网络

1. 使用 tls.crt 和 tls.key 文件，创建在 openshift-ingress 命名空间中包含自定义证书的 Secret 资源。

   $ oc --namespace openshift-ingress create secret tls custom-certs-default --cert=tls.crt --key=tls.key

2. 更新 IngressController CR，以引用新的证书 Secret：

   $ oc patch --type=merge --namespace openshift-ingress-operator ingresscontrollers/default \
     --patch '{"spec":{"defaultCertificate":{"name":"custom-certs-default"}}}'

3. 验证更新是否已生效：

   $ echo Q |\
     openssl s_client -connect console-openshift-console.apps.<domain>:443 -showcerts 2>/dev/null |\
     openssl x509 -noout -subject -issuer -enddate

   其中：

   <domain>

   指定集群的基域名。

   输出示例

   subject=C = US, ST = NC, L = Raleigh, O = RH, OU = OCP4, CN = *.apps.example.com
   issuer=C = US, ST = NC, L = Raleigh, O = RH, OU = OCP4, CN = example.com
   notAfter=May 10 08:32:45 2022 GM

   提示

   您还可以应用以下 YAML 来设置自定义默认证书：

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: default
     namespace: openshift-ingress-operator
   spec:
     defaultCertificate:
       name: custom-certs-default

   证书 Secret 名称应该与用来更新 CR 的值匹配。

流程

1. 运行以下命令，创建一个服务帐户来与 Thanos 进行身份验证：

   $ oc create -n openshift-ingress-operator serviceaccount thanos && oc describe -n openshift-ingress-operator serviceaccount thanos

   输出示例

   Name:                thanos
   Namespace:           openshift-ingress-operator
   Labels:              <none>
   Annotations:         <none>
   Image pull secrets:  thanos-dockercfg-kfvf2
   Mountable secrets:   thanos-dockercfg-kfvf2
   Tokens:              <none>
   Events:              <none>

2. 使用以下命令手动创建服务帐户令牌：

   $ oc apply -f - <<EOF
   apiVersion: v1
   kind: Secret
   metadata:
     name: thanos-token
     namespace: openshift-ingress-operator
     annotations:
       kubernetes.io/service-account.name: thanos
   type: kubernetes.io/service-account-token
   EOF

3. 使用服务帐户的令牌，在 openshift-ingress-operator 命名空间中定义一个 TriggerAuthentication 对象。

   1. 创建 TriggerAuthentication 对象，并将 secret 变量的值传递给 TOKEN 参数：

      $ oc apply -f - <<EOF
      apiVersion: keda.sh/v1alpha1
      kind: TriggerAuthentication
      metadata:
        name: keda-trigger-auth-prometheus
        namespace: openshift-ingress-operator
      spec:
        secretTargetRef:
        - parameter: bearerToken
          name: thanos-token
          key: token
        - parameter: ca
          name: thanos-token
          key: ca.crt
      EOF

4. 创建并应用角色以从 Thanos 读取指标：

   1. 创建一个新角色 thanos-metrics-reader.yaml，从 pod 和节点读取指标：

      thanos-metrics-reader.yaml

      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role
      metadata:
        name: thanos-metrics-reader
        namespace: openshift-ingress-operator
      rules:
      - apiGroups:
        - ""
        resources:
        - pods
        - nodes
        verbs:
        - get
      - apiGroups:
        - metrics.k8s.io
        resources:
        - pods
        - nodes
        verbs:
        - get
        - list
        - watch
      - apiGroups:
        - ""
        resources:
        - namespaces
        verbs:
        - get

   2. 运行以下命令来应用新角色：

      $ oc apply -f thanos-metrics-reader.yaml

5. 输入以下命令在服务帐户中添加新角色：

   $ oc adm policy -n openshift-ingress-operator add-role-to-user thanos-metrics-reader -z thanos --role-namespace=openshift-ingress-operator

   $ oc adm policy -n openshift-ingress-operator add-cluster-role-to-user cluster-monitoring-view -z thanos

   注意

   只有在使用跨命名空间查询时，才需要参数 add-cluster-role-to-user。以下步骤使用 kube-metrics 命名空间中的查询，该命名空间需要此参数。

