红帽全球峰会15.13. NetworkPolicy [networking.k8s.io/v1]
- 描述
- NetworkPolicy 描述了一组 Pod 允许哪些网络流量
- 类型
-
对象
15.13.1. 规格
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| APIVersion 定义对象的这个表示法的版本化的 schema。服务器应该将识别的模式转换为最新的内部值，并可拒绝未识别的值。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources |
|
|
| kind 是一个字符串值，代表此对象所代表的 REST 资源。服务器可以从客户端向其提交请求的端点推断。无法更新。采用驼峰拼写法 (CamelCase)。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds |
|
| 标准对象元数据。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#metadata | |
|
|
| NetworkPolicySpec 提供 NetworkPolicy 的规格 |
15.13.1.1. .spec
- 描述
- NetworkPolicySpec 提供 NetworkPolicy 的规格
- 类型
-
对象 - 必填
-
podSelector
-
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| 要应用到所选 pod 的出口规则列表。如果没有选择 pod （和集群策略）的 NetworkPolicies，则允许传出流量，否则允许流量；或者，流量与 podSelector 匹配的所有 NetworkPolicy 对象中的至少一个出口规则匹配。如果此字段为空，则此 NetworkPolicy 会限制所有传出流量（仅为确保其选择的 pod 默认被隔离）。此字段在 1.8 中是 beta 级别 |
|
|
| NetworkPolicyEgressRule 描述了允许与 NetworkPolicySpec 的 podSelector 匹配的特定流量集合。流量必须同时匹配端口和端口。这个类型是 1.8 中的 beta 级别 |
|
|
| 要应用到所选 pod 的入站规则列表。如果没有选择 pod （以及集群策略）的 NetworkPolicies （否则，允许流量）或流量源是 pod 的本地节点，则启用流量如果流量至少与 podSelector 匹配的所有 NetworkPolicy 对象匹配。如果此字段为空，则此 NetworkPolicy 不允许任何流量（只用于确保其选择的 pod 默认被隔离） |
|
|
| NetworkPolicyIngressRule 描述了允许与 NetworkPolicySpec 的 pod 匹配的特定流量集合。流量必须同时匹配端口和来自的端口。 |
|
| 选择此 NetworkPolicy 对象应用到的 pod。ingress 规则数组应用于此字段选择的任何 pod。多个网络策略可以选择同一组 pod。在这种情况下，每个的入站规则都是相互合并的。此字段不是可选的，并遵循标准标签选择器语义。一个空的 podSelector 与这个命名空间中的所有 pod 匹配。 | |
|
|
| NetworkPolicy 相关的规则类型列表。有效选项为 ["Ingress"]、[Egress"] 或 ["Ingress", "Egress"]。如果没有指定此字段，它将基于存在 Ingress 或 Egress 规则; 假设包含 Egress 部分的策略会影响 Egress，以及所有策略（无论是包含 Ingress 部分）会影响 Ingress。如果要编写仅出口策略，您必须明确指定 policyTypes [ "Egress" ]。同样，如果要编写指定不允许出口的策略，您必须指定包含"Egress"的 policyTypes 值（因为此类策略不包含 Egress 部分，否则默认为 [ "Ingress" ]）。此字段在 1.8 中是 beta 级别 |
15.13.1.2. .spec.egress
- 描述
- 要应用到所选 pod 的出口规则列表。如果没有选择 pod （和集群策略）的 NetworkPolicies，则允许传出流量，否则允许流量；或者，流量与 podSelector 匹配的所有 NetworkPolicy 对象中的至少一个出口规则匹配。如果此字段为空，则此 NetworkPolicy 会限制所有传出流量（仅为确保其选择的 pod 默认被隔离）。此字段在 1.8 中是 beta 级别
- 类型
-
array
15.13.1.3. .spec.egress[]
- 描述
- NetworkPolicyEgressRule 描述了允许与 NetworkPolicySpec 的 podSelector 匹配的特定流量集合。流量必须同时匹配端口和端口。这个类型是 1.8 中的 beta 级别
- 类型
-
对象
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| 传出流量的目标端口列表。此列表中的每个项目都使用逻辑 OR 的组合。如果此字段为空或缺失，则该规则与所有端口匹配（不受端口限制的流量）。如果此字段存在并至少包含一个项目，则该规则仅在流量与列表中至少一个端口匹配时才允许流量。 |
|
|
| NetworkPolicyPort 描述了允许流量的端口 |
|
|
