第2章 AdminNetworkPolicy [policy.networking.k8s.io/v1alpha1]

egress

array

Egress は、選択した Pod に適用される Egress ルールのリストです。各 ANP インスタンスで、合計 100 個のルールが許可されます。単一の ANP オブジェクト内の egress ルールの相対的な優先順位（すべて優先度を共有しているもの）は、ルールが書き込まれる順序によって決定されます。そのため、egress ルールの上部に表示されるルールが最も優先されます。egress ルールのない ANP は、egress トラフィックには影響しません。

サポート：Core

egress[]

object

AdminNetworkPolicyEgressRule は、AdminNetworkPolicy の Subject フィールドによって選択された Pod から発信される特定のトラフィックセットに対して実行するアクションを記述します。<network-policy-api:experimental:validation>

ingress

array

Ingress は、選択された Pod に適用される Ingress ルールのリストです。各 ANP インスタンスで、合計 100 個のルールが許可されます。単一の ANP オブジェクト（優先度を共有するすべて）内の Ingress ルールの相対的な優先順位は、ルールが書き込まれる順序によって決定されます。そのため、Ingress ルールの上部に表示されるルールが最も優先されます。イングレスルールのない ANP は、ingress トラフィックには影響しません。

サポート：Core

ingress[]

object

AdminNetworkPolicyIngressRule は、AdminNetworkPolicy の Subject フィールドで選択された Pod について宛先が指定された特定のトラフィックセットに対して実行するアクションを記述します。

priority

integer

priority は 0 から 1000 までの値です。優先度の値が低いルールの優先順位が高く、優先度の高い値を持つルールの前にチェックされます。すべての AdminNetworkPolicy ルールは NetworkPolicy または BaselineAdminNetworkPolicy ルールよりも優先されます。2 つの ANP オブジェクトの優先順位が同じ場合、動作は未定義です。

サポート：Core

サブジェクト (subject)

object

Subject は、この AdminNetworkPolicy が適用される Pod を定義します。ホストネットワーク Pod はサブジェクトの選択に含まれないことに注意してください。

サポート：Core

action

string

action は、このルールが一致するトラフィックに対する影響を指定します。現在、Allow: Allow: 選択したトラフィックを許可します（これが NetworkPolicy によって拒否される場合でも）Deny: 選択したトラフィックに、残りの ANP ルールをスキップするよう指示し、次に Pod を選択する任意の NetworkPolicies に実行を渡します。Pod が NetworkPolicies で選択されていない場合、実行は Pod を選択する任意の BaselineAdminNetworkPolicies に渡されます。

サポート：Core

name

string

name は、長さが 100 文字以下である可能性があるこのルールの識別子です。このフィールドは、適用された AdminNetworkPolicies の可観測性、読みやすさ、エラー報告を向上させるために、実装で使用する必要があります。

サポート：Core

ports

array

ポートを使用すると、ポートとプロトコルに基づいてトラフィックを照合できます。このフィールドは、送信エグレストラフィックの宛先ポートのリストです。Ports が設定されていない場合、ルールはポート経由のトラフィックをフィルタリングしません。

サポート：Core

ports[]

object

AdminNetworkPolicyPort は、Pod でネットワークポートを選択する方法を説明します。必ず 1 つのフィールドを設定する必要があります。

to

array

To は、このルールが適用されるトラフィックの一覧です。AdminNetworkPolicyEgressPeer が送信トラフィックの宛先と一致する場合、指定されたアクションが適用されます。このフィールドは、1 つ以上の項目を含めて定義する必要があります。

サポート：Core

to[]

object

AdminNetworkPolicyEgressPeer は、トラフィックを許可するピアを定義します。指定のピアに対して、セレクターポインターのいずれかを設定する必要があります。コンシューマーがどのフィールドも設定されていないことを確認する場合、不明なオプションが指定されており、失敗していると想定する必要があります。

namedPort

string

NamedPort は、名前に基づいて Pod のポートを選択します。

Support: Extended

<network-policy-api:experimental>

portNumber

object

Port は、数値に基づいて Pod のポートを選択します。

サポート：Core

portRange

object

PortRange は、指定された開始値と終了値に基づいて Pod のポート範囲を選択します。

サポート：Core

port

integer

番号はネットワークポートの値を定義します。

サポート：Core

protocol

string

protocol は、トラフィックが一致する必要があるネットワークプロトコル(TCP、UDP、または SCTP)です。指定しない場合、このフィールドのデフォルトは TCP です。

サポート：Core

end

integer

end は、ポート範囲の最後であるネットワークポートを定義し、End の値は Start よりも大きくなければなりません。

サポート：Core

protocol

string

protocol は、トラフィックが一致する必要があるネットワークプロトコル(TCP、UDP、または SCTP)です。指定しない場合、このフィールドのデフォルトは TCP です。

