20.6. Définir une politique de réseau par défaut pour les projets

Procédure

1. Connectez-vous en tant qu'utilisateur disposant des privilèges cluster-admin.

2. Générer le modèle de projet par défaut :

   oc adm create-bootstrap-project-template -o yaml > template.yaml

3. Utilisez un éditeur de texte pour modifier le fichier template.yaml généré en ajoutant des objets ou en modifiant des objets existants.

4. Le modèle de projet doit être créé dans l'espace de noms openshift-config. Chargez votre modèle modifié :

   $ oc create -f template.yaml -n openshift-config

5. Modifiez la ressource de configuration du projet à l'aide de la console Web ou de la CLI.

   • En utilisant la console web :

     1. Naviguez jusqu'à la page Administration Cluster Settings.
     2. Cliquez sur Configuration pour afficher toutes les ressources de configuration.
     3. Trouvez l'entrée pour Project et cliquez sur Edit YAML.

   • Utilisation de la CLI :

     1. Modifier la ressource project.config.openshift.io/cluster:

        $ oc edit project.config.openshift.io/cluster

6. Mettez à jour la section spec pour inclure les paramètres projectRequestTemplate et name, et définissez le nom de votre modèle de projet téléchargé. Le nom par défaut est project-request.

   Ressource de configuration de projet avec modèle de projet personnalisé

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
     ...
   spec:
     projectRequestTemplate:
       name: <template_name>

7. Après avoir enregistré vos modifications, créez un nouveau projet pour vérifier que vos modifications ont bien été appliquées.

Procédure

1. Modifiez le modèle par défaut pour un nouveau projet en exécutant la commande suivante :

   $ oc edit template <project_template> -n openshift-config

   Remplacez <project_template> par le nom du modèle par défaut que vous avez configuré pour votre cluster. Le nom du modèle par défaut est project-request.

2. Dans le modèle, ajoutez chaque objet NetworkPolicy en tant qu'élément du paramètre objects. Le paramètre objects accepte une collection d'un ou plusieurs objets.

   Dans l'exemple suivant, la collection de paramètres objects comprend plusieurs objets NetworkPolicy.

   objects:
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-same-namespace
     spec:
       podSelector: {}
       ingress:
       - from:
         - podSelector: {}
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-openshift-ingress
     spec:
       ingress:
       - from:
         - namespaceSelector:
             matchLabels:
               network.openshift.io/policy-group: ingress
       podSelector: {}
       policyTypes:
       - Ingress
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-kube-apiserver-operator
     spec:
       ingress:
       - from:
         - namespaceSelector:
             matchLabels:
               kubernetes.io/metadata.name: openshift-kube-apiserver-operator
           podSelector:
             matchLabels:
               app: kube-apiserver-operator
       policyTypes:
       - Ingress
   ...

3. Facultatif : Créez un nouveau projet pour confirmer que vos objets de stratégie de réseau ont été créés avec succès en exécutant les commandes suivantes :

   1. Créer un nouveau projet :

      oc new-project <projet> $ oc new-project <projet> 1

      1

      Remplacez <project> par le nom du projet que vous créez.

   2. Confirmez que les objets de stratégie de réseau du nouveau modèle de projet existent dans le nouveau projet :

      $ oc get networkpolicy
      NAME                           POD-SELECTOR   AGE
      allow-from-openshift-ingress   <none>         7s
      allow-from-same-namespace      <none>         7s