8.3. 生成网络策略

流程

• 选择 Network Policy Simulator 面板中的 Download YAML 图标。

流程

• 要在 Red Hat Advanced Cluster Security for Kubernetes 中直接应用生成的策略，请选择 Apply Network Policies。

流程

• 运行以下命令：

  • 在 OpenShift Container Platform 中：

    $ oc get ns -o jsonpath='{.items[*].metadata.name}' | xargs -n 1 oc delete networkpolicies -l 'network-policy-generator.stackrox.io/generated=true' -n

    Copy to Clipboard Toggle word wrap

  • 对于 Kubernetes：

    $ kubectl get ns -o jsonpath='{.items[*].metadata.name}' | xargs -n 1 kubectl delete networkpolicies -l 'network-policy-generator.stackrox.io/generated=true' -n

    Copy to Clipboard Toggle word wrap

• Red Hat Advanced Cluster Security for Kubernetes 为命名空间中的每个部署生成一个网络策略。策略的 pod 选择器是部署的 pod 选择器。

  • 如果部署已有网络策略，Red Hat Advanced Cluster Security for Kubernetes 不会生成新的策略或删除现有的策略。

• 生成的策略只将流量限制到现有部署。

  • 您稍后创建的部署不会有任何限制，除非您为它们创建或生成新的网络策略。
  • 如果新部署需要与具有网络策略的部署联系，您可能需要编辑网络策略以允许访问。
• 每个策略的名称与部署名称相同，前缀为 stackrox-generated-。例如，生成的网络策略中的部署 depABC 的策略名称为 stackrox-generated-depABC。所有生成的策略也都有一个标识标签。

• Red Hat Advanced Cluster Security for Kubernetes 会生成一条规则，允许来自任何 IP 地址的流量（如果：

  • 部署在所选时间内具有来自集群外部的传入连接，或者
  • 部署通过节点端口或负载均衡器服务公开。

• Red Hat Advanced Cluster Security for Kubernetes 为每个有传入连接部署生成一个 入口 规则。

  • 对于同一命名空间中的部署，此规则使用来自其他部署的 pod 选择器标签。
  • 对于不同命名空间中的部署，此规则使用命名空间选择器。为了实现此目的，Red Hat Advanced Cluster Security for Kubernetes 会自动为每个命名空间添加一个标签 namespace.metadata.stackrox.io/name。