| 为这个规则选择的 pod 的传出流量的目的地列表。此列表中的项目使用逻辑 OR 操作来合并。如果此字段为空或缺失，则该规则与所有目的地（不受目的地限制的流量）匹配。如果此字段存在并且至少包含一个项目，则只有流量与要列出中的至少一个项目匹配时才会允许流量。 |
|
|
| NetworkPolicyPeer 描述了允许/从中到流量的对等点。只允许某些字段组合 |
15.13.1.4. .spec.egress[].ports
- 描述
- 传出流量的目标端口列表。此列表中的每个项目都使用逻辑 OR 的组合。如果此字段为空或缺失，则该规则与所有端口匹配（不受端口限制的流量）。如果此字段存在并至少包含一个项目，则该规则仅在流量与列表中至少一个端口匹配时才允许流量。
- 类型
-
array
15.13.1.5. .spec.egress[].ports[]
- 描述
- NetworkPolicyPort 描述了允许流量的端口
- 类型
-
对象
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| 如果设置，表示策略应允许端口到 endPort 的端口范围。如果没有定义 port 字段，或者 port 字段定义为命名（字符串）端口，则无法定义此字段。endPort 必须相等或大于 port。这个功能处于 Beta 状态，默认是启用的。它可以使用 Feature Gate "NetworkPolicyEndPort" 来禁用。 |
|
| 给定协议上的端口。这可以是 pod 上的数字或命名端口。如果没有提供此字段，这与所有端口名称和数字匹配。如果存在，则仅匹配指定协议 AND 端口上的流量。 | |
|
|
| 流量必须匹配的协议(TCP、UDP 或 SCTP)。如果没有指定，此字段默认为 TCP。 |
15.13.1.6. .spec.egress[].to
- 描述
- 为这个规则选择的 pod 的传出流量的目的地列表。此列表中的项目使用逻辑 OR 操作来合并。如果此字段为空或缺失，则该规则与所有目的地（不受目的地限制的流量）匹配。如果此字段存在并且至少包含一个项目，则只有流量与要列出中的至少一个项目匹配时才会允许流量。
- 类型
-
array
15.13.1.7. .spec.egress[].to[]
- 描述
- NetworkPolicyPeer 描述了允许/从中到流量的对等点。只允许某些字段组合
- 类型
-
对象
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| IPBlock 描述了特定的 CIDR （Ex。"192.168.1.1/24","2001:db9::/64"），允许与 NetworkPolicySpec 的 pod 匹配。例外条目描述了不应包含在此规则中的 CIDR。 |
|
| 使用集群范围的标签选择命名空间。此字段遵循标准标签选择器语义；如果存在但为空，它将选择所有命名空间。 如果还设置了 PodSelector，则 NetworkPolicyPeer 作为一个整个选择，在 NamespaceSelector 选择的命名空间中选择与 PodSelector 匹配的 Pod。否则，它会选择 NamespaceSelector 选择的命名空间中的所有 Pod。 | |
|
| 这是选择 Pod 的标签选择器。此字段遵循标准标签选择器语义；如果存在但为空，它将选择所有 pod。 如果还设置了 NamespaceSelector，则 NetworkPolicyPeer 作为一个整个选择，在 NamespaceSelector 选择的命名空间中选择与 PodSelector 匹配的 Pod。否则，它会在策略自己的命名空间中选择与 PodSelector 匹配的 Pod。 |
15.13.1.8. .spec.egress[].to[].ipBlock
- 描述
- IPBlock 描述了特定的 CIDR （Ex。"192.168.1.1/24","2001:db9::/64"），允许与 NetworkPolicySpec 的 pod 匹配。例外条目描述了不应包含在此规则中的 CIDR。
- 类型
-
对象 - 必填
-
cidr
-
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| CIDR 是一个字符串，代表 IP Block Valid 示例为 "192.168.1.1/24" 或 "2001:db9::/64" |
|
|
| 除 CIDR 范围之外，除了是不应包含在 IP Block Valid 示例中的 CIDR 片段为 "192.168.1.1/24" 或 "2001:db9::/64" Except 值 |
15.13.1.9. .spec.ingress
- 描述
- 要应用到所选 pod 的入站规则列表。如果没有选择 pod （以及集群策略）的 NetworkPolicies （否则，允许流量）或流量源是 pod 的本地节点，则启用流量如果流量至少与 podSelector 匹配的所有 NetworkPolicy 对象匹配。如果此字段为空，则此 NetworkPolicy 不允许任何流量（只用于确保其选择的 pod 默认被隔离）
- 类型
-
array
15.13.1.10. .spec.ingress[]
- 描述
- NetworkPolicyIngressRule 描述了允许与 NetworkPolicySpec 的 pod 匹配的特定流量集合。流量必须同时匹配端口和来自的端口。
- 类型
-
对象
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| 应该能够访问为此规则选择的 pod 的源列表。此列表中的项目使用逻辑 OR 操作来合并。如果此字段为空或缺失，则该规则与所有源（不受源限制的流量）匹配。如果此字段存在并且至少包含一个项目，则只有流量与 from 列表中至少有一个项目匹配时才会允许流量。 |
