マルチテナントKubernetesネットワークセキュリティの管理は、開発者のコミュニケーションニーズとセキュリティチームのコンプライアンス要求のバランスを取る必要があります。標準のKubernetes NetworkPolicyは、単一の名前空間には有用ですが、その名前空間スコープと開発者中心の設計により、クラスター全体での強制には苦労します。ClusterNetworkPolicy（CNP）は、これらの制限に対処するためのオープンソース標準として導入されました。CNPは、管理者が集中型のネットワークセキュリティ管理を可能にするクラスター全体のリソースです。階層的なティアシステムを備えています。最高優先度のグローバルルール用管理者ティア、名前空間固有の開発者ポリシー用ネットワークポリシーティア、デフォルトのクラスター動作用ベースラインティアです。この階層構造は、セキュリティと組織の役割を一致させ、セキュリティチームによるコンプライアンス義務とプラットフォームチームによるデフォルトの拒否すべてを可能にします。開発者は、コアセキュリティ義務をオーバーライドすることなく、アプリケーション固有のポリシーを管理できます。決定論的な評価はポリシーの競合を解決し、管理者ティアは明示的なPassアクションを使用して最終決定を名前空間ポリシーに委任できます。一般的なユースケースには、機密性の高いワークロードの分離、コアサービスの保護、外部エグレストラフィックの管理が含まれます。CNPは、機密性の高い名前空間へのアクセスを拒否し、不可欠なサービスを許可するなどの複雑なセキュリティ要件を集中型ルールに簡素化します。ClusterNetworkPolicy APIはオープンソース標準であり、環境間のポータビリティを保証します。GKEのCNPの実装は、明確で決定論的なポリシー評価のためのネイティブティア選択を提供します。これにより、ワークロードネットワークセキュリティは、統一されたクラスター全体のガバナンスに引き上げられます。