7.3. ネットワークポリシー

手順

1. ポリシールールを作成します。

   1. <policy_name>.yaml ファイルを作成します。

      $ touch <policy_name>.yaml

      ここでは、以下のようになります。

      <policy_name>

      ネットワークポリシーファイル名を指定します。

   2. 作成したばかりのファイルで、以下の例のようなネットワークポリシーを定義します。

      すべての namespace のすべての Pod から Ingress を拒否します。

      これは基本的なポリシーであり、他のネットワークポリシーの設定によって許可されたクロス Pod トラフィック以外のすべてのクロス Pod ネットワーキングをブロックします。

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: deny-by-default
      spec:
        podSelector: {}
        policyTypes:
        - Ingress
        ingress: []

      同じ namespace のすべての Pod から Ingress を許可します。

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-same-namespace
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}

      特定の namespace から 1 つの Pod への上りトラフィックを許可する

      このポリシーは、namespace-y で実行されている Pod から pod-a というラベルの付いた Pod へのトラフィックを許可します。

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-traffic-pod
      spec:
        podSelector:
         matchLabels:
            pod: pod-a
        policyTypes:
        - Ingress
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                 kubernetes.io/metadata.name: namespace-y

2. ネットワークポリシーオブジェクトを作成するには、以下のコマンドを入力します。

   $ oc apply -f <policy_name>.yaml -n <namespace>

   ここでは、以下のようになります。

   <policy_name>

   ネットワークポリシーファイル名を指定します。

   <namespace>

   オプション: オブジェクトが現在の namespace 以外の namespace に定義されている場合は namespace を指定します。

   出力例

   networkpolicy.networking.k8s.io/deny-by-default created

手順

1. すべての namespace におけるすべての Pod からの Ingress を拒否する deny-by-default ポリシーを定義する次の YAML を作成します。YAML を deny-by-default.yaml ファイルに保存します。

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: deny-by-default
     namespace: default 1
   spec:
     podSelector: {} 2
     ingress: [] 3

   1

   namespace: default は、このポリシーを default namespace にデプロイします。

   2

   podSelector: は空です。これは、すべての Pod に一致することを意味します。したがって、ポリシーはデフォルト namespace のすべての Pod に適用されます。

   3

   指定された ingress ルールはありません。これにより、着信トラフィックがすべての Pod にドロップされます。

2. 次のコマンドを入力して、ポリシーを適用します。

   $ oc apply -f deny-by-default.yaml

   出力例

   networkpolicy.networking.k8s.io/deny-by-default created

手順

1. パブリックインターネットからのトラフィックが直接、またはロードバランサーを使用して Pod にアクセスできるようにするポリシーを作成します。YAML を web-allow-external.yaml ファイルに保存します。

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: web-allow-external
     namespace: default
   spec:
     policyTypes:
     - Ingress
     podSelector:
       matchLabels:
         app: web
     ingress:
       - {}

2. 次のコマンドを入力して、ポリシーを適用します。

   $ oc apply -f web-allow-external.yaml

   出力例

   networkpolicy.networking.k8s.io/web-allow-external created

   このポリシーは、次の図に示すように、外部トラフィックを含むすべてのリソースからのトラフィックを許可します。

手順

1. すべての namespace のすべての Pod から特定のアプリケーションへのトラフィックを許可するポリシーを作成します。YAML を web-allow-all-namespaces.yaml ファイルに保存します。

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: web-allow-all-namespaces
     namespace: default
   spec:
     podSelector:
       matchLabels:
         app: web 1
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector: {} 2

   1

   デフォルトの namespace の app:web Pod にのみポリシーを適用します。

   2

   すべての namespace のすべての Pod を選択します。

   注記

   デフォルトでは、namespaceSelector の指定を省略した場合、namespace は選択されません。つまり、ポリシーは、ネットワークポリシーがデプロイされている namespace からのトラフィックのみを許可します。