6. 创建一个新的 ScaledObject YAML 文件 ingress-autoscaler.yaml，该文件以默认 Ingress Controller 部署为目标：

   ScaledObject 定义示例

   apiVersion: keda.sh/v1alpha1
   kind: ScaledObject
   metadata:
     name: ingress-scaler
     namespace: openshift-ingress-operator
   spec:
     scaleTargetRef: 1
       apiVersion: operator.openshift.io/v1
       kind: IngressController
       name: default
       envSourceContainerName: ingress-operator
     minReplicaCount: 1
     maxReplicaCount: 20 2
     cooldownPeriod: 1
     pollingInterval: 1
     triggers:
     - type: prometheus
       metricType: AverageValue
       metadata:
         serverAddress: https://thanos-querier.openshift-monitoring.svc.cluster.local:9091 3
         namespace: openshift-ingress-operator 4
         metricName: 'kube-node-role'
         threshold: '1'
         query: 'sum(kube_node_role{role="worker",service="kube-state-metrics"})' 5
         authModes: "bearer"
       authenticationRef:
         name: keda-trigger-auth-prometheus

   1

   要目标的自定义资源。在本例中，Ingress Controller。

   2

   可选：最大副本数。如果省略此字段，则默认最大值设置为 100 个副本。

   3

   openshift-monitoring 命名空间中的 Thanos 服务端点。

   4

   Ingress Operator 命名空间。

   5

   此表达式评估为，部署的集群中存在很多 worker 节点。

   重要

   如果使用跨命名空间查询，您必须在 serverAddress 字段中目标端口 9091 而不是端口 9092。您还必须有升级的特权，才能从此端口读取指标。

7. 运行以下命令来应用自定义资源定义：

   $ oc apply -f ingress-autoscaler.yaml

流程

1. 查看默认 IngressController 的当前可用副本数：

   $ oc get -n openshift-ingress-operator ingresscontrollers/default -o jsonpath='{$.status.availableReplicas}'

   输出示例

   2

2. 使用 oc patch 命令，将默认 IngressController 扩展至所需的副本数。以下示例将默认 IngressController 扩展至 3 个副本：

   $ oc patch -n openshift-ingress-operator ingresscontroller/default --patch '{"spec":{"replicas": 3}}' --type=merge

   输出示例

   ingresscontroller.operator.openshift.io/default patched

3. 验证默认 IngressController 是否已扩展至您指定的副本数：

   $ oc get -n openshift-ingress-operator ingresscontrollers/default -o jsonpath='{$.status.availableReplicas}'

   输出示例

   3

   提示

   您还可以应用以下 YAML 将 Ingress Controller 扩展为三个副本：

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: default
     namespace: openshift-ingress-operator
   spec:
     replicas: 3               1

   1

   如果需要不同数量的副本，请更改 replicas 值。

流程

1. 在名为 <name>-ingress-controller.yaml 的文件中创建 IngressController 自定义资源 (CR) ，如下例所示：

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     namespace: openshift-ingress-operator
     name: <name> 1
   spec:
     domain: <domain> 2
     endpointPublishingStrategy:
       type: LoadBalancerService
       loadBalancer:
         scope: Internal 3

   1

   将 <name> 替换为 IngressController 对象的名称。

   2

   指定控制器发布的应用程序的 domain。

   3

   指定一个 Internal 值以使用内部负载均衡器。

2. 运行以下命令，创建上一步中定义的 Ingress Controller：

   $ oc create -f <name>-ingress-controller.yaml 1

   1

   将 <name> 替换为 IngressController 对象的名称。

3. 可选：通过运行以下命令确认创建了 Ingress Controller：

   $ oc --all-namespaces=true get ingresscontrollers

流程

1. 通过删除并重新创建集群，将 默认 Ingress Controller 配置为内部。

   $ oc replace --force --wait --filename - <<EOF
   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     namespace: openshift-ingress-operator
     name: default
   spec:
     endpointPublishingStrategy:
       type: LoadBalancerService
       loadBalancer:
         scope: Internal
   EOF

流程

1. 配置通配符策略。

   1. 使用以下命令来编辑 IngressController 资源：

      $ oc edit IngressController

   2. 在 spec 下，将 wildcardPolicy 字段设置 为 WildcardsDisallowed 或 WildcardsAllowed：

      spec:
        routeAdmission:
          wildcardPolicy: WildcardsDisallowed # or WildcardsAllowed