|
|
| NetworkPolicyPeer 描述了允许/从中到流量的对等点。只允许某些字段组合 |
|
|
| 应该可在为该规则选择的 pod 上访问的端口列表。此列表中的每个项目都使用逻辑 OR 的组合。如果此字段为空或缺失，则该规则与所有端口匹配（不受端口限制的流量）。如果此字段存在并至少包含一个项目，则该规则仅在流量与列表中至少一个端口匹配时才允许流量。 |
|
|
| NetworkPolicyPort 描述了允许流量的端口 |
15.13.1.11. .spec.ingress[].from
- 描述
- 应该能够访问为此规则选择的 pod 的源列表。此列表中的项目使用逻辑 OR 操作来合并。如果此字段为空或缺失，则该规则与所有源（不受源限制的流量）匹配。如果此字段存在并且至少包含一个项目，则只有流量与 from 列表中至少有一个项目匹配时才会允许流量。
- 类型
-
array
15.13.1.12. .spec.ingress[].from[]
- 描述
- NetworkPolicyPeer 描述了允许/从中到流量的对等点。只允许某些字段组合
- 类型
-
对象
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| IPBlock 描述了特定的 CIDR （Ex。"192.168.1.1/24","2001:db9::/64"），允许与 NetworkPolicySpec 的 pod 匹配。例外条目描述了不应包含在此规则中的 CIDR。 |
|
| 使用集群范围的标签选择命名空间。此字段遵循标准标签选择器语义；如果存在但为空，它将选择所有命名空间。 如果还设置了 PodSelector，则 NetworkPolicyPeer 作为一个整个选择，在 NamespaceSelector 选择的命名空间中选择与 PodSelector 匹配的 Pod。否则，它会选择 NamespaceSelector 选择的命名空间中的所有 Pod。 | |
|
| 这是选择 Pod 的标签选择器。此字段遵循标准标签选择器语义；如果存在但为空，它将选择所有 pod。 如果还设置了 NamespaceSelector，则 NetworkPolicyPeer 作为一个整个选择，在 NamespaceSelector 选择的命名空间中选择与 PodSelector 匹配的 Pod。否则，它会在策略自己的命名空间中选择与 PodSelector 匹配的 Pod。 |
15.13.1.13. .spec.ingress[].from[].ipBlock
- 描述
- IPBlock 描述了特定的 CIDR （Ex。"192.168.1.1/24","2001:db9::/64"），允许与 NetworkPolicySpec 的 pod 匹配。例外条目描述了不应包含在此规则中的 CIDR。
- 类型
-
对象 - 必填
-
cidr
-
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| CIDR 是一个字符串，代表 IP Block Valid 示例为 "192.168.1.1/24" 或 "2001:db9::/64" |
|
|
| 除 CIDR 范围之外，除了是不应包含在 IP Block Valid 示例中的 CIDR 片段为 "192.168.1.1/24" 或 "2001:db9::/64" Except 值 |
15.13.1.14. .spec.ingress[].ports
- 描述
- 应该可在为该规则选择的 pod 上访问的端口列表。此列表中的每个项目都使用逻辑 OR 的组合。如果此字段为空或缺失，则该规则与所有端口匹配（不受端口限制的流量）。如果此字段存在并至少包含一个项目，则该规则仅在流量与列表中至少一个端口匹配时才允许流量。
- 类型
-
array
15.13.1.15. .spec.ingress[].ports[]
- 描述
- NetworkPolicyPort 描述了允许流量的端口
- 类型
-
对象
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| 如果设置，表示策略应允许端口到 endPort 的端口范围。如果没有定义 port 字段，或者 port 字段定义为命名（字符串）端口，则无法定义此字段。endPort 必须相等或大于 port。这个功能处于 Beta 状态，默认是启用的。它可以使用 Feature Gate "NetworkPolicyEndPort" 来禁用。 |
|
| 给定协议上的端口。这可以是 pod 上的数字或命名端口。如果没有提供此字段，这与所有端口名称和数字匹配。如果存在，则仅匹配指定协议 AND 端口上的流量。 | |
|
|
| 流量必须匹配的协议(TCP、UDP 或 SCTP)。如果没有指定，此字段默认为 TCP。 |
15.13.2. API 端点
可用的 API 端点如下：
/apis/networking.k8s.io/v1/networkpolicies-
GET: 列出或监视类型为 NetworkPolicy 的对象
-
/apis/networking.k8s.io/v1/watch/networkpolicies-
GET: 观察单个对 NetworkPolicy 列表的更改。已弃用：将 'watch' 参数与列表操作一起使用。
-
/apis/networking.k8s.io/v1/namespaces/{namespace}/networkpolicies-
