第 9 章 构建时网络策略工具

先决条件

1. build-time 网络策略生成器递归扫描您在运行命令时指定的目录。因此，在运行该命令前，您必须已具有服务清单、配置映射和工作负载清单，如 Pod、Deployment、ReplicaSet、Job、DaemonSet 和 StatefulSet 作为指定目录中的 YAML 文件。
2. 使用 kubectl apply -f 命令验证这些 YAML 文件是否按原样应用。build-time 网络策略生成器不适用于使用 Helm 样式模板的文件。

3. 验证服务网络地址没有硬编码。需要连接到服务的每个工作负载都必须将服务网络地址指定为变量。您可以使用工作负载的资源环境变量或配置映射来指定此变量。

   • 示例 1：使用环境变量
   • 示例 2：使用配置映射
   • 示例 3：使用配置映射

4. 服务网络地址必须与以下官方正则表达式模式匹配：

   (http(s)?://)?<svc>(.<ns>(.svc.cluster.local)?)?(:<portNum>)? 1

   1

   在这种模式中，

   • <svc> 是服务名称。
   • <ns> 是定义该服务的命名空间。
   • <portNum> 是公开的服务端口号。

   以下是与模式匹配的一些示例：

   • wordpress-mysql:3306
   • redis-follower.redis.svc.cluster.local:6379
   • redis-leader.redis
   • http://rating-service.

流程

1. 运行 help 命令验证构建网络策略生成功能是否可用：

   $ roxctl netpol generate -h

2. 使用 netpol generate 命令生成策略：

   $ roxctl netpol generate <folder_path> [flags] 1

   1

   指定文件夹的路径，其中可以包含用于分析的 YAML 资源的子目录。命令扫描整个子文件夹树。另外，您还可以指定参数来修改命令的行为。

   有关可选参数的更多信息，请参阅 roxctl netpol generate 命令选项。