第2章 AdminNetworkPolicy [policy.networking.k8s.io/v1alpha1]

egress

array

Egress は、選択した Pod に適用される Egress ルールのリストです。各 ANP インスタンスでは合計 100 個のルールが許可されます。1 つの ANP オブジェクト内の Egress ルール (すべてが優先順位を共有) の相対的な優先度は、ルールが記述された順序によって決まります。したがって、Egress ルールの最初に表示されるルールの優先度が最も高くなります。Egress ルールがない ANP は Egress トラフィックに影響を与えません。

サポート: Core

egress[]

object

AdminNetworkPolicyEgressRule は、AdminNetworkPolicy の Subject フィールドで選択された Pod から送信される特定のトラフィックセットに対して実行するアクションを記述します。<network-policy-api:experimental:validation>

ingress

array

Ingress は、選択した Pod に適用される Ingress ルールのリストです。各 ANP インスタンスでは合計 100 個のルールが許可されます。1 つの ANP オブジェクト内の Ingress ルール (すべてが優先順位を共有) の相対的な優先度は、ルールが記述された順序によって決まります。したがって、Ingress ルールの最初に表示されるルールの優先度が最も高くなります。Ingress ルールがない ANP は Ingress トラフィックに影響を与えません。

サポート: Core

ingress[]

object

AdminNetworkPolicyIngressRule は、AdminNetworkPolicy の Subject フィールドで選択された Pod 宛ての特定のトラフィックセットに対して実行するアクションを記述します。

priority

integer

優先順位は 0 から 1000 までの値で表されます。優先順位の値が低いルールの方が優先度が高く、優先順位の値が高いルールよりも先にチェックされます。すべての AdminNetworkPolicy ルールの優先度は、NetworkPolicy ルールまたは BaselineAdminNetworkPolicy ルールよりも高くなります。2 つの ANP オブジェクトの優先順位が同じ場合、動作は定義されません。

サポート: Core

subject

object

subject は、この AdminNetworkPolicy が適用される Pod を定義します。ホストネットワーク化された Pod は subject の選択肢に含まれないことに注意してください。

サポート: Core

action

string

action は、一致するトラフィックに対してこのルールが与える影響を指定します。現在サポートされているアクション: Allow: 選択したトラフィックを許可します (NetworkPolicy により拒否される場合を含む)、Deny: 選択したトラフィックを拒否します、Pass: 選択したトラフィックに残りの ANP ルールをスキップするように指示し、その Pod を選択する NetworkPolicies に実行を渡します。Pod がいずれの NetworkPolicies でも選択されていない場合、その Pod を選択する BaselineAdminNetworkPolicies に実行が渡されます。

サポート: Core

name

string

name はこのルールの識別子であり、文字数は 100 文字以下とします。このフィールドは、適用された AdminNetworkPolicies の可観測性、可読性、およびエラー報告を改善するために、実装が使用します。

サポート: Core

ports

array

ports は、ポートとプロトコルに基づいてトラフィックを照合するために使用できます。このフィールドは、送信される Egress トラフィックの宛先ポートのリストです。ports が設定されていない場合、ルールはポート経由のトラフィックをフィルタリングしません。

サポート: Core

ports[]

object

AdminNetworkPolicyPort は、Pod 上のネットワークポートの選択方法を記述します。必ず 1 つのフィールドを設定する必要があります。

to

array

to は、このルールが適用されるトラフィックの宛先のリストです。いずれかの AdminNetworkPolicyEgressPeer が送信トラフィックの宛先と一致する場合、指定されたアクションが適用されます。このフィールドは、少なくとも 1 つの項目を指定して定義されている必要があります。

サポート: Core

to[]

object

AdminNetworkPolicyEgressPeer は、トラフィックを許可するピアを定義します。特定のピアに対して、セレクターポインターを 1 つだけ設定する必要があります。いずれのフィールドも設定されていないことに気付いたコンシューマーは、未知のオプションが指定されてフェイルクローズが発生したと想定しなければなりません。

namedPort

string

NamedPort は、名前に基づいて Pod 上のポートを選択します。

サポート: Extended

<network-policy-api:experimental>

portNumber

object

ポートは番号に基づいて Pod 上のポートを選択します。

サポート: Core

portRange

object

PortRange は、指定された開始値と終了値に基づいて Pod 上のポート範囲を選択します。

サポート: Core

port

integer

この数値はネットワークポート値を定義します。

サポート: Core

protocol

string

protocol は、トラフィックが一致する必要があるネットワークプロトコル (TCP、UDP、または SCTP) です。指定しない場合、このフィールドのデフォルトは TCP です。