DELETE：删除 NetworkPolicy 的集合 -
GET: 列出或监视类型为 NetworkPolicy 的对象 -
POST：创建一个 NetworkPolicy
-
/apis/networking.k8s.io/v1/watch/namespaces/{namespace}/networkpolicies-
GET: 观察单个对 NetworkPolicy 列表的更改。已弃用：将 'watch' 参数与列表操作一起使用。
-
/apis/networking.k8s.io/v1/namespaces/{namespace}/networkpolicies/{name}-
DELETE：删除 NetworkPolicy -
GET：读取指定的 NetworkPolicy -
PATCH：部分更新指定的 NetworkPolicy -
PUT：替换指定的 NetworkPolicy
-
/apis/networking.k8s.io/v1/watch/namespaces/{namespace}/networkpolicies/{name}-
GET: 观察对类型为 NetworkPolicy 的对象的更改。已弃用：使用带有列表操作的 'watch' 参数，而是过滤到带有 'fieldSelector' 参数的单个项目。
-
15.13.2.1. /apis/networking.k8s.io/v1/networkpolicies
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。没有实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。 |
|
|
| 从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须在没有 continue 字段的情况下重启其列表。否则，客户端可能会发送另一个列表请求，并带有 410 错误收到的令牌，服务器将通过从下一个密钥开始的列表进行响应，但从最新的快照（从最后一个列表结果中不一致） - 在第一个列表请求后创建、修改或删除的对象将包含在响应中，只要其密钥在"next key"后。 当 watch 为 true 时，不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值启动监视，而不丢失任何修改。 |
|
|
| 用于限制返回的对象列表的选择器。默认为任何内容。 |
|
|
| 通过标签限制返回的对象列表的选择器。默认为任何内容。 |
|
|
| 限制是列表调用要返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的"continue"字段设置为可用于同一初始查询的值，以检索下一个结果集。在过滤所有请求的对象时，设置限制可能会返回比请求的项目数量少（最多为零项），客户端应只使用 continue 字段的存在来确定是否有更多结果可用。服务器可以选择不支持限制参数，并将返回所有可用的结果。如果指定了限制，并且 continue 字段为空，客户端可能会假设没有更多可用的结果。如果 watch 为 true，则不支持此字段。 服务器保证在使用 continue 时返回的对象与在没有限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后不会创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制的客户端接收一个非常大的结果较小的块可以确保它们看到所有可能的对象。如果在块列出期间更新对象，则返回第一次列表结果时存在的对象版本。 |
|
|
| 如果 'true'，则输出被用户友善。 |
|
|
| resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置 |
|
|
| resourceVersionMatch 决定 resourceVersion 如何应用到列出调用。强烈建议您为设置了 resourceVersion 的列表调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。 默认为未设置 |
|
|
| list/watch 调用的超时。这限制了调用的时间，无论任何活动或不活跃。 |
|
|
| 观察对描述的资源的更改，并将其作为添加、更新和删除通知流返回。指定 resourceVersion。 |
- HTTP 方法
-
GET - 描述
- 列出或监视类型为 NetworkPolicy 的对象
| HTTP 代码 | 响应正文 |
|---|---|
| 200 - OK | |
| 401 - Unauthorized | 空 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。没有实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。 |
|
|
| 从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须在没有 continue 字段的情况下重启其列表。否则，客户端可能会发送另一个列表请求，并带有 410 错误收到的令牌，服务器将通过从下一个密钥开始的列表进行响应，但从最新的快照（从最后一个列表结果中不一致） - 在第一个列表请求后创建、修改或删除的对象将包含在响应中，只要其密钥在"next key"后。 当 watch 为 true 时，不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值启动监视，而不丢失任何修改。 |
