Políticas de la malla de servicios: quién habla con quién

El cifrado mTLS garantiza la autenticación mutua de los proxies, pero no impide que un pod no autorizado llame a otro si no existen políticas de autorización a nivel de aplicación (Capa 7). Mediante recursos AuthorizationPolicy, el arquitecto define reglas que evalúan la identidad criptográfica del emisor (SPIFFE principal), el método HTTP (GET, POST) y la ruta solicitada (/v1/cobros), bloqueando cualquier interacción no contemplada explícitamente en la matriz de servicios.

La matriz de políticas L7 contiene reglas declarativas para proteger los activos más sensibles del negocio.

Abre el laboratorio y lee politicas-authorization.txt. Identifica la regla que autoriza exclusivamente a svc-ordenes para ejecutar POST /v1/cobros en el servicio de pagos.

La política de denegación predeterminada bloquea pods no autorizados o contenedores de prueba que intentan interactuar con componentes productivos.

Examina matriz-l7-permitida.txt y localiza qué pod figura bloqueado al intentar comunicarse con el servicio de inventario.

Al igual que en un cortafuegos perimetral, la regla fundamental de una malla de microservicios es denegar por defecto toda comunicación, abriendo únicamente los flujos justificados por el diseño de negocio.