Red Hat Summit Red Hat Summitサポートコンソール開発者トライアルの開始お問い合わせ

8.2. ネットワークグラフからのポリシーの生成について

Kubernetes ネットワークポリシーは、受信ネットワークトラフィックを受信する Pod と、送信トラフィックを送信する Pod を制御します。ネットワークポリシーを使用して Pod へのトラフィックを有効にし、無効にすることで、ネットワークの攻撃エリアを制限できます。

これらのネットワークポリシーは YAML 設定ファイルです。通常、ネットワークフローに関するインサイトを得て、手動でこれらのファイルを作成するのは困難です。RHACS を使用して、これらのファイルを生成できます。ネットワークポリシーを自動的に生成する場合、RHACS は次のガイドラインに従います。

  • RHACS は、namespace 内のデプロイメントごとに単一のネットワークポリシーを生成します。ポリシーの Pod セレクターは、デプロイメントの Pod セレクターです。

    • デプロイメントにすでにネットワークポリシーがある場合、RHACS は新しいポリシーを生成したり、既存のポリシーを削除したりしません。

      生成されたポリシーは、トラフィックを既存のデプロイメントに制限するだけです。

    • 後で作成するデプロイメントには、新しいネットワークポリシーを作成または生成しないかぎり、制限はありません。
    • 新しいデプロイメントでネットワークポリシーを使用してデプロイメントに接続する必要がある場合は、ネットワークポリシーを編集してアクセスを許可する必要があります。
  • 各ポリシーにはデプロイメント名と同じ名前が付けられ、その後に stackrox-generated- が付けられます。たとえば、生成されたネットワークポリシーのデプロイメント depABC のポリシー名は stackrox-generated-depABC です。生成されたすべてのポリシーには、識別ラベルもあります。

  • RHACS は、次の条件のいずれかが満たされる場合に、任意の IP アドレスからのトラフィックを許可する単一のルールを生成します。

    • デプロイメントに、選択した時間内にクラスターの外部からの受信接続がある場合
    • デプロイメントがノードポートまたはロードバランサーサービスを通じて公開される場合

  • RHACS は、受信接続が存在するデプロイメントごとに 1 つの ingress ルールを生成します。

    • デプロイメントが同じ namespace にある場合には、このルールは他のデプロイメントの Pod セレクターラベルを使用します。
    • デプロイメントが異なる namespace にある場合には、このルールは namespace セレクターを使用します。これを可能にするために、RHACS はラベル namespace.metadata.stackrox.io/name を各 namespace に自動的に追加します。
重要

スタンドアロン Pod にラベルがない場合には、生成されたポリシーは Pod の全体的な namespace からのトラフィックを許可します。

8.2.1. ネットワークグラフでのネットワークポリシーの生成
リンクのコピー

RHACS を使用すると、環境内で実際に監視されたネットワーク通信フローに基づいてネットワークポリシーを自動的に生成できます。

ネットワークグラフからネットワークポリシーを生成できます。

生成されたポリシーは、現在選択されているクラスター内に存在するすべてのデプロイメントに適用され、ベースライン検出期間中に確認されたすべてのネットワークトラフィックを許可します。

手順

  1. RHACS ポータルで、Network Graph に移動します。
  2. クラスターを選択し、1 つ以上の namespace を選択します。
  3. ネットワークグラフのヘッダーで、Simulate network policy を選択します。RHACS は、選択したクラスターに存在するすべてのデプロイメントのポリシーを生成します。
  4. オプション: ポートとプロトコルを RHACS 生成ポリシーの範囲に含めない場合は、開いた情報パネルで Exclude ports & protocols を選択します。
  5. Generate and simulate network policies を選択します。生成されたネットワークポリシー設定 YAML ファイルが同じパネルで開き、ネットワークグラフにポリシーの効果が表示されます。

8.2.2. 生成されたポリシーをネットワークグラフに保存する
リンクのコピー

生成されたネットワークポリシーを RHACS からダウンロードして保存できます。このオプションを使用してポリシーをダウンロードし、Git などのバージョン管理システムにポリシーをコミットできるようにします。

手順

  • ネットワークポリシーを生成した後、Network Policy Simulator パネルで Download YAML アイコンをクリックします。

8.2.3. 生成されたポリシーをネットワークグラフでテストする
リンクのコピー

RHACS が生成するネットワークポリシーをダウンロードした後、クラスターに適用してテストできます。

手順

  1. 保存した YAML ファイルを使用してポリシーを作成するには、次のコマンドを実行します。 

    $ oc create -f "<generated_file>.yml"
    1
    1
    Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

  2. 生成されたポリシーで問題が発生する場合は、以下のコマンドを実行してそのポリシーを削除できます。 

    $ oc delete -f "<generated_file>.yml"
    1
    1
    Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。
警告

ネットワークポリシーを直接適用すると、アプリケーションの実行で問題が発生する可能性があります。実稼働環境のワークロードに適用する前に、常に開発環境またはテストクラスターでネットワークポリシーをダウンロードし、テストします。

8.2.4. 生成されたポリシーをネットワークグラフに適用する
リンクのコピー

生成されたネットワークポリシーをネットワークグラフに直接適用することはできません。自動化された手順の一部として Kubernetes ネットワークポリシーを適用します。

8.2.5. ネットワークグラフで以前に適用されたポリシーに戻す
リンクのコピー

ポリシーを削除して、以前に適用したポリシーに戻すことができます。

手順

  1. RHACS ポータルで、Network Graph に移動します。
  2. 上部のバーのメニューからクラスター名を選択します。
  3. 1 つ以上の namespace とデプロイメントを選択します。
  4. Simulate network policy を選択します。
  5. View active YAMLS を選択します。

  6. Actions メニューから、Revert rules to previously applied YAML を選択します。

    警告

    ネットワークポリシーを直接適用すると、アプリケーションの実行で問題が発生する可能性があります。実稼働環境のワークロードに適用する前に、常に開発環境またはテストクラスターでネットワークポリシーをダウンロードし、テストします。

8.2.6. ネットワークグラフで自動生成されたすべてのポリシーの削除
リンクのコピー

RHACS を使用して作成したクラスターから、自動生成されたポリシーをすべて削除できます。

手順

  • 以下のコマンドを実行します。 

    $ oc get ns -o jsonpath='{.items[*].metadata.name}' | \
xargs -n 1 oc delete networkpolicies -l \
'network-policy-generator.stackrox.io/generated=true' -n
    1
    1
    Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。
Red Hat logoGithubredditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。 最新の更新を見る.

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

Theme

© 2026 Red Hatトップに戻る