22.4. Configuration de la politique multi-réseaux

Procédure

1. Créer une règle de politique :

   1. Créer un fichier <policy_name>.yaml:

      $ touch <policy_name>.yaml

      où :

      <policy_name>

      Spécifie le nom du fichier de stratégie multi-réseaux.

   2. Définissez une politique multi-réseaux dans le fichier que vous venez de créer, comme dans les exemples suivants :

      Refuser l'entrée de tous les pods dans tous les espaces de noms

      Il s'agit d'une politique fondamentale, qui bloque tout réseau inter-pods autre que le trafic inter-pods autorisé par la configuration d'autres politiques de réseau.

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: deny-by-default
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
        ingress: []

      où :

      <network_name>

      Spécifie le nom d'une définition de pièce jointe au réseau.

      Autoriser l'entrée de tous les pods dans le même espace de noms

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: allow-same-namespace
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}

      où :

      <network_name>

      Spécifie le nom d'une définition de pièce jointe au réseau.

      Autoriser le trafic entrant vers un pod à partir d'un espace de noms particulier

      Cette politique autorise le trafic vers les pods étiquetés pod-a à partir des pods fonctionnant sur namespace-y.

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: allow-traffic-pod
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
         matchLabels:
            pod: pod-a
        policyTypes:
        - Ingress
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                 kubernetes.io/metadata.name: namespace-y

      où :

      <network_name>

      Spécifie le nom d'une définition de pièce jointe au réseau.

      Restreindre le trafic vers un service

      Cette politique, lorsqu'elle est appliquée, garantit que tous les pods portant les étiquettes app=bookstore et role=api ne sont accessibles qu'aux pods portant l'étiquette app=bookstore. Dans cet exemple, l'application pourrait être un serveur d'API REST, marqué par les étiquettes app=bookstore et role=api.

      Cet exemple traite des cas d'utilisation suivants :

      • Restreindre le trafic d'un service aux seuls autres microservices qui doivent l'utiliser.

      • Restreindre les connexions à une base de données pour n'autoriser que l'application qui l'utilise.

        apiVersion: k8s.cni.cncf.io/v1beta1
        kind: MultiNetworkPolicy
        metadata:
          name: api-allow
          annotations:
            k8s.v1.cni.cncf.io/policy-for: <network_name>
        spec:
          podSelector:
            matchLabels:
              app: bookstore
              role: api
          ingress:
          - from:
              - podSelector:
                  matchLabels:
                    app: bookstore

        où :

        <network_name>

        Spécifie le nom d'une définition de pièce jointe au réseau.

2. Pour créer l'objet de politique multiréseau, entrez la commande suivante :

   oc apply -f <policy_name>.yaml -n <namespace>

   où :

   <policy_name>

   Spécifie le nom du fichier de stratégie multi-réseaux.

   <namespace>

   Facultatif : Spécifie l'espace de noms si l'objet est défini dans un espace de noms différent de l'espace de noms actuel.

   Exemple de sortie

   multinetworkpolicy.k8s.cni.cncf.io/deny-by-default created

Procédure

1. Facultatif : Pour répertorier les objets de stratégie multi-réseaux d'un espace de noms, entrez la commande suivante :

   $ oc get multi-networkpolicy

   où :

   <namespace>

   Facultatif : Spécifie l'espace de noms si l'objet est défini dans un espace de noms différent de l'espace de noms actuel.

2. Modifier l'objet de politique multi-réseaux.

   • Si vous avez enregistré la définition de la stratégie multi-réseaux dans un fichier, éditez le fichier et apportez les modifications nécessaires, puis entrez la commande suivante.

     $ oc apply -n <namespace> -f <policy_file>.yaml

     où :

     <namespace>

     Facultatif : Spécifie l'espace de noms si l'objet est défini dans un espace de noms différent de l'espace de noms actuel.

     <policy_file>

     Spécifie le nom du fichier contenant la politique de réseau.

   • Si vous devez mettre à jour l'objet de stratégie multi-réseau directement, entrez la commande suivante :

     oc edit multi-networkpolicy <nom_de_la_politique> -n <espace_de_noms>

     où :

     <policy_name>

     Spécifie le nom de la politique de réseau.

     <namespace>

     Facultatif : Spécifie l'espace de noms si l'objet est défini dans un espace de noms différent de l'espace de noms actuel.

3. Confirmez la mise à jour de l'objet de stratégie multi-réseaux.

   oc describe multi-networkpolicy <nom_de_la_politique> -n <espace_de_noms>

   où :

   <policy_name>

   Spécifie le nom de la politique multi-réseaux.

   <namespace>

   Facultatif : Spécifie l'espace de noms si l'objet est défini dans un espace de noms différent de l'espace de noms actuel.

Procédure

1. Créez le fichier YAML suivant qui définit une politique deny-by-default pour refuser l'entrée de tous les pods dans tous les espaces de noms. Enregistrez le YAML dans le fichier deny-by-default.yaml:

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: deny-by-default
     namespace: default 1
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name> 2
   spec:
     podSelector: {} 3
     ingress: [] 4

   1

   namespace: default déploie cette politique dans l'espace de noms default.

