fix/networkpolicy-operateurs-ovh #174

Merged

slanski merged 2 commits from fix/networkpolicy-operateurs-ovh into main

2026-09-29 07:27:05 +00:00

slanski commented

2026-09-29 07:26:57 +00:00

Owner

No description provided.

slanski added 2 commits

2026-09-29 07:26:57 +00:00

fix(netpol): opérateurs réservés à leur namespace sur OVH, webhooks ouverts 3cc420315c

cert-manager, cnpg-system (opérateur CloudNativePG, plugin Barman Cloud), kyverno-system et
sops-system n'avaient aucune règle : tout pod d'un namespace à sortie libre joignait leurs
métriques (9402, 8080, 8000), le gRPC du plugin de sauvegarde (9090) et leurs ports de santé.

bootstrap/networkpolicy-operateurs.prod-ovh.yaml : dans chaque namespace, les pods
s'acceptent entre eux et les ports de webhook restent ouverts à tous. Plusieurs webhooks sont
en failurePolicy: Fail ; bloqués, ils refuseraient toute création de pod applicatif
(vérification des signatures d'images de Kyverno), les sauvegardes CNPG (objets Backup) et
toute modification de certificat. Ouverts, ils ne dépendent pas du chemin qu'OVH donne à son
API.

Relevé Hubble de 15 min : hors de ces namespaces, seuls les konnectivity-agent (webhooks) et
l'hôte local (sondes du kubelet) y ouvrent des connexions. Prometheus n'en collecte aucun. Les
instances PostgreSQL n'ont aucune règle de sortie vers cnpg-system : seul l'opérateur appelle
le plugin. Application par le script de maintenance 2026-09-29-ovh-networkpolicy-operateurs.sh
(banc à connexions neuves, 4 webhooks éprouvés à blanc, retour arrière automatique).

docs(bootstrap): règles réseau des opérateurs dans la séquence d'OVH a26c552f64

slanski merged commit b31fea90cc into main

2026-09-29 07:27:05 +00:00

slanski deleted branch fix/networkpolicy-operateurs-ovh

2026-09-29 07:27:05 +00:00

slanski referenced this pull request from a commit

2026-09-29 07:27:06 +00:00

Merge pull request 'fix/networkpolicy-operateurs-ovh' (#174) from fix/networkpolicy-operateurs-ovh into main