23.8. 网络策略

API 端点通常跨越多个安全区，因此您必须特别注意 API 进程分离。例如，在网络设计级别，您可以考虑仅限制对指定系统的访问。如需更多信息，请参阅有关安全区的指导。

通过仔细建模，您可以使用网络 ACL 和 IDS 技术来强制实施网络服务之间的显式点对点通信。作为重要的跨域服务，这种明确执行适用于 OpenStack 的消息队列服务。

要强制执行策略，您可以配置服务、基于主机的防火墙（如 iptables）、本地策略(SELinux)以及可选的全局网络策略。