Einige GKE-gehostete Anwendungen senden In-Cluster-Traffic im Klartext. Was sollten Sie tun, um den gesamten Anwendungs-Traffic schnell mit minimalen Anwendungsänderungen zu verschlüsseln und den Google-Support aufrechtzuerhalten?

Die Installation von Istio und die Aktivierung von mTLS (Mutual TLS) ist die effektivste Methode, um den gesamten In-Cluster-Traffic in GKE mit minimalen Anwendungsänderungen zu verschlüsseln. Istio ist ein Service Mesh, das die Verschlüsselung und Authentifizierung des Datenverkehrs zwischen Diensten auf der Netzwerkebene handhabt, ohne dass die Anwendungen selbst geändert werden müssen. Die Proxy-Injektion stellt sicher, dass der gesamte Traffic durch die Istio-Proxys geleitet wird, die dann mTLS für die Verschlüsselung nutzen. Dies erfüllt die Anforderungen an schnelle Implementierung, minimale Anwendungsänderungen und Beibehaltung des Google-Supports. Netzwerkrichtlinien blockieren Traffic, verschlüsseln ihn aber nicht. Das Definieren vertrauenswürdiger Netzwerkbereiche ist keine Verschlüsselungslösung und erfordert Anwendungsänderungen. Die Verwendung von Let's Encrypt für SSL-Zertifikate ist für externen Traffic gedacht und erfordert erhebliche Anwendungsänderungen, um den In-Cluster-Traffic zu verschlüsseln.