|
|
| 用于限制返回的对象列表的选择器。默认为任何内容。 |
|
|
| 通过标签限制返回的对象列表的选择器。默认为任何内容。 |
|
|
| 限制是列表调用要返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的"continue"字段设置为可用于同一初始查询的值，以检索下一个结果集。在过滤所有请求的对象时，设置限制可能会返回比请求的项目数量少（最多为零项），客户端应只使用 continue 字段的存在来确定是否有更多结果可用。服务器可以选择不支持限制参数，并将返回所有可用的结果。如果指定了限制，并且 continue 字段为空，客户端可能会假设没有更多可用的结果。如果 watch 为 true，则不支持此字段。 服务器保证在使用 continue 时返回的对象与在没有限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后不会创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制的客户端接收一个非常大的结果较小的块可以确保它们看到所有可能的对象。如果在块列出期间更新对象，则返回第一次列表结果时存在的对象版本。 |
|
|
| 如果 'true'，则输出被用户友善。 |
|
|
| resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置 |
|
|
| resourceVersionMatch 决定 resourceVersion 如何应用到列出调用。强烈建议您为设置了 resourceVersion 的列表调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。 默认为未设置 |
|
|
| list/watch 调用的超时。这限制了调用的时间，无论任何活动或不活跃。 |
|
|
| 观察对描述的资源的更改，并将其作为添加、更新和删除通知流返回。指定 resourceVersion。 |
- HTTP 方法
-
GET - 描述
- 观察单个对 NetworkPolicy 列表的更改。已弃用：改为使用 'watch' 参数以及 list 操作。
| HTTP 代码 | 响应正文 |
|---|---|
| 200 - OK |
|
| 401 - Unauthorized | 空 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| 对象名称和身份验证范围，如团队和项目 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| 如果 'true'，则输出被用户友善。 |
- HTTP 方法
-
DELETE - 描述
- 删除 NetworkPolicy 集合
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| 从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须在没有 continue 字段的情况下重启其列表。否则，客户端可能会发送另一个列表请求，并带有 410 错误收到的令牌，服务器将通过从下一个密钥开始的列表进行响应，但从最新的快照（从最后一个列表结果中不一致） - 在第一个列表请求后创建、修改或删除的对象将包含在响应中，只要其密钥在"next key"后。 当 watch 为 true 时，不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值启动监视，而不丢失任何修改。 |
|
|
| 出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理 |
|
|
| 用于限制返回的对象列表的选择器。默认为任何内容。 |
|
|
| 应该删除对象前的持续时间（以秒为单位）。值必须是非负整数。值零表示立即删除。如果这个值是 nil，则使用指定类型的默认宽限期。如果没有指定，则默认为每个对象值。零表示立即删除。 |
|
|
| 通过标签限制返回的对象列表的选择器。默认为任何内容。 |
|
|
| 限制是列表调用要返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的"continue"字段设置为可用于同一初始查询的值，以检索下一个结果集。在过滤所有请求的对象时，设置限制可能会返回比请求的项目数量少（最多为零项），客户端应只使用 continue 字段的存在来确定是否有更多结果可用。服务器可以选择不支持限制参数，并将返回所有可用的结果。如果指定了限制，并且 continue 字段为空，客户端可能会假设没有更多可用的结果。如果 watch 为 true，则不支持此字段。 服务器保证在使用 continue 时返回的对象与在没有限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后不会创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制的客户端接收一个非常大的结果较小的块可以确保它们看到所有可能的对象。如果在块列出期间更新对象，则返回第一次列表结果时存在的对象版本。 |
|
|
| 弃用：请使用 PropagationPolicy，此字段将在 1.7 中被弃用。应该依赖的对象被孤立。如果为 true/false，"orphan"终结器将从对象的终结器列表添加到/删除。可以设置此字段或 PropagationPolicy，但不能同时设置两者。 |
