chore: update

deploy/cni/calico-install.yml

@@ -0,0 +1,46 @@
+# Installation de Calico (CNI qui applique réellement les NetworkPolicy) —
+# nécessaire pour que deploy/chart-gestion/network-policy soit autre chose
+# qu'une déclaration ignorée par le cluster.
+#
+# ⚠️ Si le cluster a déjà un CNI actif (flannel, etc.), installer Calico en
+# remplacement est disruptif : tous les pods doivent être recréés pour
+# obtenir une IP du nouveau CNI. À faire lors d'une fenêtre de maintenance,
+# pas à chaud sur un cluster avec des démos clients actives. Si vous voulez
+# juste ajouter l'enforcement de policy SANS remplacer le CNI existant, dites-
+# le : Calico peut aussi tourner en mode "policy-only" au-dessus de flannel
+# (Canal), c'est un manifeste différent de celui-ci.
+#
+# Étape 1 (à lancer manuellement, pas inclus ici : c'est un manifeste upstream
+# de plusieurs milliers de lignes, à récupérer directement depuis le projet) :
+#
+#   kubectl create -f https://raw.githubusercontent.com/projectcalico/calico/v3.32.1/manifests/tigera-operator.yaml
+#
+# Étape 2 : une fois l'operator up (kubectl get pods -n tigera-operator),
+# appliquer ce fichier :
+#
+#   kubectl apply -f deploy/cni/calico-install.yml
+#
+# Étape 3 : vérifier l'enforcement avec deploy/cni/network-policy-test.yml.
+
+apiVersion: operator.tigera.io/v1
+kind: Installation
+metadata:
+  name: default
+spec:
+  calicoNetwork:
+    ipPools:
+      # ⚠️ Ce CIDR doit correspondre au pod CIDR réellement utilisé par le
+      # cluster (ou être libre s'il s'agit d'une installation neuve). Ne pas
+      # appliquer tel quel sans vérifier qu'il ne chevauche pas l'existant.
+      - name: default-ipv4-ippool
+        cidr: 192.168.0.0/16
+        encapsulation: VXLAN
+        natOutgoing: Enabled
+        nodeSelector: all()
+
+---
+apiVersion: operator.tigera.io/v1
+kind: APIServer
+metadata:
+  name: default
+spec: {}

deploy/cni/network-policy-test.yml

@@ -0,0 +1,95 @@
+# Vérification que le CNI applique bien les NetworkPolicy avant de faire
+# confiance à deploy/chart-gestion/network-policy pour l'isolation des démos.
+#
+#   kubectl apply -f deploy/cni/network-policy-test.yml
+#   kubectl wait -n netpol-test --for=condition=ready pod -l app=target --timeout=60s
+#
+#   # Doit réussir (client autorisé) :
+#   kubectl exec -n netpol-test allowed-client -- wget -qO- --timeout=2 target
+#
+#   # Doit échouer / timeout (client non autorisé — c'est le résultat attendu) :
+#   kubectl exec -n netpol-test blocked-client -- wget -qO- --timeout=2 target
+#
+# Si "blocked-client" arrive quand même à joindre "target", le CNI n'applique
+# PAS les NetworkPolicy : deploy/chart-gestion/network-policy ne protège rien.
+#
+# Nettoyage : kubectl delete namespace netpol-test
+
+apiVersion: v1
+kind: Namespace
+metadata:
+  name: netpol-test
+
+---
+apiVersion: v1
+kind: Pod
+metadata:
+  name: target
+  namespace: netpol-test
+  labels:
+    app: target
+spec:
+  containers:
+    - name: nginx
+      image: nginx:1.27-alpine
+      ports:
+        - containerPort: 80
+
+---
+apiVersion: v1
+kind: Service
+metadata:
+  name: target
+  namespace: netpol-test
+spec:
+  selector:
+    app: target
+  ports:
+    - port: 80
+      targetPort: 80
+
+---
+apiVersion: v1
+kind: Pod
+metadata:
+  name: allowed-client
+  namespace: netpol-test
+  labels:
+    role: allowed
+spec:
+  containers:
+    - name: busybox
+      image: busybox:1.37
+      command: ["sh", "-c", "sleep 3600"]
+
+---
+apiVersion: v1
+kind: Pod
+metadata:
+  name: blocked-client
+  namespace: netpol-test
+  labels:
+    role: blocked
+spec:
+  containers:
+    - name: busybox
+      image: busybox:1.37
+      command: ["sh", "-c", "sleep 3600"]
+
+---
+apiVersion: networking.k8s.io/v1
+kind: NetworkPolicy
+metadata:
+  name: allow-only-labeled
+  namespace: netpol-test
+spec:
+  podSelector:
+    matchLabels:
+      app: target
+  policyTypes:
+    - Ingress
+  ingress:
+    - from:
+        - podSelector:
+            matchLabels:
+              role: allowed