ネットワーク

手順

1. ポリシールールを作成します。

   1. <policy-name>.yaml ファイルを作成します。<policy-name> はポリシールールを記述します。

   2. 作成したばかりのファイルで、以下の例のようなポリシーオブジェクトを定義します。

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: <policy-name> 

      1

      
      spec:
        podSelector:
        ingress: []

      Copy to Clipboard Toggle word wrap

      1

      ポリシーオブジェクトの名前を指定します。

2. 以下のコマンドを実行してポリシーオブジェクトを作成します。

   $ oc create -f <policy-name>.yaml -n <project>

   Copy to Clipboard Toggle word wrap

   以下の例では、新規 NetworkPolicy オブジェクトが project1 という名前のプロジェクトに作成されます。

   $ oc create -f default-deny.yaml -n project1

   Copy to Clipboard Toggle word wrap

   出力例

   networkpolicy "default-deny" created

   Copy to Clipboard Toggle word wrap

手順

1. オプション: 現在の NetworkPolicy オブジェクトを一覧表示します。

   1. 特定の namespace のポリシーオブジェクトを一覧表示するには、以下のコマンドを入力します。<namespace> をプロジェクトの namespace に置き換えます。

      $ oc get networkpolicy -n <namespace>

      Copy to Clipboard Toggle word wrap

   2. クラスター全体についてのポリシーオブジェクトを一覧表示するには、以下のコマンドを入力します。

      $ oc get networkpolicy --all-namespaces

      Copy to Clipboard Toggle word wrap

2. NetworkPolicy オブジェクトを編集します。

   1. NetworkPolicy をファイルに保存した場合は、ファイルを編集して必要な変更を加えてから、以下のコマンドを入力します。<policy-file> を、オブジェクト定義が含まれるファイルの名前に置き換えます。

      $ oc apply -f <policy-file>.yaml

      Copy to Clipboard Toggle word wrap

   2. NetworkPolicy オブジェクトを直接更新する必要がある場合、以下のコマンドを入力できます。<policy-name> を NetworkPolicy オブジェクトの名前に置き換え、<namespace> をオブジェクトが存在するプロジェクトの名前に置き換えます。

      $ oc edit <policy-name> -n <namespace>

      Copy to Clipboard Toggle word wrap

3. NetworkPolicy オブジェクトが更新されていることを確認します。<namespace> をオブジェクトが存在するプロジェクトの名前に置き換えます。

   $ oc get networkpolicy -n <namespace> -o yaml

   Copy to Clipboard Toggle word wrap

手順

1. cluster-admin 権限を持つユーザーとしてのログイン。

2. デフォルトのプロジェクトテンプレートを生成します。

   $ oc adm create-bootstrap-project-template -o yaml > template.yaml

   Copy to Clipboard Toggle word wrap
3. オブジェクトを追加するか、または既存オブジェクトを変更することにより、テキストエディターで生成される template.yaml ファイルを変更します。

4. プロジェクトテンプレートは、openshift-config namespace に作成される必要があります。変更したテンプレートを読み込みます。

   $ oc create -f template.yaml -n openshift-config

   Copy to Clipboard Toggle word wrap

5. Web コンソールまたは CLI を使用し、プロジェクト設定リソースを編集します。

   • Web コンソールの使用

     1. Administration → Cluster Settings ページに移動します。
     2. Global Configuration をクリックし、すべての設定リソースを表示します。
     3. Project のエントリーを見つけ、Edit YAML をクリックします。

   • CLI の使用

     1. project.config.openshift.io/cluster リソースを編集します。

        $ oc edit project.config.openshift.io/cluster

        Copy to Clipboard Toggle word wrap

6. spec セクションを、projectRequestTemplate および name パラメーターを組み込むように更新し、アップロードされたプロジェクトテンプレートの名前を設定します。デフォルト名は project-request です。

   カスタムプロジェクトテンプレートを含むプロジェクト設定リソース

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
     ...
   spec:
     projectRequestTemplate:
       name: <template_name>

   Copy to Clipboard Toggle word wrap

7. 変更を保存した後、変更が正常に適用されたことを確認するために、新しいプロジェクトを作成します。

手順

1. 以下のコマンドを実行して、新規プロジェクトのデフォルトテンプレートを編集します。

   $ oc edit template <project_template> -n openshift-config

   Copy to Clipboard Toggle word wrap

   <project_template> を、クラスターに設定したデフォルトテンプレートの名前に置き換えます。デフォルトのテンプレート名は project-request です。

2. テンプレートでは、各 NetworkPolicy オブジェクトを要素として objects パラメーターに追加します。objects パラメーターは、1 つ以上のオブジェクトのコレクションを受け入れます。

   以下の例では、objects パラメーターのコレクションにいくつかの NetworkPolicy オブジェクトが含まれます。

   objects:
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-same-namespace
     spec:
       podSelector:
       ingress:
       - from:
         - podSelector: {}
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-openshift-ingress
     spec:
       ingress:
       - from:
         - namespaceSelector:
             matchLabels:
               network.openshift.io/policy-group: ingress
       podSelector: {}
       policyTypes:
       - Ingress
   ...