流程

1. 编辑 Ingress Controller 资源：

   $ oc -n openshift-ingress-operator edit ingresscontroller/default

2. 将 X-SSL-Client-Der HTTP 请求标头替换为 X-Forwarded-Client-Cert HTTP 请求标头：

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: default
     namespace: openshift-ingress-operator
   spec:
     httpHeaders:
       actions: 1
         request: 2
         - name: X-Forwarded-Client-Cert 3
           action:
             type: Set 4
             set:
              value: "%{+Q}[ssl_c_der,base64]" 5
         - name: X-SSL-Client-Der
           action:
             type: Delete

   1

   要在 HTTP 标头上执行的操作列表。

   2

   您要更改的标头类型。在本例中，请求标头。

   3

   您要更改的标头的名称。有关您可以设置或删除的可用标头列表，请参阅 HTTP 标头配置。

   4

   在标头中执行的操作类型。此字段可以具有 Set 或 Delete 的值。

   5

   在设置 HTTP 标头时，您必须提供一个 value。该值可以是该标头的可用指令列表中的字符串，如 DENY，也可以是使用 HAProxy 的动态值语法来解释的动态值。在这种情况下，会添加一个动态值。

   注意

   对于 HTTP 响应设置动态标头值，允许示例 fetchers 是 res.hdr 和 ssl_c_der。对于 HTTP 请求设置动态标头值，允许示例获取器为 req.hdr 和 ssl_c_der。请求和响应动态值都可以使用 lower 和 base64 转换器。

3. 保存文件以使改变生效。

流程

1. 为 Ingress Controller 配置 HTTPHeaders 字段。

   1. 使用以下命令来编辑 IngressController 资源：

      $ oc edit IngressController

   2. 在 spec 下，将 HTTPHeaders 策略字段设置为 Append、Replace、IfNone 或 Never:

      apiVersion: operator.openshift.io/v1
      kind: IngressController
      metadata:
        name: default
        namespace: openshift-ingress-operator
      spec:
        httpHeaders:
          forwardedHeaderPolicy: Append

流程

1. 在 CLI 中输入以下命令来编辑 Ingress Controller 资源：

   $ oc -n openshift-ingress-operator edit ingresscontroller/default

2. 设置 PROXY 配置：

   • 如果您的 Ingress Controller 使用 HostNetwork 端点发布策略类型，请将 spec.endpointPublishingStrategy.hostNetwork.protocol 子字段设置为 PROXY ：

     hostNetwork 配置为 PROXY 的示例

     # ...
       spec:
         endpointPublishingStrategy:
           hostNetwork:
             protocol: PROXY
           type: HostNetwork
     # ...

   • 如果您的 Ingress Controller 使用 NodePortService 端点发布策略类型，请将 spec.endpointPublishingStrategy.nodePort.protocol 子字段设置为 PROXY ：

     nodePort 配置为 PROXY 示例

     # ...
       spec:
         endpointPublishingStrategy:
           nodePort:
             protocol: PROXY
           type: NodePortService
     # ...

   • 如果您的 Ingress Controller 使用 Private 端点发布策略类型，请将 spec.endpointPublishingStrategy.private.protocol 子字段设置为 PROXY ：

     到 PROXY 的私有 配置示例

     # ...
       spec:
         endpointPublishingStrategy:
           private:
             protocol: PROXY
         type: Private
     # ...

流程

1. 通过为用户创建的路由指定备选默认域来配置 appsDomain 字段。

   1. 编辑 ingress 集群资源 ：

      $ oc edit ingresses.config/cluster -o yaml

   2. 编辑 YAML 文件：

      示例 appsDomain 配置为 test.example.com

      apiVersion: config.openshift.io/v1
      kind: Ingress
      metadata:
        name: cluster
      spec:
        domain: apps.example.com            1
        appsDomain: <test.example.com>      2

