23.7. 网络策略

API 端点通常跨越多个安全区，因此您必须特别注意 API 进程的不同。例如，在网络设计级别上，您可以考虑仅限制对指定系统的访问。如需更多信息，请参阅安全区的指导。

经过仔细建模，您可以使用网络 ACL 和 IDS 技术在网络服务之间实施明确的点对点通信。作为关键的跨域服务，这种类型的显式执行非常适合 OpenStack 的消息队列服务。

要强制执行策略，您可以配置服务、基于主机的防火墙（如 iptables）、本地策略(SELinux)和可选的全局网络策略。