2.2.2. 使用 CLI 创建网络策略

流程

1. 创建策略规则。

   1. 创建一个 <policy_name>.yaml 文件：

      $ touch <policy_name>.yaml

      其中：

      <policy_name>

      指定网络策略文件名。

   2. 在创建的文件中定义网络策略。以下示例拒绝来自所有命名空间中的所有 pod 的入口流量。这是一个基本的策略，阻止配置其他网络策略所允许的跨 pod 流量以外的所有跨 pod 网络。

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      spec:
        podSelector: {}
        policyTypes:
        - Ingress
        ingress: []

      以下示例配置允许来自同一命名空间中的所有 pod 的入口流量：

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-same-namespace
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}
      # ...

      以下示例允许从一个特定命名空间到一个 pod 的入口流量。此策略允许流量从在 namespace-y 中运行的 pod 中获取 pod-a 标签。

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-traffic-pod
      spec:
        podSelector:
         matchLabels:
            pod: pod-a
        policyTypes:
        - Ingress
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                 kubernetes.io/metadata.name: namespace-y
      # ...

      以下示例配置限制了服务的流量。应用此策略可确保每个带有标签 app=bookstore 和标签 role=api 的 pod 只能被带有标签 app=bookstore 的 pod 访问。在本例中，应用可以是一个 REST API 服务器，带有标签 app=bookstore 和 role=api。

      这个示例配置示例解决了以下用例：

      • 将到一个服务的流量限制为仅使用需要它的其他微服务。

      • 将连接限制为只允许使用它的应用程序。

        kind: NetworkPolicy
        apiVersion: networking.k8s.io/v1
        metadata:
          name: api-allow
        spec:
          podSelector:
            matchLabels:
              app: bookstore
              role: api
          ingress:
          - from:
              - podSelector:
                  matchLabels:
                    app: bookstore
        # ...

2. 运行以下命令来创建网络策略对象。成功输出列出了策略对象的名称 以及创建 的状态。

   $ oc apply -f <policy_name>.yaml -n <namespace>

   其中：

   <policy_name>

   指定网络策略文件名。

   <namespace>

   可选参数。如果您在与当前命名空间不同的命名空间中定义了对象，则参数会特定于命名空间。

   成功输出列出了策略对象的名称 以及创建 的状态。

   注意

   如果您使用 cluster-admin 权限登录到 web 控制台，您可以选择在集群中的任何命名空间中以 YAML 或 web 控制台的形式创建网络策略。