      1

      指定默认域。您不能在安装后修改默认域。

      2

      可选：用于应用程序路由的 Red Hat OpenShift Service 域。您可以使用 测试 等替代前缀 apps，而不是默认前缀。

2. 通过公开路由并验证路由域更改，验证现有路由是否包含 appsDomain 字段中指定的域名：

   注意

   在公开路由前，等待 openshift-apiserver 完成滚动更新。

   1. 公开路由：

      $ oc expose service hello-openshift
      route.route.openshift.io/hello-openshift exposed

      输出示例

      $ oc get routes
      NAME              HOST/PORT                                   PATH   SERVICES          PORT       TERMINATION   WILDCARD
      hello-openshift   hello_openshift-<my_project>.test.example.com
      hello-openshift   8080-tcp                 None

流程

1. 为 Ingress Controller 配置 httpCompression 字段。

   1. 使用以下命令来编辑 IngressController 资源：

      $ oc edit -n openshift-ingress-operator ingresscontrollers/default

   2. 在 spec 下，将 httpCompression 策略字段设置为 mimeTypes，并指定应该应用压缩的 MIME 类型列表：

      apiVersion: operator.openshift.io/v1
      kind: IngressController
      metadata:
        name: default
        namespace: openshift-ingress-operator
      spec:
        httpCompression:
          mimeTypes:
          - "text/html"
          - "text/css; charset=utf-8"
          - "application/json"
         ...

流程

1. 运行以下命令来获取路由器 pod 名称：

   $ oc get pods -n openshift-ingress

   输出示例

   NAME                              READY   STATUS    RESTARTS   AGE
   router-default-76bfffb66c-46qwp   1/1     Running   0          11h

2. 获取路由器的用户名和密码，路由器 Pod 存储在 /var/lib/haproxy/conf/metrics-auth/statsUsername 和 /var/lib/haproxy/conf/metrics-auth/statsPassword 文件中：

   1. 运行以下命令来获取用户名：

      $ oc rsh <router_pod_name> cat metrics-auth/statsUsername

   2. 运行以下命令来获取密码：

      $ oc rsh <router_pod_name> cat metrics-auth/statsPassword

3. 运行以下命令，获取路由器 IP 和指标证书：

   $ oc describe pod <router_pod>

4. 运行以下命令，以 Prometheus 格式获取原始统计信息：

   $ curl -u <user>:<password> http://<router_IP>:<stats_port>/metrics

5. 运行以下命令来安全地访问指标：

   $ curl -u user:password https://<router_IP>:<stats_port>/metrics -k

6. 运行以下命令，访问默认的 stats 端口 1936：

   $ curl -u <user>:<password> http://<router_IP>:<stats_port>/metrics

   例 2.1. 输出示例

   ...
   # HELP haproxy_backend_connections_total Total number of connections.
   # TYPE haproxy_backend_connections_total gauge
   haproxy_backend_connections_total{backend="http",namespace="default",route="hello-route"} 0
   haproxy_backend_connections_total{backend="http",namespace="default",route="hello-route-alt"} 0
   haproxy_backend_connections_total{backend="http",namespace="default",route="hello-route01"} 0
   ...
   # HELP haproxy_exporter_server_threshold Number of servers tracked and the current threshold value.
   # TYPE haproxy_exporter_server_threshold gauge
   haproxy_exporter_server_threshold{type="current"} 11
   haproxy_exporter_server_threshold{type="limit"} 500
   ...
   # HELP haproxy_frontend_bytes_in_total Current total of incoming bytes.
   # TYPE haproxy_frontend_bytes_in_total gauge
   haproxy_frontend_bytes_in_total{frontend="fe_no_sni"} 0
   haproxy_frontend_bytes_in_total{frontend="fe_sni"} 0
   haproxy_frontend_bytes_in_total{frontend="public"} 119070
   ...
   # HELP haproxy_server_bytes_in_total Current total of incoming bytes.
   # TYPE haproxy_server_bytes_in_total gauge
   haproxy_server_bytes_in_total{namespace="",pod="",route="",server="fe_no_sni",service=""} 0
   haproxy_server_bytes_in_total{namespace="",pod="",route="",server="fe_sni",service=""} 0
   haproxy_server_bytes_in_total{namespace="default",pod="docker-registry-5-nk5fz",route="docker-registry",server="10.130.0.89:5000",service="docker-registry"} 0
   haproxy_server_bytes_in_total{namespace="default",pod="hello-rc-vkjqx",route="hello-route",server="10.130.0.90:8080",service="hello-svc-1"} 0
   ...

