fix(netpol): API de Vault réservée à ses clients sur OVH

slanski commented

2026-09-29 06:07:25 +00:00

Owner

Sans règle, tout pod d'un namespace à sortie libre (kube-system, cert-manager, cnpg-system,
kyverno-system, sops-system, ingress-nginx, monitoring) joignait l'API de Vault (8200, en
HTTP ; sys/health, sys/seal-status et sys/metrics répondent sans jeton), le port de cluster
des serveurs (8201), l'injecteur d'agents et les fournisseurs CSI.

vault/networkpolicy.prod-ovh.yaml :

les pods de vault s'acceptent entre eux ;
l'API des serveurs n'accepte que les 16 namespaces de l'ERP (étiquette
app.kubernetes.io/part-of=adicom-erp, agents injectés), les pods Prometheus (PodMonitor) et
les konnectivity-agent (proxy de l'API, que verify-socle utilise pour sys/health) ;
le webhook de l'injecteur reste ouvert : sa failurePolicy est Ignore, bloqué il laisserait
créer les pods sans agent, en silence.

Relevé Hubble de 15 min : hors de vault, seuls ces clients et l'hôte local (sondes du
kubelet) ouvrent des connexions vers ses pods. Application par le script de maintenance
2026-09-29-ovh-networkpolicy-vault.sh (banc à connexions neuves, retour arrière automatique).

Sans règle, tout pod d'un namespace à sortie libre (kube-system, cert-manager, cnpg-system, kyverno-system, sops-system, ingress-nginx, monitoring) joignait l'API de Vault (8200, en HTTP ; sys/health, sys/seal-status et sys/metrics répondent sans jeton), le port de cluster des serveurs (8201), l'injecteur d'agents et les fournisseurs CSI. vault/networkpolicy.prod-ovh.yaml : - les pods de vault s'acceptent entre eux ; - l'API des serveurs n'accepte que les 16 namespaces de l'ERP (étiquette app.kubernetes.io/part-of=adicom-erp, agents injectés), les pods Prometheus (PodMonitor) et les konnectivity-agent (proxy de l'API, que verify-socle utilise pour sys/health) ; - le webhook de l'injecteur reste ouvert : sa failurePolicy est Ignore, bloqué il laisserait créer les pods sans agent, en silence. Relevé Hubble de 15 min : hors de vault, seuls ces clients et l'hôte local (sondes du kubelet) ouvrent des connexions vers ses pods. Application par le script de maintenance 2026-09-29-ovh-networkpolicy-vault.sh (banc à connexions neuves, retour arrière automatique).

slanski added 1 commit

2026-09-29 06:07:25 +00:00

fix(netpol): API de Vault réservée à ses clients sur OVH 284bd82085

Sans règle, tout pod d'un namespace à sortie libre (kube-system, cert-manager, cnpg-system,
kyverno-system, sops-system, ingress-nginx, monitoring) joignait l'API de Vault (8200, en
HTTP ; sys/health, sys/seal-status et sys/metrics répondent sans jeton), le port de cluster
des serveurs (8201), l'injecteur d'agents et les fournisseurs CSI.

vault/networkpolicy.prod-ovh.yaml :
- les pods de vault s'acceptent entre eux ;
- l'API des serveurs n'accepte que les 16 namespaces de l'ERP (étiquette
  app.kubernetes.io/part-of=adicom-erp, agents injectés), les pods Prometheus (PodMonitor) et
  les konnectivity-agent (proxy de l'API, que verify-socle utilise pour sys/health) ;
- le webhook de l'injecteur reste ouvert : sa failurePolicy est Ignore, bloqué il laisserait
  créer les pods sans agent, en silence.

Relevé Hubble de 15 min : hors de vault, seuls ces clients et l'hôte local (sondes du
kubelet) ouvrent des connexions vers ses pods. Application par le script de maintenance
2026-09-29-ovh-networkpolicy-vault.sh (banc à connexions neuves, retour arrière automatique).

slanski merged commit f070322c4f into main

2026-09-29 06:07:33 +00:00

slanski deleted branch fix/networkpolicy-vault-ovh

2026-09-29 06:07:33 +00:00

slanski referenced this pull request from a commit

2026-09-29 06:07:34 +00:00

Merge pull request 'fix(netpol): API de Vault réservée à ses clients sur OVH' (#173) from fix/networkpolicy-vault-ovh into main

Rows
Columns

fix(netpol): API de Vault réservée à ses clients sur OVH #173