Malla de servicios e identidad por carga

En una malla, cada carga recibe un certificado de vida corta que la identifica. En las implementaciones basadas en SPIFFE, como la de Istio, la identidad se escribe dominio-de-confianza/ns/<namespace>/sa/<cuenta-de-servicio>: sale del namespace y de la cuenta de servicio con la que corre el pod. La dirección IP, en cambio, es efímera: un pod nuevo recibe otra, y una política escrita sobre direcciones queda desfasada en horas.

Con la identidad, una política de autorización puede decir «solo la cuenta de servicio de la API habla con la base de datos», y esa regla sobrevive a reinicios, escalados y migraciones de nodo.

La identidad de malla es por cuenta de servicio, no por pod ni por aplicación. Si tres cargas diferentes corren con la misma cuenta de servicio, tienen la misma identidad, y cualquier política que dé permiso a esa identidad se lo da a las tres. Kubernetes asigna una cuenta del namespace cuando el manifiesto no declara ninguna, y por eso es fácil acabar compartiéndola sin quererlo.

Abre el inventario de cargas del namespace consultas.

Una política de autorización con action: ALLOW sobre una carga hace que solo se acepte lo que alguna de sus reglas permita. La regla recordatorios-permitir nombra una identidad. Quien la escribió pensaba en una carga concreta, pero la política no dice «notificador»: dice una cuenta de servicio.

Compara la política con el inventario y cuenta cuántas cargas, además de la prevista, obtienen ese permiso.

Una malla con proxy lateral solo da identidad a las cargas que tienen proxy. En muchas instalaciones se activa por namespace con una etiqueta, y un namespace con la inyección desactivada queda fuera: sus pods hablan con la malla sin certificado propio y no pueden presentar una identidad verificable.

La corrección a una cuenta compartida no es una política más complicada: es separar las identidades. Cada carga con papel propio recibe su propia cuenta de servicio, y las políticas de autorización nombran la identidad concreta. Hay que cambiar también la política, o la carga que antes funcionaba dejará de hacerlo.