2.4. AdminNetworkPolicy の Egress ノードとネットワークピア
このセクションでは、nodes
と networks
のピアを説明します。管理者は、このセクションの例を使用して、クラスター内のノースバウンドトラフィックを制御するための AdminNetworkPolicy
と BaselineAdminNetworkPolicy
を設計できます。
2.4.1. AdminNetworkPolicy および BaselineAdminNetworkPolicy のノースバウンドトラフィック制御 リンクのコピーリンクがクリップボードにコピーされました!
ANP と BANP では、East-West トラフィック制御のサポートに加えて、管理者がクラスターから出るノースバウンドトラフィックや、ノードからクラスター内の他のノードに向かうトラフィックを制御することもできます。エンドユーザーは次のことができます。
-
nodes
Egress ピアを使用してクラスターノードへの Egress トラフィック制御を実装する -
nodes
またはnetworks
の Egress ピアを使用して Kubernetes API サーバーへの Egress トラフィック制御を実装する -
networks
ピアを使用してクラスター外の外部宛先への Egress トラフィック制御を実装する
ANP および BANP の場合、nodes
と networks
のピアは Egress ルールに対してのみ指定できます。
2.4.1.1. ノードピアを使用してクラスターノードへの Egress トラフィックを制御する リンクのコピーリンクがクリップボードにコピーされました!
nodes
ピアを使用すると、管理者は Pod からクラスター内のノードへの Egress トラフィックを制御できます。この利点は、クラスターにノードを追加したり、クラスターからノードを削除したりするときにポリシーを変更する必要がないことです。
次の例では、ノードセレクターピアを使用して、restricted
、confidential
、または internal
レベルのセキュリティーを持つ任意の namespace によるポート 6443
上の Kubernetes API サーバーへの Egress トラフィックを許可します。また、セキュリティーレベルが restricted
、confidential
、または internal
のいずれかである namespace からクラスター内のすべてのワーカーノードへのトラフィックも拒否します。
例2.8 nodes
ピアを使用した ANP Allow
Egress の例
2.4.1.2. ネットワークピアを使用して外部の宛先への Egress トラフィックを制御する リンクのコピーリンクがクリップボードにコピーされました!
クラスター管理者は、networks
ピアで CIDR 範囲を使用し、Pod から networks
フィールドで指定された CIDR 範囲内の IP アドレスで設定された宛先に送信される Egress トラフィックを制御するポリシーを適用できます。
以下の例では、networks
ピアを使用し、ANP ポリシーと BANP ポリシーを組み合わせて出力トラフィックを制限します。
ANP および BANP の namespace
フィールドで空のセレクター ({}) を使用する場合は注意が必要です。空のセレクターを使用する場合は、OpenShift namespace も選択します。
ANP または BANP Deny
ルールで 0.0.0.0/0
の値を使用する場合は、Deny
を 0.0.0.0/0
に設定する前に、必要な宛先に優先度の高い ANP Allow
ルールを設定する必要があります。
例2.9 networks
ピアを使用した ANP と BANP の例
network-as-egress-peer
ANP と、networks
ピアを使用する default
の BANP を組み合わせると、次の Egress ポリシーが適用されます。
- すべての Pod が、リストされた IP アドレスの外部 DNS サーバーと通信できない。
- すべての Pod が、会社のイントラネットの残りの部分と通信できる。
- すべての Pod が、他の Pod、ノード、およびサービスと通信できる。
-
どの Pod もインターネットと通信できない。最後の ANP
Pass
ルールと強力な BANPDeny
ルールを組み合わせることで、クラスター内のトラフィックを保護するガードレールポリシーが作成されます。
2.4.1.3. ノードピアとネットワークピアを一緒に使用する リンクのコピーリンクがクリップボードにコピーされました!
クラスター管理者は、ANP および BANP ポリシーで nodes
と networks
ピアを組み合わせることができます。
例2.10 nodes
と networks
ピアの例