サポート：Core

start

integer

start は、ポート範囲の開始点であるネットワークポートを定義します。Start の値は End 未満でなければなりません。

サポート：Core

namespaces

object

Namespace は、一連の名前空間内ですべての Pod を選択する方法を定義します。ホストネットワーク Pod は、このタイプのピアには含まれていないことに注意してください。

サポート：Core

networks

array (string)

ネットワークは、CIDR ブロックを介してピアを選択する方法を定義します。これは、Pod、namespace、およびノードのピアによって選択できない、クラスターの外部に存在するエンティティーを表すことを目的としていますが、クラスター内のトラフィックがルールに対してもチェックされることに注意してください。したがって、すべての IPv4 Pod へのトラフィックも許可または拒否する 0.0.0.0/0 へのトラフィックを許可または拒否する場合。これが必要ない場合は、Network ルールの前にすべての Pod トラフィックを渡すルールを追加します。

ネットワークの各項目は CIDR 形式で提供する必要があり、IPv4 または IPv6 である必要があります（例："10.0.0.0/8" または "fd00::/8"）。

ネットワークには最大 25 個の CIDR を指定することができます。

Support: Extended

<network-policy-api:experimental>

nodes

object

ノードは、クラスター内のノードセットを選択する方法を定義します。このフィールドは、標準のラベルセレクターセマンティクスに従います。存在するが空の場合、すべてのノードが選択されます。

Support: Extended

<network-policy-api:experimental>

pods

object

Pod は、namespace のセットで一連の Pod を選択する方法を定義します。ホストネットワーク Pod は、このタイプのピアには含まれていないことに注意してください。

サポート：Core

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

値

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

値

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

namespaceSelector

object

NamespaceSelector は、標準のラベルセレクターセマンティクスに従います。空の場合は、すべての名前空間を選択します。

podSelector

object

podSelector は、namespace 内で Pod を明示的に選択するために使用されます。空の場合、すべての Pod を選択します。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

値

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

値

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

action

string

action は、このルールが一致するトラフィックに対する影響を指定します。現在、Allow: Allow: 選択したトラフィックを許可します（これが NetworkPolicy によって拒否される場合でも）Deny: 選択したトラフィックに、残りの ANP ルールをスキップするよう指示し、次に Pod を選択する任意の NetworkPolicies に実行を渡します。Pod が NetworkPolicies で選択されていない場合、実行は Pod を選択する任意の BaselineAdminNetworkPolicies に渡されます。

サポート：Core

from

array

from は、このルールが適用されるトラフィックを持つソースのリストです。AdminNetworkPolicyIngressPeer が着信トラフィックのソースと一致する場合は、指定されたアクションが適用されます。このフィールドは、1 つ以上の項目を含めて定義する必要があります。

サポート：Core

from[]

object

AdminNetworkPolicyIngressPeer は、トラフィックを許可するクラスター内のピアを定義します。指定のピアに対して、セレクターポインターのいずれかを設定する必要があります。コンシューマーがどのフィールドも設定されていないことを確認する場合、不明なオプションが指定されており、失敗していると想定する必要があります。

name

string

name は、長さが 100 文字以下である可能性があるこのルールの識別子です。このフィールドは、適用された AdminNetworkPolicies の可観測性、読みやすさ、エラー報告を向上させるために、実装で使用する必要があります。

サポート：Core

ports

array

ポートを使用すると、ポートとプロトコルに基づいてトラフィックを照合できます。このフィールドは、このポリシー用に選択された Pod で一致する必要があるポートの一覧（つまりポリシーの件名）です。したがって、Ingress トラフィックの宛先ポートで一致します。Ports が設定されていない場合、ルールはポート経由のトラフィックをフィルタリングしません。

サポート：Core

ports[]

object

AdminNetworkPolicyPort は、Pod でネットワークポートを選択する方法を説明します。必ず 1 つのフィールドを設定する必要があります。

namespaces

object

Namespace は、一連の名前空間内ですべての Pod を選択する方法を定義します。ホストネットワーク Pod は、このタイプのピアには含まれていないことに注意してください。

サポート：Core

pods

object

Pod は、namespace のセットで一連の Pod を選択する方法を定義します。ホストネットワーク Pod は、このタイプのピアには含まれていないことに注意してください。

サポート：Core

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

値

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

namespaceSelector

object

NamespaceSelector は、標準のラベルセレクターセマンティクスに従います。空の場合は、すべての名前空間を選択します。

podSelector

object

podSelector は、namespace 内で Pod を明示的に選択するために使用されます。空の場合、すべての Pod を選択します。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

