この記述は、サービス名やクラスターIPアドレスが記載されていないため誤りです。ラベルがapp:nginxのPodのIPアドレス宛てにポート8080で送信されたトラフィックは、同じクラスター内の別のPodから送信され、そのPodのIPアドレスが認識されている場合を除き、そのPodのポート80には転送されません。クラスター外部からサービスにアクセスするには、トラフィックをKubernetesによって割り当てられたサービスのクラスターIPアドレスと、yamlファイルで定義されているサービスのポート8080に送信する必要があります。その後、サービスはトラフィックをポート80で選択されたPodのいずれかに転送します。
要約すると、正しい記述は次のようになります。
サービス dca の clusterIP アドレスのポート 8080 に送信されたトラフィックは、ラベル app: nginx を持つポッドのいずれかのポート 80 に転送されます。

画像に示されている networkPolicy は、tier: api ラベルを持たない Pod から tier: backend ラベルを持つ Pod へのトラフィックをブロックするように設計されています。これは、ポリシーが matchLabels: tier: backend に設定され、イングレスが - from: podSelector: matchLabels: tier: api に設定されているためです。したがって、これらのラベルに一致しないトラフィックはすべてブロックされます。
:
ユーザー名前空間を使用してコンテナを分離する | Dockerドキュメント
mnt名前空間 - Dockerクックブック - 第2版
コンテナセキュリティの基礎知識 パート2：分離と名前空間
この説明が、networkPolicyの概念とKubernetesにおけるその仕組みを理解する一助となれば幸いです。Dockerに関して他に質問があれば、遠慮なくお尋ねください。

コマンド docker service create --network --secure では、サービス タスク間のオーバーレイ トラフィックが暗号化されることは保証されません。これは、--secure オプションが docker service create コマンドの有効なオプションではないためです。サービス タスク間のオーバーレイ トラフィックが暗号化されるようにするには、docker network create コマンドでオーバーレイ ネットワークを作成する際に --opt encrypted オプションを使用する必要があります。たとえば、my-net という名前の暗号化されたオーバーレイ ネットワークを作成するには、次のコマンドを使用できます。
docker network create --driver overlay --opt encrypted my-net
次に、docker service create コマンドでサービスを作成する際に、--network my-net オプションを使用できます。たとえば、nginx イメージと my-net ネットワークを使用して my-service という名前のサービスを作成するには、次のコマンドを使用します。
docker service create --name my-service --network my-net nginx
:
docker service create | Dockerドキュメント
オーバーレイネットワークを使用する | Dockerドキュメント
サービスの作成 | Dockerドキュメント