6.3.2.2. CLI를 사용하여 네트워크 정책 만들기

프로세스

1. 정책 규칙을 생성합니다.

   1. <policy_name>.yaml 파일을 생성합니다.

      $ touch <policy_name>.yaml

      다음과 같습니다.

      <policy_name>

      네트워크 정책 파일 이름을 지정합니다.

   2. 생성된 파일에 네트워크 정책을 정의합니다. 다음 예제에서는 모든 네임스페이스에 있는 모든 Pod의 수신 트래픽을 거부합니다. 이는 다른 네트워크 정책 구성에서 허용하는 포드 간 트래픽 이외의 모든 교차 포드 네트워킹을 차단하는 기본 정책입니다.

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      spec:
        podSelector: {}
        policyTypes:
        - Ingress
        ingress: []

      다음 예제 구성에서는 동일한 네임스페이스에 있는 모든 Pod의 수신 트래픽을 허용합니다.

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-same-namespace
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}
      # ...

      다음 예제에서는 특정 네임스페이스에서 하나의 Pod로 들어오는 트래픽을 허용합니다. 이 정책을 사용하면 namespace-y 에서 실행되는 Pod의 pod-a 레이블이 있는 Pod로의 트래픽을 허용합니다.

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-traffic-pod
      spec:
        podSelector:
         matchLabels:
            pod: pod-a
        policyTypes:
        - Ingress
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                 kubernetes.io/metadata.name: namespace-y
      # ...

      다음 예제 구성은 트래픽을 서비스로 제한합니다. 이 정책을 적용하면 app=bookstore 및 role=api 레이블이 모두 있는 모든 Pod는 app=bookstore 레이블이 있는 Pod에서만 액세스할 수 있습니다. 이 예에서 애플리케이션은 app=bookstore 및 role=api 레이블이 있는 REST API 서버일 수 있습니다.

      이 예제 구성은 다음 사용 사례를 해결합니다.

      • 서비스에 대한 트래픽을 사용해야 하는 다른 마이크로 서비스로만 제한합니다.

      • 애플리케이션을 사용하는 애플리케이션만 허용하도록 데이터베이스에 대한 연결을 제한합니다.

        kind: NetworkPolicy
        apiVersion: networking.k8s.io/v1
        metadata:
          name: api-allow
        spec:
          podSelector:
            matchLabels:
              app: bookstore
              role: api
          ingress:
          - from:
              - podSelector:
                  matchLabels:
                    app: bookstore
        # ...

2. 네트워크 정책 오브젝트를 생성하려면 다음 명령을 입력합니다. 성공적인 출력에는 정책 오브젝트의 이름과 생성된 상태가 나열됩니다.

   $ oc apply -f <policy_name>.yaml -n <namespace>

   다음과 같습니다.

   <policy_name>

   네트워크 정책 파일 이름을 지정합니다.

   <namespace>

   선택적 매개변수입니다. 현재 네임스페이스와 다른 네임스페이스에 오브젝트를 정의한 경우 매개변수는 네임스페이스를 지정합니다.

   성공적인 출력에는 정책 오브젝트의 이름과 생성된 상태가 나열됩니다.

   참고

   cluster-admin 권한을 사용하여 웹 콘솔에 로그인하는 경우 클러스터의 모든 네임스페이스에서 직접 또는 웹 콘솔의 양식에서 네트워크 정책을 생성할 수 있습니다.