7. 通过在浏览器中输入以下 URL 来启动 stats 窗口：

   http://<user>:<password>@<router_IP>:<stats_port>

8. 可选：通过在浏览器中输入以下 URL 来获取 CSV 格式的统计信息：

   http://<user>:<password>@<router_ip>:1936/metrics;csv

流程

1. 在 openshift-config 命名空间中创建一个名为 my-custom-error-code-pages 的配置映射：

   $ oc -n openshift-config create configmap my-custom-error-code-pages \
   --from-file=error-page-503.http \
   --from-file=error-page-404.http

   重要

   如果没有为自定义错误代码响应页面指定正确的格式，则会出现路由器 pod 中断。要解决此中断，您必须删除或更正配置映射并删除受影响的路由器 pod，以便使用正确的信息重新创建它们。

2. 对 Ingress Controller 进行补丁以根据名称引用 my-custom-error-code-pages 配置映射：

   $ oc patch -n openshift-ingress-operator ingresscontroller/default --patch '{"spec":{"httpErrorCodePages":{"name":"my-custom-error-code-pages"}}}' --type=merge

   Ingress Operator 将 my-custom-error-code-pages 配置映射从 openshift-config 命名空间复制到 openshift-ingress 命名空间。Operator 根据 openshift-ingress 命名空间中的模式 <your_ingresscontroller_name>-errorpages 命名配置映射。

3. 显示副本：

   $ oc get cm default-errorpages -n openshift-ingress

   输出示例

   NAME                       DATA   AGE
   default-errorpages         2      25s  1

   1

   配置映射名称示例为 default-errorpages，因为 default Ingress Controller 自定义资源 (CR) 已被修补。

4. 确认包含自定义错误响应页面的配置映射挂载到路由器卷中，其中配置映射键是具有自定义 HTTP 错误代码响应的文件名：

   • 对于 503 自定义 HTTP 自定义错误代码响应：

     $ oc -n openshift-ingress rsh <router_pod> cat /var/lib/haproxy/conf/error_code_pages/error-page-503.http

   • 对于 404 自定义 HTTP 自定义错误代码响应：

     $ oc -n openshift-ingress rsh <router_pod> cat /var/lib/haproxy/conf/error_code_pages/error-page-404.http

1. 创建测试项目和应用程序：

    $ oc new-project test-ingress

   $ oc new-app django-psql-example

2. 对于 503 自定义 http 错误代码响应：

   1. 停止应用的所有容器集。

   2. 运行以下 curl 命令或在浏览器中访问路由主机名：

      $ curl -vk <route_hostname>

3. 对于 404 自定义 http 错误代码响应：

   1. 访问不存在的路由或路由不正确。

   2. 运行以下 curl 命令或在浏览器中访问路由主机名：

      $ curl -vk <route_hostname>

4. 检查 haproxy.config 文件中的 errorfile 属性是否正确：

   $ oc -n openshift-ingress rsh <router> cat /var/lib/haproxy/conf/haproxy.config | grep errorfile

流程

1. 运行以下命令来创建 openshift-ingress-node-firewall 命名空间：

   $ cat << EOF| oc create -f -
   apiVersion: v1
   kind: Namespace
   metadata:
     labels:
       pod-security.kubernetes.io/enforce: privileged
       pod-security.kubernetes.io/enforce-version: v1.24
     name: openshift-ingress-node-firewall
   EOF

2. 运行以下命令来创建 OperatorGroup CR：

   $ cat << EOF| oc create -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: ingress-node-firewall-operators
     namespace: openshift-ingress-node-firewall
   EOF

3. 订阅 Ingress Node Firewall Operator。

   1. 要为 Ingress Node Firewall Operator 创建 Subscription CR，请输入以下命令：

      $ cat << EOF| oc create -f -
      apiVersion: operators.coreos.com/v1alpha1
      kind: Subscription
      metadata:
        name: ingress-node-firewall-sub
        namespace: openshift-ingress-node-firewall
      spec:
        name: ingress-node-firewall
        channel: stable
        source: redhat-operators
        sourceNamespace: openshift-marketplace
      EOF