   2

   podSelector: est vide, cela signifie qu'elle correspond à tous les pods. Par conséquent, la politique s'applique à tous les modules de l'espace de noms par défaut.

   3

   network_name: spécifie le nom d'une définition de pièce jointe au réseau.

   4

   Aucune règle ingress n'est spécifiée. Le trafic entrant est donc supprimé pour tous les pods.

2. Appliquez la politique en entrant la commande suivante :

   $ oc apply -f deny-by-default.yaml

   Exemple de sortie

   multinetworkpolicy.k8s.cni.cncf.io/deny-by-default created

Procédure

1. Créez une politique qui autorise le trafic provenant de l'Internet public directement ou en utilisant un équilibreur de charge pour accéder au pod. Enregistrez le YAML dans le fichier web-allow-external.yaml:

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: web-allow-external
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name>
   spec:
     policyTypes:
     - Ingress
     podSelector:
       matchLabels:
         app: web
     ingress:
       - {}

2. Appliquez la politique en entrant la commande suivante :

   $ oc apply -f web-allow-external.yaml

   Exemple de sortie

   multinetworkpolicy.k8s.cni.cncf.io/web-allow-external created

Procédure

1. Créez une politique qui autorise le trafic de tous les pods dans tous les espaces de noms vers une application particulière. Enregistrez le YAML dans le fichier web-allow-all-namespaces.yaml:

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: web-allow-all-namespaces
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name>
   spec:
     podSelector:
       matchLabels:
         app: web 1
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector: {} 2

   1

   Applique la politique uniquement aux pods app:web dans l'espace de noms par défaut.

   2

   Sélectionne tous les pods dans tous les espaces de noms.

   Note

   Par défaut, si vous ne précisez pas namespaceSelector, aucun espace de noms n'est sélectionné, ce qui signifie que la stratégie n'autorise que le trafic provenant de l'espace de noms dans lequel la stratégie de réseau est déployée.

2. Appliquez la politique en entrant la commande suivante :

   $ oc apply -f web-allow-all-namespaces.yaml

   Exemple de sortie

   multinetworkpolicy.k8s.cni.cncf.io/web-allow-all-namespaces created

Vérification

1. Démarrez un service web dans l'espace de noms default en entrant la commande suivante :

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

2. Exécutez la commande suivante pour déployer une image alpine dans l'espace de noms secondary et pour démarrer un shell :

   $ oc run test-$RANDOM --namespace=secondary --rm -i -t --image=alpine -- sh

3. Exécutez la commande suivante dans l'interpréteur de commandes et observez que la demande est autorisée :

   # wget -qO- --timeout=2 http://web.default

   Résultats attendus

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>

Procédure

1. Créez une politique qui autorise le trafic de tous les pods dans un espace de noms particulier avec un label purpose=production. Sauvegardez le YAML dans le fichier web-allow-prod.yaml:

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: web-allow-prod
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name>
   spec:
     podSelector:
       matchLabels:
         app: web 1
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             purpose: production 2

   1

   Applique la politique uniquement aux pods app:web dans l'espace de noms par défaut.

   2

   Restreint le trafic aux seuls pods des espaces de noms portant l'étiquette purpose=production.

2. Appliquez la politique en entrant la commande suivante :

   $ oc apply -f web-allow-prod.yaml

   Exemple de sortie

   multinetworkpolicy.k8s.cni.cncf.io/web-allow-prod created

Vérification

1. Démarrez un service web dans l'espace de noms default en entrant la commande suivante :

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

2. Exécutez la commande suivante pour créer l'espace de noms prod:

   $ oc create namespace prod

3. Exécutez la commande suivante pour étiqueter l'espace de noms prod:

   $ oc label namespace/prod purpose=production

4. Exécutez la commande suivante pour créer l'espace de noms dev:

   $ oc create namespace dev

5. Exécutez la commande suivante pour étiqueter l'espace de noms dev:

   $ oc label namespace/dev purpose=testing

6. Exécutez la commande suivante pour déployer une image alpine dans l'espace de noms dev et pour démarrer un shell :

   $ oc run test-$RANDOM --namespace=dev --rm -i -t --image=alpine -- sh

7. Exécutez la commande suivante dans l'interpréteur de commandes et observez que la demande est bloquée :

   # wget -qO- --timeout=2 http://web.default

   Résultats attendus

   wget: download timed out

8. Exécutez la commande suivante pour déployer une image alpine dans l'espace de noms prod et démarrer un shell :

   $ oc run test-$RANDOM --namespace=prod --rm -i -t --image=alpine -- sh

9. Exécutez la commande suivante dans l'interpréteur de commandes et observez que la demande est autorisée :

   # wget -qO- --timeout=2 http://web.default

   Résultats attendus

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>