第6章 ネットワークポリシー
admin ロールを持つユーザーは、netobserv namespace のネットワークポリシーを作成して、Network Observability Operator への受信アクセスを保護できます。
6.1. FlowCollector カスタムリソースを使用した Ingress ネットワークポリシーの設定
FlowCollector カスタムリソース (CR) を設定して、spec.NetworkPolicy.enable 仕様を true に設定することで、Network Observability 用の Ingress ネットワークポリシーをデプロイできます。この仕様はデフォルトでは false です。
ネットワークポリシーを持つ別の namespace に Loki、Kafka、または任意のエクスポーターをインストールした場合は、Network Observability コンポーネントがそれらと通信できることを確認する必要があります。セットアップについて、次の点を考慮してください。
-
Loki への接続 (
FlowCollectorCR のspec.lokiパラメーターで定義) -
Kafka への接続 (
FlowCollectorCR のspec.kafkaパラメーターで定義) -
任意のエクスポーターへの接続 (FlowCollector CR の
spec.exportersパラメーターで定義) -
Loki を使用していて、Loki をポリシーターゲットに含める場合は、外部オブジェクトストレージへの接続 (
LokiStack関連のシークレットで定義)
手順
-
.Web コンソールで、Operators
Installed Operators ページに移動します。 - Network Observability の Provided APIs という見出しの下で、Flow Collector を選択します。
- cluster を選択し、YAML タブを選択します。
FlowCollectorCR を設定します。設定例は次のとおりです。ネットワークポリシー用の
FlowCollectorCR の例apiVersion: flows.netobserv.io/v1beta2 kind: FlowCollector metadata: name: cluster spec: namespace: netobserv networkPolicy: enable: true 1 additionalNamespaces: ["openshift-console", "openshift-monitoring"] 2 # ...