|
|
| 是否以及是否执行垃圾回收。此字段或 OrphanDependents 可以设置，但不能同时设置两者。默认策略由 metadata.finalizers 和特定于资源的默认策略中设置的现有终结器决定。可接受的值为： 'Orphan' - 孤立依赖; 'Background' - 允许垃圾收集器在后台删除依赖的依赖关系； 'Foreground' - 一个删除前台所有依赖的级联策略。 |
|
|
| resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置 |
|
|
| resourceVersionMatch 决定 resourceVersion 如何应用到列出调用。强烈建议您为设置了 resourceVersion 的列表调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。 默认为未设置 |
|
|
| list/watch 调用的超时。这限制了调用的时间，无论任何活动或不活跃。 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| HTTP 代码 | 响应正文 |
|---|---|
| 200 - OK |
|
| 401 - Unauthorized | 空 |
- HTTP 方法
-
GET - 描述
- 列出或监视类型为 NetworkPolicy 的对象
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。没有实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。 |
|
|
| 从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须在没有 continue 字段的情况下重启其列表。否则，客户端可能会发送另一个列表请求，并带有 410 错误收到的令牌，服务器将通过从下一个密钥开始的列表进行响应，但从最新的快照（从最后一个列表结果中不一致） - 在第一个列表请求后创建、修改或删除的对象将包含在响应中，只要其密钥在"next key"后。 当 watch 为 true 时，不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值启动监视，而不丢失任何修改。 |
|
|
| 用于限制返回的对象列表的选择器。默认为任何内容。 |
|
|
| 通过标签限制返回的对象列表的选择器。默认为任何内容。 |
|
|
| 限制是列表调用要返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的"continue"字段设置为可用于同一初始查询的值，以检索下一个结果集。在过滤所有请求的对象时，设置限制可能会返回比请求的项目数量少（最多为零项），客户端应只使用 continue 字段的存在来确定是否有更多结果可用。服务器可以选择不支持限制参数，并将返回所有可用的结果。如果指定了限制，并且 continue 字段为空，客户端可能会假设没有更多可用的结果。如果 watch 为 true，则不支持此字段。 服务器保证在使用 continue 时返回的对象与在没有限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后不会创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制的客户端接收一个非常大的结果较小的块可以确保它们看到所有可能的对象。如果在块列出期间更新对象，则返回第一次列表结果时存在的对象版本。 |
|
|
| resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置 |
|
|
| resourceVersionMatch 决定 resourceVersion 如何应用到列出调用。强烈建议您为设置了 resourceVersion 的列表调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。 默认为未设置 |
|
|
| list/watch 调用的超时。这限制了调用的时间，无论任何活动或不活跃。 |
|
|
| 观察对描述的资源的更改，并将其作为添加、更新和删除通知流返回。指定 resourceVersion。 |
| HTTP 代码 | 响应正文 |
|---|---|
| 200 - OK | |
| 401 - Unauthorized | 空 |
- HTTP 方法
-
POST - 描述
- 创建 NetworkPolicy
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| 出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理 |
|
|
| fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| HTTP 代码 | 响应正文 |
|---|---|
| 200 - OK | |
| 201 - Created | |
| 202 - Accepted | |
| 401 - Unauthorized | 空 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| 对象名称和身份验证范围，如团队和项目 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。没有实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。 |