   Copy to Clipboard Toggle word wrap

3. オプション: 以下のコマンドを実行して、新規プロジェクトを作成し、ネットワークポリシーオブジェクトが正常に作成されることを確認します。

   1. 新規プロジェクトを作成します。

      $ oc new-project <project> 

      1

      Copy to Clipboard Toggle word wrap

      1

      <project> を、作成しているプロジェクトの名前に置き換えます。

   2. 新規プロジェクトテンプレートのネットワークポリシーオブジェクトが新規プロジェクトに存在することを確認します。

      $ oc get networkpolicy
      NAME                           POD-SELECTOR   AGE
      allow-from-openshift-ingress   <none>         7s
      allow-from-same-namespace      <none>         7s

      Copy to Clipboard Toggle word wrap

手順

1. 以下の NetworkPolicy オブジェクトを作成します。

   1. allow-from-openshift-ingress という名前のポリシー:

      $ cat << EOF| oc create -f -
      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-openshift-ingress
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                network.openshift.io/policy-group: ingress
        podSelector: {}
        policyTypes:
        - Ingress
      EOF

      Copy to Clipboard Toggle word wrap

   2. allow-from-openshift-monitoring という名前のポリシー。

      $ cat << EOF| oc create -f -
      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-openshift-monitoring
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                network.openshift.io/policy-group: monitoring
        podSelector: {}
        policyTypes:
        - Ingress
      EOF

      Copy to Clipboard Toggle word wrap

   3. allow-same-namespace という名前のポリシー：

      $ cat << EOF| oc create -f -
      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-same-namespace
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}
      EOF

      Copy to Clipboard Toggle word wrap

2. default Ingress コントローラー設定に spec.endpointPublishingStrategy: HostNetwork の値が設定されている場合、ラベルを default OpenShift Container Platform namespace に適用し、Ingress コントローラーとプロジェクト間のネットワークトラフィックを許可する必要があります。

   1. default Ingress コントローラーが HostNetwork エンドポイント公開ストラテジーを使用するかどうかを判別します。

      $ oc get --namespace openshift-ingress-operator ingresscontrollers/default \
        --output jsonpath='{.status.endpointPublishingStrategy.type}'

      Copy to Clipboard Toggle word wrap

   2. 直前のコマンドによりエンドポイント公開ストラテジーが HostNetworkとして報告される場合には、default namespace にラベルを設定します。

      $ oc label namespace default 'network.openshift.io/policy-group=ingress'

      Copy to Clipboard Toggle word wrap

3. 以下のコマンドを実行し、NetworkPolicy オブジェクトが現在のプロジェクトに存在することを確認します。

   $ oc get networkpolicy <policy-name> -o yaml

   Copy to Clipboard Toggle word wrap

   以下の例では、allow-from-openshift-ingress NetworkPolicy オブジェクトが表示されています。

   $ oc get -n project1 networkpolicy allow-from-openshift-ingress -o yaml

   Copy to Clipboard Toggle word wrap

   出力例

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: allow-from-openshift-ingress
     namespace: project1
   spec:
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             network.openshift.io/policy-group: ingress
     podSelector: {}
     policyTypes:
     - Ingress

   Copy to Clipboard Toggle word wrap

手順

1. アノテーションを Pod オブジェクトに追加します。以下のアノテーション形式のいずれかのみを使用できます。

   1. カスタマイズせずに追加ネットワークを割り当てるには、以下の形式でアノテーションを追加します。<network> を、Pod に関連付ける追加ネットワークの名前に置き換えます。

      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: <network>[,<network>,...] 

      1

      Copy to Clipboard Toggle word wrap

      1

      複数の追加ネットワークを指定するには、各ネットワークをカンマで区切ります。カンマの間にはスペースを入れないでください。同じ追加ネットワークを複数回指定した場合、Pod は複数のネットワークインターフェースをそのネットワークに割り当てます。

   2. カスタマイズして追加のネットワークを割り当てるには、以下の形式でアノテーションを追加します。

      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: |-
            [
              {
                "name": "<network>", 

      1

      
                "namespace": "<namespace>", 

      2

      
                "default-route": ["<default-route>"] 

      3

      
              }
            ]

      Copy to Clipboard Toggle word wrap

      1

      NetworkAttachmentDefinition CR によって定義される追加のネットワークの名前を指定します。

      2

      NetworkAttachmentDefinition CR が定義される namespace を指定します。

      3

      オプション: 192.168.17.1 などのデフォルトルートのオーバーライドを指定します。

2. Pod を作成するには、以下のコマンドを入力します。<name> を Pod の名前に置き換えます。

   $ oc create -f <name>.yaml

   Copy to Clipboard Toggle word wrap

3. オプション: アノテーションが Pod CR に存在することを確認するには、<name> を Pod の名前に置き換えて、以下のコマンドを入力します。

   $ oc get pod <name> -o yaml

   Copy to Clipboard Toggle word wrap

   以下の例では、example-pod Pod が追加ネットワークの net1 に割り当てられています。

   $ oc get pod example-pod -o yaml
   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: macvlan-bridge
       k8s.v1.cni.cncf.io/networks-status: |- 

   1

   
         [{
             "name": "openshift-sdn",
             "interface": "eth0",
             "ips": [
                 "10.128.2.14"
             ],
             "default": true,
             "dns": {}
         },{
             "name": "macvlan-bridge",
             "interface": "net1",
             "ips": [
                 "20.2.2.100"
             ],
             "mac": "22:2f:60:a5:f8:00",
             "dns": {}
         }]
     name: example-pod
     namespace: default
   spec:
     ...
   status:
     ...

