Egress 신원 기반 통제 — mTLS 신원이 공용 gateway에 멀티테넌시를 만든다

Thu, 02 Jul 2026 00:00:00 +0000

ABSTRACT

“egress gateway만 세우면 외부 통신이 통제된다"는 직관의 빈칸을 메우는 문서. 방화벽·NetworkPolicy는 “외부로 나가는 유일한 경로가 gateway인가”(Q1) 에만 답하고, “그 gateway를 누가, 어느 목적지로 쓸 수 있나”(Q2) 에는 답하지 못한다. Q2의 판정 재료가 mesh mTLS가 운반하는 SPIFFE 신원이고, 판정 장치가 gateway 위의 AuthorizationPolicy(principal × SNI) 다. 이 문서는 ① 그 논리를 통제 체인(경로 강제 → 검문소 → 신원 판정)으로 세우고 ② SA 2개가 서로 다른 목적지만 허용받는 테스트 클러스터 전체 구성(YAML 주석 포함)과 검증·함정까지 따라간다. 이중 TLS 구조 자체의 해부는 HTTPS over mTLS 정본, 4-CRD 직관은 Egress 4-CRD 멘탈모델이 정본 — 본 문서는 그 구조 위에 올라가는 “통제” 를 다룬다.

Identity on homelab89

Egress 신원 기반 통제 — mTLS 신원이 공용 gateway에 멀티테넌시를 만든다