|
|
| 从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须在没有 continue 字段的情况下重启其列表。否则，客户端可能会发送另一个列表请求，并带有 410 错误收到的令牌，服务器将通过从下一个密钥开始的列表进行响应，但从最新的快照（从最后一个列表结果中不一致） - 在第一个列表请求后创建、修改或删除的对象将包含在响应中，只要其密钥在"next key"后。 当 watch 为 true 时，不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值启动监视，而不丢失任何修改。 |
|
|
| 用于限制返回的对象列表的选择器。默认为任何内容。 |
|
|
| 通过标签限制返回的对象列表的选择器。默认为任何内容。 |
|
|
| 限制是列表调用要返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的"continue"字段设置为可用于同一初始查询的值，以检索下一个结果集。在过滤所有请求的对象时，设置限制可能会返回比请求的项目数量少（最多为零项），客户端应只使用 continue 字段的存在来确定是否有更多结果可用。服务器可以选择不支持限制参数，并将返回所有可用的结果。如果指定了限制，并且 continue 字段为空，客户端可能会假设没有更多可用的结果。如果 watch 为 true，则不支持此字段。 服务器保证在使用 continue 时返回的对象与在没有限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后不会创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制的客户端接收一个非常大的结果较小的块可以确保它们看到所有可能的对象。如果在块列出期间更新对象，则返回第一次列表结果时存在的对象版本。 |
|
|
| 如果 'true'，则输出被用户友善。 |
|
|
| resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置 |
|
|
| resourceVersionMatch 决定 resourceVersion 如何应用到列出调用。强烈建议您为设置了 resourceVersion 的列表调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。 默认为未设置 |
|
|
| list/watch 调用的超时。这限制了调用的时间，无论任何活动或不活跃。 |
|
|
| 观察对描述的资源的更改，并将其作为添加、更新和删除通知流返回。指定 resourceVersion。 |
- HTTP 方法
-
GET - 描述
- 观察单个对 NetworkPolicy 列表的更改。已弃用：改为使用 'watch' 参数以及 list 操作。
| HTTP 代码 | 响应正文 |
|---|---|
| 200 - OK |
|
| 401 - Unauthorized | 空 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| NetworkPolicy 的名称 |
|
|
| 对象名称和身份验证范围，如团队和项目 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| 如果 'true'，则输出被用户友善。 |
- HTTP 方法
-
DELETE - 描述
- 删除 NetworkPolicy
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| 出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理 |
|
|
| 应该删除对象前的持续时间（以秒为单位）。值必须是非负整数。值零表示立即删除。如果这个值是 nil，则使用指定类型的默认宽限期。如果没有指定，则默认为每个对象值。零表示立即删除。 |
|
|
| 弃用：请使用 PropagationPolicy，此字段将在 1.7 中被弃用。应该依赖的对象被孤立。如果为 true/false，"orphan"终结器将从对象的终结器列表添加到/删除。可以设置此字段或 PropagationPolicy，但不能同时设置两者。 |
|
|
| 是否以及是否执行垃圾回收。此字段或 OrphanDependents 可以设置，但不能同时设置两者。默认策略由 metadata.finalizers 和特定于资源的默认策略中设置的现有终结器决定。可接受的值为： 'Orphan' - 孤立依赖; 'Background' - 允许垃圾收集器在后台删除依赖的依赖关系； 'Foreground' - 一个删除前台所有依赖的级联策略。 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
- HTTP 方法
-
GET - 描述
- 读取指定的 NetworkPolicy
| HTTP 代码 | 响应正文 |
|---|---|
| 200 - OK | |
| 401 - Unauthorized | 空 |
- HTTP 方法
-
PATCH - 描述
- 部分更新指定的 NetworkPolicy