   Copy to Clipboard Toggle word wrap

   1

   k8s.v1.cni.cncf.io/networks-status パラメーターは、オブジェクトの JSON 配列です。各オブジェクトは、Pod に割り当てられる追加のネットワークのステータスについて説明します。アノテーションの値はプレーンテキストの値として保存されます。

1. 以下のコマンドを実行して Pod リソース定義を編集します。<name> を、編集する Pod の名前に置き換えます。

   $ oc edit pod <name>

   Copy to Clipboard Toggle word wrap

2. 以下のアクションのいずれかを実行して、Pod から追加のネットワークを削除するように annotations マッピングを更新します。

   • Pod からすべての追加ネットワークを削除するには、以下の例にあるように Pod リソース定義から k8s.v1.cni.cncf.io/networks パラメーターを削除します。

     apiVersion: v1
     kind: Pod
     metadata:
       name: example-pod
       annotations: {}
     spec:
       containers:
       - name: example-pod
         command: ["/bin/bash", "-c", "sleep 2000000000000"]
         image: centos/tools

     Copy to Clipboard Toggle word wrap
   • Pod から特定の追加ネットワークを削除するには、追加ネットワークの NetworkAttachmentDefinition の名前を削除して k8s.v1.cni.cncf.io/networks パラメーターを更新します。

3. オプション: 以下のコマンドを実行して、Pod が追加のネットワークに接続されていないことを確認します。<name> を Pod の名前に置き換えます。

   $ oc describe pod <name>

   Copy to Clipboard Toggle word wrap

   以下の例では、example-pod Pod はデフォルトのクラスターネットワークのみに割り当てられています。

   $ oc describe pod example-pod

   Copy to Clipboard Toggle word wrap

   出力例

   Name:               example-pod
   ...
   Annotations:        k8s.v1.cni.cncf.io/networks-status:
                         [{
                             "name": "openshift-sdn",
                             "interface": "eth0",
                             "ips": [
                                 "10.131.0.13"
                             ],
                             "default": true, 

   1

   
                             "dns": {}
                         }]
   Status:             Running
   ...

   Copy to Clipboard Toggle word wrap

   1

   デフォルトのクラスターネットワークのみが Pod に割り当てられます。

1. 以下のコマンドを実行して CNO CR を編集します。

   $ oc edit networks.operator.openshift.io cluster

   Copy to Clipboard Toggle word wrap

2. 以下のサンプル CR のように、作成される追加ネットワークの設定を追加して、作成している CR を変更します。

   以下の YAML はブリッジ CNI プラグインを設定します。

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 

   1

   
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "name": "test-network-1",
         "type": "bridge",
         "ipam": {
           "type": "static",
           "addresses": [
             {
               "address": "191.168.1.7"
             }
           ]
         }
       }'

   Copy to Clipboard Toggle word wrap

   1

   追加ネットワーク割り当て定義の設定を指定します。

3. 変更を保存し、テキストエディターを終了して、変更をコミットします。

4. オプション: 以下のコマンドを実行して、CNO が NetworkAttachmentDefinition CR を作成していることを確認します。CNO が CR を作成するまでに遅延が生じる可能性があります。

   $ oc get network-attachment-definitions -n <namespace>

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                 AGE
   test-network-1       14m

   Copy to Clipboard Toggle word wrap

1. 以下のコマンドを実行して CNO CR を編集します。

   $ oc edit networks.operator.openshift.io cluster

   Copy to Clipboard Toggle word wrap

2. 以下のサンプル CR のように、作成される追加ネットワークの設定を追加して、作成している CR を変更します。

   以下の YAML は、macvlan CNI プラグインを設定します。

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 

   1

   
     - name: test-network-1
       namespace: test-1
       type: SimpleMacvlan
       simpleMacvlanConfig:
         ipamConfig:
           type: static
           staticIPAMConfig:
             addresses:
             - address: 10.1.1.7

   Copy to Clipboard Toggle word wrap

   1

   追加ネットワーク割り当て定義の設定を指定します。

3. 変更を保存し、テキストエディターを終了して、変更をコミットします。

4. オプション: 以下のコマンドを実行して、CNO が NetworkAttachmentDefinition CR を作成していることを確認します。CNO が CR を作成するまでに遅延が生じる可能性があります。

   $ oc get network-attachment-definitions -n <namespace>

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                 AGE
   test-network-1       14m

   Copy to Clipboard Toggle word wrap