25.14. Configurer l'isolation du réseau à l'aide d'OpenShift SDN
Lorsque votre cluster est configuré pour utiliser le mode d'isolation multitenant pour le plugin réseau OpenShift SDN, chaque projet est isolé par défaut. Le trafic réseau n'est pas autorisé entre les pods ou les services de différents projets en mode d'isolation multitenant.
Vous pouvez modifier le comportement de l'isolation multitenant pour un projet de deux manières :
- Vous pouvez rejoindre un ou plusieurs projets, ce qui permet le trafic réseau entre les pods et les services de différents projets.
- Vous pouvez désactiver l'isolation du réseau pour un projet. Il sera globalement accessible et acceptera le trafic réseau des pods et des services de tous les autres projets. Un projet globalement accessible peut accéder aux pods et aux services de tous les autres projets.
25.14.1. Conditions préalables
- Vous devez avoir un cluster configuré pour utiliser le plugin réseau OpenShift SDN en mode d'isolation multitenant.
25.14.2. Rejoindre des projets
Vous pouvez joindre deux projets ou plus pour permettre le trafic réseau entre les pods et les services dans différents projets.
Conditions préalables
-
Installez le CLI OpenShift (
oc). -
Vous devez vous connecter au cluster avec un utilisateur ayant le rôle
cluster-admin.
Procédure
Utilisez la commande suivante pour joindre des projets à un réseau de projets existant :
$ oc adm pod-network join-projects --to=<projet1> <projet2> <projet3>
Au lieu de spécifier des noms de projets spécifiques, vous pouvez utiliser l'option
--selector=<project_selector>pour spécifier des projets sur la base d'une étiquette associée.Facultatif : Exécutez la commande suivante pour afficher les réseaux de pods que vous avez réunis :
$ oc get netnamespaces
Les projets du même réseau de pods ont le même ID de réseau dans la colonne NETID dans la colonne
25.14.3. Isoler un projet
Vous pouvez isoler un projet de sorte que les pods et les services d'autres projets ne puissent pas accéder à ses pods et à ses services.
Conditions préalables
-
Installez le CLI OpenShift (
oc). -
Vous devez vous connecter au cluster avec un utilisateur ayant le rôle
cluster-admin.
Procédure
Pour isoler les projets dans le cluster, exécutez la commande suivante :
oc adm pod-network isolate-projects <projet1> <projet2> $ oc adm pod-network isolate-projects <projet2>
Au lieu de spécifier des noms de projets spécifiques, vous pouvez utiliser l'option
--selector=<project_selector>pour spécifier des projets sur la base d'une étiquette associée.
25.14.4. Désactiver l'isolation du réseau pour un projet
Vous pouvez désactiver l'isolation du réseau pour un projet.
Conditions préalables
-
Installez le CLI OpenShift (
oc). -
Vous devez vous connecter au cluster avec un utilisateur ayant le rôle
cluster-admin.
Procédure
Exécutez la commande suivante pour le projet :
oc adm pod-network make-projects-global <projet1> <projet2> $ oc adm pod-network make-projects-global <projet2>
Au lieu de spécifier des noms de projets spécifiques, vous pouvez utiliser l'option
--selector=<project_selector>pour spécifier des projets sur la base d'une étiquette associée.
