpoints;
fromEndpoints/toEndpoints selektieren
per Label (Identity).
toEntities: world,
cluster, cluster-mesh (seit 1.20, alle
verbundenen Cluster), host, remote-node,
kube-apiserver.
toCIDR/toCIDRSet: für
externe Ziele, Cluster-intern per Label
selektieren.
apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata: {name: backend-allow, namespace: shop}
spec:
endpointSelector:
matchLabels: {app: backend}
ingress:
- fromEndpoints:
- matchLabels: {app: frontend}
toPorts:
- ports:
- {port: "8080", protocol: TCP}
Clusterwide & Enforcement-Modi
CiliumClusterwideNetworkPolicy: gleiche
Syntax, nicht namespaced, für Baselines über alle
Namespaces. Baseline ohne Deny-Nebenwirkung:
enableDefaultDeny: {ingress: false, egress: false},
gilt nicht für L7-Regeln (L7 ohne Allow-all droppt
trotzdem).
policyEnforcementMode: default
(alles offen, bis eine Regel den Endpoint selektiert, dann
default-deny je Richtung), always,
never.