2. 次のコマンドを入力して、ポリシーを適用します。

   $ oc apply -f web-allow-all-namespaces.yaml

   出力例

   networkpolicy.networking.k8s.io/web-allow-all-namespaces created

検証

1. 次のコマンドを入力して、default namespace で Web サービスを開始します。

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

2. 次のコマンドを実行して、alpine イメージを secondary namespace にデプロイし、シェルを開始します。

   $ oc run test-$RANDOM --namespace=secondary --rm -i -t --image=alpine -- sh

3. シェルで次のコマンドを実行し、リクエストが許可されていることを確認します。

   # wget -qO- --timeout=2 http://web.default

   予想される出力

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>

手順

1. ラベルが purpose=production の特定の namespace 内にあるすべての Pod からのトラフィックを許可するポリシーを作成します。YAML を web-allow-prod.yaml ファイルに保存します。

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: web-allow-prod
     namespace: default
   spec:
     podSelector:
       matchLabels:
         app: web 1
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             purpose: production 2

   1

   デフォルトの namespace の app:web Pod にのみポリシーを適用します。

   2

   ラベルが purpose=production の namespace 内にある Pod のみにトラフィックを制限します。

2. 次のコマンドを入力して、ポリシーを適用します。

   $ oc apply -f web-allow-prod.yaml

   出力例

   networkpolicy.networking.k8s.io/web-allow-prod created

検証

1. 次のコマンドを入力して、default namespace で Web サービスを開始します。

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

2. 次のコマンドを実行して、prod namespace を作成します。

   $ oc create namespace prod

3. 次のコマンドを実行して、prod namespace にラベルを付けます。

   $ oc label namespace/prod purpose=production

4. 次のコマンドを実行して、dev namespace を作成します。

   $ oc create namespace dev

5. 次のコマンドを実行して、dev namespace にラベルを付けます。

   $ oc label namespace/dev purpose=testing

6. 次のコマンドを実行して、alpine イメージを dev namespace にデプロイし、シェルを開始します。

   $ oc run test-$RANDOM --namespace=dev --rm -i -t --image=alpine -- sh

7. シェルで次のコマンドを実行し、リクエストがブロックされていることを確認します。

   # wget -qO- --timeout=2 http://web.default

   予想される出力

   wget: download timed out

8. 次のコマンドを実行して、alpine イメージを prod namespace にデプロイし、シェルを開始します。

   $ oc run test-$RANDOM --namespace=prod --rm -i -t --image=alpine -- sh

9. シェルで次のコマンドを実行し、リクエストが許可されていることを確認します。

   # wget -qO- --timeout=2 http://web.default

   予想される出力

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>

手順

1. オプション: namespace のネットワークポリシーオブジェクトをリスト表示するには、以下のコマンドを入力します。

   $ oc get networkpolicy

   ここでは、以下のようになります。

   <namespace>

   オプション: オブジェクトが現在の namespace 以外の namespace に定義されている場合は namespace を指定します。

2. ネットワークポリシーオブジェクトを編集します。

   • ネットワークポリシーの定義をファイルに保存した場合は、ファイルを編集して必要な変更を加えてから、以下のコマンドを入力します。

     $ oc apply -n <namespace> -f <policy_file>.yaml

     ここでは、以下のようになります。

     <namespace>

     オプション: オブジェクトが現在の namespace 以外の namespace に定義されている場合は namespace を指定します。

     <policy_file>

     ネットワークポリシーを含むファイルの名前を指定します。

   • ネットワークポリシーオブジェクトを直接更新する必要がある場合、以下のコマンドを入力できます。

     $ oc edit networkpolicy <policy_name> -n <namespace>

     ここでは、以下のようになります。

     <policy_name>

     ネットワークポリシーの名前を指定します。

     <namespace>

     オプション: オブジェクトが現在の namespace 以外の namespace に定義されている場合は namespace を指定します。

3. ネットワークポリシーオブジェクトが更新されていることを確認します。

   $ oc describe networkpolicy <policy_name> -n <namespace>

   ここでは、以下のようになります。

   <policy_name>

   ネットワークポリシーの名前を指定します。

   <namespace>

   オプション: オブジェクトが現在の namespace 以外の namespace に定義されている場合は namespace を指定します。