値

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

値

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

namedPort

string

NamedPort は、名前に基づいて Pod のポートを選択します。

Support: Extended

<network-policy-api:experimental>

portNumber

object

Port は、数値に基づいて Pod のポートを選択します。

サポート：Core

portRange

object

PortRange は、指定された開始値と終了値に基づいて Pod のポート範囲を選択します。

サポート：Core

port

integer

番号はネットワークポートの値を定義します。

サポート：Core

protocol

string

protocol は、トラフィックが一致する必要があるネットワークプロトコル(TCP、UDP、または SCTP)です。指定しない場合、このフィールドのデフォルトは TCP です。

サポート：Core

end

integer

end は、ポート範囲の最後であるネットワークポートを定義し、End の値は Start よりも大きくなければなりません。

サポート：Core

protocol

string

protocol は、トラフィックが一致する必要があるネットワークプロトコル(TCP、UDP、または SCTP)です。指定しない場合、このフィールドのデフォルトは TCP です。

サポート：Core

start

integer

start は、ポート範囲の開始点であるネットワークポートを定義します。Start の値は End 未満でなければなりません。

サポート：Core

namespaces

object

namespace は、namespace セレクター経由で Pod を選択するために使用されます。

pods

object

Pod は、namespace と Pod セレクターを介して Pod を選択するために使用されます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

値

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

namespaceSelector

object

NamespaceSelector は、標準のラベルセレクターセマンティクスに従います。空の場合は、すべての名前空間を選択します。

podSelector

object

podSelector は、namespace 内で Pod を明示的に選択するために使用されます。空の場合、すべての Pod を選択します。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

値

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

matchExpressions

array

matchExpressions はラベルセレクターの要件のリストです。要件は AND で結合されます。

matchExpressions[]

object

ラベルセレクター要件は、値、キー、およびキーと値を関連付ける Operator を含むセレクターです。

matchLabels

object (string)

matchLabels は、{key,value} ペアのマップです。matchLabels マップの 1 つの {key,value} は matchExpressions の要素と同じで、キーフィールドには "key"、演算子には "In"、値配列には "value" のみが含まれます。要件は AND で結合されます。

key

string

key は、セレクターの適用先のラベルキーです。

operator

string

operator はキーと値のセットの関係を表します。有効な演算子は In、NotIn、Exists、および DoesNotExist です。

値

array (string)

values は文字列値の配列です。operator が In または NotIn の場合には、values 配列を空白にできません。operator が Exists または DoesNotExist の場合には、values 配列は空白でなければなりません。この配列は、ストラテジーに基づいたマージパッチの適用中に置き換えられます。

conditions

array

conditions[]

object

条件には、この API リソースの現在の状態の 1 つの側面の詳細が含まれています。--- この構造体は、フィールドパス.status.conditions で配列として直接使用することを目的としています。以下に例を示します。

type FooStatus struct{ // は foo の現在の状態の監視値を表します。// Known .status.conditions.type は "Available"、"Progressing"、および "Degraded" // +patchMergeKey=type // +patchStrategy=merge // +listType=map // +listMapKey=type Conditions []metav1.Condition json:"conditions, omitempty" patchStrategy:"merge" patchMergeKey:"type" protobuf:"bytes,1,rep,name=conditions"

// other fields }

lastTransitionTime

string

lastTransitionTime は、ある状態から別の状態に最後に遷移した時間です。これは、基本的な条件が変更された時点となります。不明な場合には、API フィールドが変更された時点を使用することも可能です。

message

string

message は、遷移の詳細を示す人が判読できるメッセージです。空の文字列の場合もあります。

observedGeneration

integer

observedGeneration は、それをベースに条件が設定された .metadata.generation を表します。たとえば、.metadata.generation が現在 12 で、.status.conditions[x].observedGeneration が 9 の場合、インスタンスの現在の状態に対して条件が古くなっています。

reason

string

reason には、条件の最後の遷移の理由を示すプログラムによる識別子が含まれます。特定の条件タイプのプロデューサーは、このフィールドの期待値と意味、および値が保証された API と見なされるかどうかを定義できます。値は CamelCase 文字列である必要があります。このフィールドには空白を指定できません。

status

string

条件のステータス、True、False、Unknown のいずれか。

type

string

CamelCase または foo.example.com/CamelCase の条件のタイプ。--- 多くの.condition.type 値は、Available などのリソース全体で一貫していますが、任意の条件が役立つ可能性があるため (.node.status.conditions を参照)、競合を解消する機能が重要です。一致する正規表現は (dns1123SubdomainFmt/)?(qualifiedNameFmt) です。