29.2. サービスの ExternalIP の設定

• ネットワークインフラストラクチャーは、外部 IP アドレスのトラフィックをクラスターにルーティングする必要があります。

• 設定可能なポリシーでの、ユーザーによる外部 IP アドレスの使用の制限
• 要求時の外部 IP アドレスのサービスへの自動割り当て

• spec.externalIP.autoAssignCIDRs は、サービスの外部 IP アドレスを選択する際にロードバランサーによって使用される IP アドレスブロックを定義します。OpenShift Container Platform は、自動割り当て用の単一 IP アドレスブロックのみをサポートします。手動で ExternalIP をサービスに割り当てる場合は、数に限りのある共有 IP アドレスのポートスペースを管理する必要があるため、この設定はそ手動で設定するよりも少ない手順で行えます。自動割り当てを有効にすると、Cloud Controller Manager Operator は、設定で spec.type=LoadBalancer が定義されている Service オブジェクトに外部 IP アドレスを割り当てます。
• spec.externalIP.policy は、IP アドレスを手動で指定する際に許容される IP アドレスブロックを定義します。OpenShift Container Platform は、spec.externalIP.autoAssignCIDRs パラメーターで定義した IP アドレスブロックにポリシールールを適用しません。

• policy が {} に設定されている場合、spec.ExternalIPs[] を使用して Service オブジェクトを作成すると、サービスが失敗します。これは、OpenShift Container Platform のデフォルト設定です。policy: null の場合も同じ動作になります。

• policy が設定され、policy.allowedCIDRs[] または policy.rejectedCIDRs[] のいずれかが設定される場合、以下のルールが適用されます。

  • allowedCIDRs[] と rejectedCIDRs[] の両方が設定される場合、rejectedCIDRs[] が allowedCIDRs[] よりも優先されます。
  • allowedCIDRs[] が設定される場合、spec.ExternalIPs[] が設定されている Service オブジェクトの作成は、指定された IP アドレスが許可される場合にのみ正常に実行されます。
  • rejectedCIDRs[] が設定される場合、spec.ExternalIPs[] が設定されている Service オブジェクトの作成は、指定された IP アドレスが拒否されていない場合にのみ正常に実行されます。

• 以下の例のポリシーは、外部 IP アドレスが指定されたサービスを OpenShift Container Platform が作成できないようにします。

  Service オブジェクトの spec.externalIPs[] に指定された値を拒否するポリシーの例

  apiVersion: config.openshift.io/v1
  kind: Network
  metadata:
    name: cluster
  spec:
    externalIP:
      policy: {}
  # ...

  Copy to Clipboard Toggle word wrap

• 以下の例では、allowedCIDRs および rejectedCIDRs フィールドの両方が設定されます。

  許可される、および拒否される CIDR ブロックの両方を含むポリシーの例

  apiVersion: config.openshift.io/v1
  kind: Network
  metadata:
    name: cluster
  spec:
    externalIP:
      policy:
        allowedCIDRs:
        - 172.16.66.10/23
        rejectedCIDRs:
        - 172.16.66.10/24
  # ...

  Copy to Clipboard Toggle word wrap

• 以下の例では、policy は {} に設定されます。これが設定されている場合、oc get networks.config.openshift.io -o yaml コマンドを使用して設定を表示しても policy パラメーターはコマンド出力に表示されません。policy: null の場合も同じ動作になります。

  Service オブジェクトの spec.externalIPs[] に指定された値を許可するポリシーの例

  apiVersion: config.openshift.io/v1
  kind: Network
  metadata:
    name: cluster
  spec:
    clusterNetwork:
    - cidr: 10.128.0.0/14
      hostPrefix: 23
    externalIP:
      policy: {}
  # ...

  Copy to Clipboard Toggle word wrap

• 以下の YAML は、自動的に割り当てられた外部 IP アドレスを有効にする設定を説明しています。

  spec.externalIP.autoAssignCIDRs が設定された設定例

  apiVersion: config.openshift.io/v1
  kind: Network
  metadata:
    name: cluster
  spec:
    ...
    externalIP:
      autoAssignCIDRs:
      - 192.168.132.254/29

  Copy to Clipboard Toggle word wrap

• 以下の YAML は、許可された、および拒否された CIDR 範囲のポリシールールを設定します。

  spec.externalIP.policy が設定された設定例

  apiVersion: config.openshift.io/v1
  kind: Network
  metadata:
    name: cluster
  spec:
    ...
    externalIP:
      policy:
        allowedCIDRs:
        - 192.168.132.0/29
        - 192.168.132.8/29
        rejectedCIDRs:
        - 192.168.132.7/32

  Copy to Clipboard Toggle word wrap

• Service オブジェクトの spec.clusterIP フィールドを自動的に設定するために OpenShift Container Platform によって使用される ExternalIP アドレスブロック。
• IP アドレスを制限するポリシーオブジェクトは Service オブジェクトの spec.clusterIP 配列に手動で割り当てられます。

前提条件

• OpenShift CLI (oc) がインストールされている。
• cluster-admin ロールを持つユーザーとしてクラスターにアクセスできる。

• サービスの外部 IP を使用した Ingress クラスタートラフィックの設定