Certaines applications hébergées sur GKE envoient du trafic intra-cluster en texte clair. Pour chiffrer rapidement tout le trafic applicatif avec un minimum de modifications d'application et maintenir le support Google, que devez-vous faire ?

Pour chiffrer rapidement le trafic intra-cluster avec un minimum de modifications d'application, Istio est la solution idéale. En installant Istio et en activant l'injection de proxy sur l'espace de noms de votre application, un sidecar Envoy est automatiquement déployé à côté de chaque pod. Ce proxy peut ensuite être configuré pour appliquer le mTLS (mutual TLS), chiffrant ainsi tout le trafic entre les services sans nécessiter de changements dans le code de l'application. Cette approche est entièrement supportée par Google et est conçue pour les environnements GKE. Les stratégies de réseau (Network Policies) bloquent le trafic mais ne le chiffrent pas. Définir des plages de réseau de confiance ne chiffre pas non plus le trafic et est une solution moins dynamique. L'utilisation de certificats SSL de Let's Encrypt est pour le trafic externe et nécessite des modifications d'application pour l'implémentation.