第3章 インストール後のネットワーク設定

• すべてのトラフィックを拒否します。

  プロジェクトに deny by default (デフォルトで拒否) を実行させるには、すべての Pod に一致するが、トラフィックを一切許可しない NetworkPolicy オブジェクトを追加します。

  kind: NetworkPolicy
  apiVersion: networking.k8s.io/v1
  metadata:
    name: deny-by-default
  spec:
    podSelector:
    ingress: []

• OpenShift Container Platform Ingress コントローラーからの接続のみを許可します。

  プロジェクトで OpenShift Container Platform Ingress コントローラーからの接続のみを許可するには、以下の NetworkPolicy オブジェクトを追加します。

  重要

  OVN-Kubernetes ネットワークプロバイダープラグインの場合、Ingress コントローラーが HostNetwork エンドポイント公開ストラテジーを使用するように設定されている場合、Ingress トラフィックが許可され、他のすべてのトラフィックが拒否されるようにネットワークポリシーを適用するための方法はサポートされていません。

  apiVersion: networking.k8s.io/v1
  kind: NetworkPolicy
  metadata:
    name: allow-from-openshift-ingress
  spec:
    ingress:
    - from:
      - namespaceSelector:
          matchLabels:
            network.openshift.io/policy-group: ingress
    podSelector: {}
    policyTypes:
    - Ingress

  Ingress コントローラーが endpointPublishingStrategy: HostNetwork で設定されている場合、Ingress コントローラー Pod はホストネットワーク上で実行されます。ホストネットワーク上で実行されている場合、Ingress コントローラーからのトラフィックに netid:0 Virtual Network ID (VNID) が割り当てられます。Ingress Operator に関連付けられる namespace の netid は異なるため、allow-from-openshift-ingress ネットワークポリシーの matchLabel は default Ingress コントローラーからのトラフィックに一致しません。OpenShift SDN では、default namespace に netid:0 VNID が割り当てられるため、default namespace に network.openshift.io/policy-group: ingress でラベルを付けて、default Ingress コントローラーからのトラフィックを許可できます。

• プロジェクト内の Pod からの接続のみを受け入れます。

  Pod が同じプロジェクト内の他の Pod からの接続を受け入れるが、他のプロジェクトの Pod からの接続を拒否するように設定するには、以下の NetworkPolicy オブジェクトを追加します。

  kind: NetworkPolicy
  apiVersion: networking.k8s.io/v1
  metadata:
    name: allow-same-namespace
  spec:
    podSelector:
    ingress:
    - from:
      - podSelector: {}

• Pod ラベルに基づいて HTTP および HTTPS トラフィックのみを許可します。

  特定のラベル (以下の例の role=frontend) の付いた Pod への HTTP および HTTPS アクセスのみを有効にするには、以下と同様の NetworkPolicy オブジェクトを追加します。

  kind: NetworkPolicy
  apiVersion: networking.k8s.io/v1
  metadata:
    name: allow-http-and-https
  spec:
    podSelector:
      matchLabels:
        role: frontend
    ingress:
    - ports:
      - protocol: TCP
        port: 80
      - protocol: TCP
        port: 443

• namespace および Pod セレクターの両方を使用して接続を受け入れます。

  namespace と Pod セレクターを組み合わせてネットワークトラフィックのマッチングをするには、以下と同様の NetworkPolicy オブジェクトを使用できます。

  kind: NetworkPolicy
  apiVersion: networking.k8s.io/v1
  metadata:
    name: allow-pod-and-namespace-both
  spec:
    podSelector:
      matchLabels:
        name: test-pods
    ingress:
      - from:
        - namespaceSelector:
            matchLabels:
              project: project_name
          podSelector:
            matchLabels:
              name: test-pods

前提条件

• クラスターは、NetworkPolicy オブジェクトをサポートするクラスターネットワークプロバイダーを使用している (例: mode: NetworkPolicy が設定された OpenShift SDN ネットワークプロバイダー)。このモードは OpenShiftSDN のデフォルトです。
• OpenShift CLI (oc) がインストールされている。
• admin 権限を持つユーザーとしてクラスターにログインしている。
• ネットワークポリシーが適用される namespace で作業している。

前提条件

• クラスターは、NetworkPolicy オブジェクトをサポートするクラスターネットワークプロバイダーを使用している (例: mode: NetworkPolicy が設定された OpenShift SDN ネットワークプロバイダー)。このモードは OpenShiftSDN のデフォルトです。
• OpenShift CLI (oc) がインストールされている。
• admin 権限を持つユーザーとしてクラスターにログインしている。
• ネットワークポリシーが存在する namespace で作業している。

手順

• NetworkPolicy オブジェクトを削除するには、以下のコマンドを入力します。

  $ oc delete networkpolicy <policy_name> -n <namespace>

  ここでは、以下のようになります。

  <policy_name>

  ネットワークポリシーの名前を指定します。

  <namespace>

  オプション: オブジェクトが現在の namespace 以外の namespace に定義されている場合は namespace を指定します。

  出力例

  networkpolicy.networking.k8s.io/allow-same-namespace deleted

前提条件

• OpenShift CLI (oc) がインストールされている。
• admin 権限を持つユーザーとしてクラスターにログインしている。
• ネットワークポリシーが存在する namespace で作業している。

手順

• namespace のネットワークポリシーを一覧表示します。

  • namespace で定義された NetworkPolicy オブジェクトを表示するには、以下のコマンドを実行します。

    $ oc get networkpolicy

  • オプション: 特定のネットワークポリシーを検査するには、以下のコマンドを入力します。

    $ oc describe networkpolicy <policy_name> -n <namespace>

    ここでは、以下のようになります。

    <policy_name>

    検査するネットワークポリシーの名前を指定します。

    <namespace>

    オプション: オブジェクトが現在の namespace 以外の namespace に定義されている場合は namespace を指定します。

    以下に例を示します。

    $ oc describe networkpolicy allow-same-namespace

    oc describe コマンドの出力

    Name:         allow-same-namespace
    Namespace:    ns1
    Created on:   2021-05-24 22:28:56 -0400 EDT
    Labels:       <none>
    Annotations:  <none>
    Spec:
      PodSelector:     <none> (Allowing the specific traffic to all pods in this namespace)
      Allowing ingress traffic:
        To Port: <any> (traffic allowed to all ports)
        From:
          PodSelector: <none>
      Not affecting egress traffic
      Policy Types: Ingress

前提条件

• クラスターは、NetworkPolicy オブジェクトをサポートするクラスターネットワークプロバイダーを使用している (例: mode: NetworkPolicy が設定された OpenShift SDN ネットワークプロバイダー)。このモードは OpenShiftSDN のデフォルトです。
• OpenShift CLI (oc) がインストールされている。
• admin 権限を持つユーザーとしてクラスターにログインしている。