サポート: Core

end

integer

end はポート範囲の終了となるネットワークポートを定義します。end の値には start の値より大きい数値を指定する必要があります。

サポート: Core

protocol

string

protocol は、トラフィックが一致する必要があるネットワークプロトコル (TCP、UDP、または SCTP) です。指定しない場合、このフィールドのデフォルトは TCP です。

サポート: Core

start

integer

start はポート範囲の開始となるネットワークポートを定義します。start の値には end の値より大きい数値を指定する必要があります。

サポート: Core

namespaces

object

namespaces は、一連の namespace 内のすべての Pod を選択する方法を定義します。ホストネットワーク化された Pod はこのタイプのピアには含まれないことに注意してください。

サポート: Core

networks

array (string)

networks は、CIDR ブロックを介してピアを選択する方法を定義します。これは、Pod、namespace、ノードピアが選択できないクラスター外のエンティティーを表すために使用しますが、クラスター内部のトラフィックもルールに対してチェックされることに注意してください。つまり、"0.0.0.0/0" へのトラフィックを許可または拒否すると、IPv4 Pod 間トラフィックもすべて許可または拒否されます。そうされないようにするには、networks ルールの前にすべての Pod トラフィックに Passes を適用するルールを追加します。

networks 内の各項目は CIDR 形式で指定する必要があり、IPv4 または IPv6 である必要があります (例: "10.0.0.0/8" または "fd00::/8")。

networks には最大 25 個の CIDR を指定できます。

サポート: Extended

<network-policy-api:experimental>

nodes

object

nodes は、クラスター内のノードセットを選択する方法を定義します。このフィールドは、標準のラベルセレクターセマンティクスに従います。存在するが空の場合、すべてのノードが選択されます。

サポート: Extended

<network-policy-api:experimental>

pods

object

Pods は、namespace セット内の Pod セットを選択する方法を定義します。ホストネットワーク化された Pod はこのタイプのピアには含まれないことに注意してください。

サポート: Core

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

values

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

values

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

namespaceSelector

object

NamespaceSelector は標準のラベルセレクターのセマンティクスに従います。空の場合は、すべての namespace が選択されます。

podSelector

object

PodSelector は、namespace 内の Pod を明示的に選択するために使用されます。空の場合、すべての Pod が選択されます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

values

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

values

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

action

string

action は、一致するトラフィックに対してこのルールが与える影響を指定します。現在サポートされているアクション: Allow: 選択したトラフィックを許可します (NetworkPolicy により拒否される場合を含む)、Deny: 選択したトラフィックを拒否します、Pass: 選択したトラフィックに残りの ANP ルールをスキップするように指示し、その Pod を選択する NetworkPolicies に実行を渡します。Pod がいずれの NetworkPolicies でも選択されていない場合、その Pod を選択する BaselineAdminNetworkPolicies に実行が渡されます。

サポート: Core

from

array

from は、このルールが適用されるトラフィックのソースのリストです。いずれかの AdminNetworkPolicyIngressPeer が受信トラフィックのソースと一致する場合、指定されたアクションが適用されます。このフィールドは、少なくとも 1 つの項目を指定して定義されている必要があります。

サポート: Core

from[]

object

AdminNetworkPolicyIngressPeer は、トラフィックの送信元として許可するクラスター内ピアを定義します。特定のピアに対して、セレクターポインターを 1 つだけ設定する必要があります。いずれのフィールドも設定されていないことに気付いたコンシューマーは、未知のオプションが指定されてフェイルクローズが発生したと想定しなければなりません。

name

string

name はこのルールの識別子であり、文字数は 100 文字以下とします。このフィールドは、適用された AdminNetworkPolicies の可観測性、可読性、およびエラー報告を改善するために、実装が使用します。

サポート: Core

ports

array

ports は、ポートとプロトコルに基づいてトラフィックを照合するために使用できます。このフィールドは、このポリシーのために (つまりポリシーの対象として) 選択された Pod で一致する必要があるポートのリストです。これは、Ingress トラフィックの宛先ポートと一致します。ports が設定されていない場合、ルールはポート経由のトラフィックをフィルタリングしません。