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| 出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理 |
|
|
| fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。应用请求(application/apply-patch)需要此字段，但对于非应用补丁类型(JsonPatch、MergePatch、OptMergePatch)是可选的。 |
|
|
| 强制将"强制"应用请求。这意味着用户会重新清空由其他人员拥有的冲突字段。对于非应用补丁请求，必须取消设置 force 标志。 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
|
| HTTP 代码 | 响应正文 |
|---|---|
| 200 - OK | |
| 201 - Created | |
| 401 - Unauthorized | 空 |
- HTTP 方法
-
PUT - 描述
- 替换指定的 NetworkPolicy
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| 出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理 |
|
|
| fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| HTTP 代码 | 响应正文 |
|---|---|
| 200 - OK | |
| 201 - Created | |
| 401 - Unauthorized | 空 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| NetworkPolicy 的名称 |
|
|
| 对象名称和身份验证范围，如团队和项目 |
| 参数 | 类型 | 描述 |
|---|---|---|
|
|
| allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。没有实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。 |
|
|
| 从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须在没有 continue 字段的情况下重启其列表。否则，客户端可能会发送另一个列表请求，并带有 410 错误收到的令牌，服务器将通过从下一个密钥开始的列表进行响应，但从最新的快照（从最后一个列表结果中不一致） - 在第一个列表请求后创建、修改或删除的对象将包含在响应中，只要其密钥在"next key"后。 当 watch 为 true 时，不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值启动监视，而不丢失任何修改。 |
|
|
| 用于限制返回的对象列表的选择器。默认为任何内容。 |
|
|
| 通过标签限制返回的对象列表的选择器。默认为任何内容。 |
|
|
| 限制是列表调用要返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的"continue"字段设置为可用于同一初始查询的值，以检索下一个结果集。在过滤所有请求的对象时，设置限制可能会返回比请求的项目数量少（最多为零项），客户端应只使用 continue 字段的存在来确定是否有更多结果可用。服务器可以选择不支持限制参数，并将返回所有可用的结果。如果指定了限制，并且 continue 字段为空，客户端可能会假设没有更多可用的结果。如果 watch 为 true，则不支持此字段。 服务器保证在使用 continue 时返回的对象与在没有限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后不会创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制的客户端接收一个非常大的结果较小的块可以确保它们看到所有可能的对象。如果在块列出期间更新对象，则返回第一次列表结果时存在的对象版本。 |
|
|
| 如果 'true'，则输出被用户友善。 |
|
|
| resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions 默认为未设置 |
|
|
| resourceVersionMatch 决定 resourceVersion 如何应用到列出调用。强烈建议您为设置了 resourceVersion 的列表调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。 默认为未设置 |
|
|
| list/watch 调用的超时。这限制了调用的时间，无论任何活动或不活跃。 |
|
|
| 观察对描述的资源的更改，并将其作为添加、更新和删除通知流返回。指定 resourceVersion。 |
- HTTP 方法
-
GET - 描述
- 观察对类型为 NetworkPolicy 的对象的更改。已弃用：使用带有列表操作的 'watch' 参数，而是过滤到带有 'fieldSelector' 参数的单个项目。
| HTTP 代码 | 响应正文 |
|---|---|
| 200 - OK |
|
| 401 - Unauthorized | 空 |
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}