Sie betreiben dedizierte Blogging-Instanzen für mehrere Kunden auf einem GKE-Cluster und müssen sicherstellen, dass Mandanten nur auf ihren eigenen Blog zugreifen und andere nicht beeinträchtigen können. Was ist die geeignete Plattformkonfiguration?

Die Bereitstellung eines Namespace pro Mandant isoliert die Ressourcen jedes Kunden logisch innerhalb des GKE-Clusters. Netzwerkrichtlinien (Network Policies) in Kubernetes ermöglichen es Ihnen, den Netzwerkverkehr zwischen Pods und Namespaces zu steuern, wodurch sichergestellt wird, dass Mandanten nur auf ihre eigenen Blogging-Instanzen zugreifen und andere nicht beeinträchtigen können. Das Aktivieren von Application-layer Secrets schützt sensible Daten, bietet aber keine Netzwerkisolation zwischen Mandanten. GKE Audit Logging hilft bei der Identifizierung von Problemen nach deren Auftreten, verhindert aber nicht proaktiv den Zugriff. Das Erstellen eines benutzerdefinierten Images und die Verwendung von Binary Authorization gewährleisten die Integrität der bereitgestellten Software, bieten aber keine Isolation des Laufzeitnetzwerks zwischen Mandanten.