4. 要验证是否已安装 Operator，请输入以下命令：

   $ oc get ip -n openshift-ingress-node-firewall

   输出示例

   NAME            CSV                                         APPROVAL    APPROVED
   install-5cvnz   ingress-node-firewall.4.0-202211122336   Automatic   true

5. 要验证 Operator 的版本，请输入以下命令：

   $ oc get csv -n openshift-ingress-node-firewall

   输出示例

   NAME                                        DISPLAY                          VERSION               REPLACES                                    PHASE
   ingress-node-firewall.4.0-202211122336   Ingress Node Firewall Operator   4.0-202211122336   ingress-node-firewall.4.0-202211102047   Succeeded

流程

1. 安装 Ingress Node Firewall Operator：

   1. 在 Red Hat OpenShift Service on AWS web 控制台中，点 Operators → OperatorHub。
   2. 从可用的 Operator 列表中选择 Ingress Node Firewall Operator，然后点 Install。
   3. 在 Install Operator 页面中，在 Installed Namespace 下选择 Operator recommended Namespace。
   4. 点 Install。

2. 验证 Ingress Node Firewall Operator 是否已成功安装：

   1. 导航到 Operators → Installed Operators 页面。

   2. 确保 openshift-ingress-node-firewall 项目中列出的 Ingress Node Firewall Operator 的 Status 为 InstallSucceeded。

      注意

      在安装过程中，Operator 可能会显示 Failed 状态。如果安装过程结束后有 InstallSucceeded 信息，您可以忽略这个 Failed 信息。

      如果 Operator 没有 InstallSucceeded 状态，请按照以下步骤进行故障排除：

      • 检查 Operator Subscriptions 和 Install Plans 选项卡中的 Status 项中是否有任何错误。
      • 进入到 Workloads → Pods 页面，在 openshift-ingress-node-firewall 项目中检查 pod 的日志。

      • 检查 YAML 文件的命名空间。如果缺少注解，您可以使用以下命令将注解 workload.openshift.io/allowed=management 添加到 Operator 命名空间中：

        $ oc annotate ns/openshift-ingress-node-firewall workload.openshift.io/allowed=management

        注意

        对于单节点 OpenShift 集群，openshift-ingress-node-firewall 命名空间需要 workload.openshift.io/allowed=management 注解。

流程

1. 在 OpenShift Cluster Manager 中点您要访问的集群。
2. 点 Open console 以进入到 OpenShift Web 控制台。
3. 点身份提供程序，并提供您的凭证以登录到集群。
4. 使用管理员视角，在 Networking 下点 NetworkPolicies。
5. 点 Create NetworkPolicy。
6. 在 Policy name 字段中，提供策略的名称。
7. 可选：如果此策略仅适用于一个或多个特定的 pod，您可以为特定 pod 提供标签和选择器。如果您没有选择特定 pod，则此策略将适用于集群中的所有 pod。
8. 可选： 您可以通过选择 Deny all ingress traffic 或 Deny all egress traffic 复选框来阻止所有入口和出口流量。
9. 您还可以添加入口和出口规则的任意组合，允许您指定您要批准的端口、命名空间或 IP 块。

10. 在您的策略中添加入站规则：

    1. 选择 Add ingress 规则来配置新规则。此操作在 Add allowed source 下拉菜单中创建一个新的 Ingress rule 行，允许您指定如何限制入站流量。下拉菜单提供三个选项来限制您的入口流量：

       • Allow pods from the same namespace 将流量限制为到同一命名空间中的 pod。您可以在命名空间中指定 pod，但将此选项留空允许来自该命名空间中的所有 pod 的流量。
       • Allow pods from inside the cluster 将流量限制到与策略相同的集群中的 pod。您可以指定要允许入站流量的命名空间和 pod。将此选项留空可让来自此集群中所有命名空间和 pod 的入站流量。
       • Allow peers by IP block 限制指定无域间路由 (CIDR) IP 块的流量。您可以使用例外选项阻止特定的 IP。将 CIDR 字段留空允许所有外部来源的所有入站流量。
    2. 您可以将所有入站流量限制为端口。如果您不添加任何端口，则流量可以访问所有端口。

