管理多租户 Kubernetes 网络安全需要在开发人员的通信需求与安全团队的合规要求之间取得平衡。标准的 Kubernetes NetworkPolicy 虽然对单个命名空间有用，但由于其命名空间范围和以开发人员为中心的设计，难以实现集群范围的强制实施。ClusterNetworkPolicy（CNP）作为开源标准被引入，以解决这些局限性。CNP 是一种集群范围资源，使管理员能够实施集中式网络安全管理。它具备分层体系结构：管理员层级（admin tier）用于最高优先级的全局规则，网络策略层级（network policy tier）用于命名空间特定的开发人员策略，基线层级（baseline tier）用于集群默认行为。这种分层结构将安全与组织角色对齐，使安全团队能够实施合规要求，平台团队能够实施默认拒绝所有（default deny-all）策略。开发人员随后可以管理其应用程序特定的策略，而不会覆盖核心安全要求。确定性评估机制可解决策略冲突，管理员层级能够执行显式的 Pass 操作，将最终决策委托给命名空间策略。常见用例包括隔离敏感工作负载、保护核心服务以及管理外部出站流量。CNP 将复杂的网络安全需求简化为集中式规则，例如禁止访问敏感命名空间，同时允许关键服务。ClusterNetworkPolicy API 是一项开源标准，确保跨环境的可移植性。GKE 对 CNP 的实现提供了原生的层级选择，以实现清晰且确定性的策略评估。这将工作负载的网络安全提升至统一、集群范围的治理水平。