サポート: Core

ports[]

object

AdminNetworkPolicyPort は、Pod 上のネットワークポートの選択方法を記述します。必ず 1 つのフィールドを設定する必要があります。

namespaces

object

namespaces は、一連の namespace 内のすべての Pod を選択する方法を定義します。ホストネットワーク化された Pod はこのタイプのピアには含まれないことに注意してください。

サポート: Core

pods

object

Pods は、namespace セット内の Pod セットを選択する方法を定義します。ホストネットワーク化された Pod はこのタイプのピアには含まれないことに注意してください。

サポート: Core

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

values

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

namespaceSelector

object

NamespaceSelector は標準のラベルセレクターのセマンティクスに従います。空の場合は、すべての namespace が選択されます。

podSelector

object

PodSelector は、namespace 内の Pod を明示的に選択するために使用されます。空の場合、すべての Pod が選択されます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

values

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

values

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

namedPort

string

NamedPort は、名前に基づいて Pod 上のポートを選択します。

サポート: Extended

<network-policy-api:experimental>

portNumber

object

ポートは番号に基づいて Pod 上のポートを選択します。

サポート: Core

portRange

object

PortRange は、指定された開始値と終了値に基づいて Pod 上のポート範囲を選択します。

サポート: Core

port

integer

この数値はネットワークポート値を定義します。

サポート: Core

protocol

string

protocol は、トラフィックが一致する必要があるネットワークプロトコル (TCP、UDP、または SCTP) です。指定しない場合、このフィールドのデフォルトは TCP です。

サポート: Core

end

integer

end はポート範囲の終了となるネットワークポートを定義します。end の値には start の値より大きい数値を指定する必要があります。

サポート: Core

protocol

string

protocol は、トラフィックが一致する必要があるネットワークプロトコル (TCP、UDP、または SCTP) です。指定しない場合、このフィールドのデフォルトは TCP です。

サポート: Core

start

integer

start はポート範囲の開始となるネットワークポートを定義します。start の値には end の値より大きい数値を指定する必要があります。

サポート: Core

namespaces

object

namespaces は、namespace セレクターを介して Pod を選択するために使用されます。

pods

object

pods は、namespace および Pod セレクターを介して Pod を選択するために使用されます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

values

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

namespaceSelector

object

NamespaceSelector は標準のラベルセレクターのセマンティクスに従います。空の場合は、すべての namespace が選択されます。

podSelector

object

PodSelector は、namespace 内の Pod を明示的に選択するために使用されます。空の場合、すべての Pod が選択されます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

values

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

values

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

conditions

array

conditions[]

object

条件には、この API リソースの現在の状態の 1 つの側面の詳細が含まれています。--- この構造体は、フィールドパスの .status.conditions で配列として直接使用することを目的としています。以下に例を示します。

たとえば、次のように入力します。FooStatus struct{ // Represents the observations of a foo’s current state. // Known .status.conditions.type are: "Available", "Progressing", and "Degraded" // +patchMergeKey=type // +patchStrategy=merge // +listType=map // +listMapKey=type Conditions []metav1.Condition json:"conditions,omitempty" patchStrategy:"merge" patchMergeKey:"type" protobuf:"bytes,1,rep,name=conditions"

// other fields }

lastTransitionTime

string

lastTransitionTime は、ある状態から別の状態に最後に遷移した時間です。これは、基本的な条件が変更された時点となります。不明な場合には、API フィールドが変更された時点を使用することも可能です。

message

string

message は、遷移の詳細を示す人が判読できるメッセージです。空の文字列の場合もあります。

observedGeneration

integer

observedGeneration は、それをベースに条件が設定された .metadata.generation を表します。たとえば、.metadata.generation が現在 12 で、.status.conditions[x].observedGeneration が 9 の場合、インスタンスの現在の状態に対して条件が古くなっています。

reason

string

reason には、条件の最後の遷移の理由を示すプログラムによる識別子が含まれます。特定の条件タイプのプロデューサーは、このフィールドの期待値と意味、および値が保証された API と見なされるかどうかを定義できます。値は CamelCase 文字列である必要があります。このフィールドには空白を指定できません。

status

string

条件のステータス、True、False、Unknown のいずれか。

type

string

CamelCase または foo.example.com/CamelCase の条件のタイプ。--- 多くの.condition.type 値は、Available などのリソース全体で一貫していますが、任意の条件が役立つ可能性があるため (.node.status.conditions を参照)、競合を解消する機能が重要です。一致する正規表現は (dns1123SubdomainFmt/)?(qualifiedNameFmt) です。