11. 在您的网络策略中添加出口规则：

    1. 选择 Add egress rule 来配置新规则。此操作会创建一个带有 Add allowed destination"* 下拉菜单的新 Egress 规则 行，它允许您指定如何限制出站流量。下拉菜单提供三个选项来限制您的出口流量：

       • Allow pods from the same namespace 将出站流量限制为同一命名空间中的 pod。您可以在命名空间中指定 pod，但将此选项留空允许来自该命名空间中的所有 pod 的流量。
       • Allow pods from inside the cluster 将流量限制到与策略相同的集群中的 pod。您可以指定要允许出站流量的命名空间和 pod。将这个选项留空允许来自此集群中所有命名空间和 pod 的出站流量。
       • Allow peers by IP block 限制指定 CIDR IP 块的流量。您可以使用例外选项阻止特定的 IP。将 CIDR 字段留空允许所有外部来源的出站流量。
    2. 您可以将所有出站流量限制为端口。如果您不添加任何端口，则流量可以访问所有端口。

流程

1. 从 OpenShift Cluster Manager Web 控制台的 Administrator 视角，在 Networking 下点 NetworkPolicies。
2. 选择要查看的网络策略。
3. 在 Network Policy 详情页面中，您可以查看所有相关入口和出口规则。

4. 选择网络策略详情上的 YAML 以 YAML 格式查看策略配置。

   注意

   您只能查看这些策略的详情。您不能编辑这些策略。

流程

1. 从 OpenShift Cluster Manager Web 控制台的 Administrator 视角，在 Networking 下点 NetworkPolicies。

2. 使用以下方法删除您的网络策略：

   • 从 Network Policies 表中删除策略：

     1. 在 Network Policies 表中，选择您要删除的网络策略行的堆栈菜单，然后点 Delete NetworkPolicy。

   • 使用独立网络策略详情中的 Actions 下拉菜单删除策略：

     1. 点网络策略的 Actions 下拉菜单。
     2. 从菜单中选择 Delete NetworkPolicy。

流程

1. 以具有 cluster-admin 特权的用户身份登录。

2. 生成默认项目模板：

   $ oc adm create-bootstrap-project-template -o yaml > template.yaml

3. 使用文本编辑器，通过添加对象或修改现有对象来修改生成的 template.yaml 文件。

4. 项目模板必须创建在 openshift-config 命名空间中。加载修改后的模板：

   $ oc create -f template.yaml -n openshift-config

5. 使用 Web 控制台或 CLI 编辑项目配置资源。

   • 使用 Web 控制台：

     1. 导航至 Administration → Cluster Settings 页面。
     2. 单击 Configuration 以查看所有配置资源。
     3. 找到 Project 的条目，并点击 Edit YAML。

   • 使用 CLI：

     1. 编辑 project.config.openshift.io/cluster 资源：

        $ oc edit project.config.openshift.io/cluster

6. 更新 spec 部分，使其包含 projectRequestTemplate 和 name 参数，再设置您上传的项目模板的名称。默认名称为 project-request。

   带有自定义项目模板的项目配置资源

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
   # ...
   spec:
     projectRequestTemplate:
       name: <template_name>
   # ...

7. 保存更改后，创建一个新项目来验证是否成功应用了您的更改。

流程

1. 运行以下命令来编辑新项目的默认模板：

   $ oc edit template <project_template> -n openshift-config

   将 <project_template> 替换为您为集群配置的缺省模板的名称。默认模板名称为 project-request。

2. 在模板中，将每个 NetworkPolicy 对象作为一个元素添加到 objects 参数中。objects 参数可以是一个或多个对象的集合。

   在以下示例中，objects 参数集合包括几个 NetworkPolicy 对象。

   objects:
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-same-namespace
     spec:
       podSelector: {}
       ingress:
       - from:
         - podSelector: {}
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-openshift-ingress
     spec:
       ingress:
       - from:
         - namespaceSelector:
             matchLabels:
               network.openshift.io/policy-group: ingress
       podSelector: {}
       policyTypes:
       - Ingress
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-kube-apiserver-operator
     spec:
       ingress:
       - from:
         - namespaceSelector:
             matchLabels:
               kubernetes.io/metadata.name: openshift-kube-apiserver-operator
           podSelector:
             matchLabels:
               app: kube-apiserver-operator
       policyTypes:
       - Ingress
   ...

3. 可选：通过运行以下命令创建一个新项目，来确认您的网络策略对象已被成功创建：

   1. 创建一个新项目：

      $ oc new-project <project> 1

      1

      将 <project> 替换为您要创建的项目的名称。

   2. 确认新项目模板中的网络策略对象存在于新项目中：

      $ oc get networkpolicy
      NAME                           POD-SELECTOR   AGE
      allow-from-openshift-ingress   <none>         7s
      allow-from-same-namespace      <none>         7s

流程

1. 创建以下 NetworkPolicy 对象：

   1. 名为 allow-from-openshift-ingress 的策略。

      $ cat << EOF| oc create -f -
      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-openshift-ingress
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                policy-group.network.openshift.io/ingress: ""
        podSelector: {}
        policyTypes:
        - Ingress
      EOF

      注意

      policy-group.network.openshift.io/ingress: "" 是 OVN-Kubernetes 的首选命名空间选择器标签。

   2. 名为 allow-from-openshift-monitoring 的策略：

      $ cat << EOF| oc create -f -
      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-openshift-monitoring
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                network.openshift.io/policy-group: monitoring
        podSelector: {}
        policyTypes:
        - Ingress
      EOF

   3. 名为 allow-same-namespace 的策略：

      $ cat << EOF| oc create -f -
      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-same-namespace
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}
      EOF

   4. 名为 allow-from-kube-apiserver-operator 的策略：

      $ cat << EOF| oc create -f -
      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-kube-apiserver-operator
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                kubernetes.io/metadata.name: openshift-kube-apiserver-operator
            podSelector:
              matchLabels:
                app: kube-apiserver-operator
        policyTypes:
        - Ingress
      EOF

      如需了解更多详细信息，请参阅 新的kube-apiserver-operator Webhook 控制器验证 Webhook 的健康状况。

2. 可选： 要确认当前项目中存在网络策略，请输入以下命令：

   $ oc describe networkpolicy

   输出示例

   Name:         allow-from-openshift-ingress
   Namespace:    example1
   Created on:   2020-06-09 00:28:17 -0400 EDT
   Labels:       <none>
   Annotations:  <none>
   Spec:
     PodSelector:     <none> (Allowing the specific traffic to all pods in this namespace)
     Allowing ingress traffic:
       To Port: <any> (traffic allowed to all ports)
       From:
         NamespaceSelector: network.openshift.io/policy-group: ingress
     Not affecting egress traffic
     Policy Types: Ingress
   
   
   Name:         allow-from-openshift-monitoring
   Namespace:    example1
   Created on:   2020-06-09 00:29:57 -0400 EDT
   Labels:       <none>
   Annotations:  <none>
   Spec:
     PodSelector:     <none> (Allowing the specific traffic to all pods in this namespace)
     Allowing ingress traffic:
       To Port: <any> (traffic allowed to all ports)
       From:
         NamespaceSelector: network.openshift.io/policy-group: monitoring
     Not affecting egress traffic
     Policy Types: Ingress

验证

1. 要查询所有路由的注解，请输入以下命令：

   $ oc get route  --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'

   输出示例

   Name: routename HSTS: max-age=0

流程

1. 使用指定的 Cookie 名称标注路由：

   $ oc annotate route <route_name> router.openshift.io/cookie_name="<cookie_name>"

   其中：

   <route_name>

   指定路由的名称。

   <cookie_name>

   指定 Cookie 的名称。

   例如，使用 cookie 名称 my_cookie 标注路由 my_route：

   $ oc annotate route my_route router.openshift.io/cookie_name="my_cookie"

2. 在变量中捕获路由主机名：

   $ ROUTE_NAME=$(oc get route <route_name> -o jsonpath='{.spec.host}')

   其中：

   <route_name>

   指定路由的名称。

3. 保存 cookie，然后访问路由：

   $ curl $ROUTE_NAME -k -c /tmp/cookie_jar

   使用上一个命令在连接到路由时保存的 cookie：

   $ curl $ROUTE_NAME -k -b /tmp/cookie_jar