16.4. 配置多网络策略

流程

1. 创建策略规则：

   1. 创建一个 <policy_name>.yaml 文件：

      $ touch <policy_name>.yaml

      其中：

      <policy_name>

      指定多网络策略文件名。

   2. 在您刚才创建的文件中定义多网络策略，如下例所示：

      拒绝来自所有命名空间中的所有 pod 的入口流量

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: deny-by-default
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
        ingress: []

      其中

      <network_name>

      指定网络附加定义的名称。

      允许来自所有命名空间中的所有 pod 的入口流量

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: allow-same-namespace
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}

      其中

      <network_name>

      指定网络附加定义的名称。

2. 运行以下命令来创建多网络策略对象：

   $ oc apply -f <policy_name>.yaml -n <namespace>

   其中：

   <policy_name>

   指定多网络策略文件名。

   <namespace>

   可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

   输出示例

   multinetworkpolicy.k8s.cni.cncf.io/default-deny created

流程

1. 可选： 要列出命名空间中的多网络策略对象，请输入以下命令：

   $ oc get multi-networkpolicy

   其中：

   <namespace>

   可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

2. 编辑多网络策略对象。

   • 如果您在文件中保存了多网络策略定义，请编辑该文件并进行必要的更改，然后输入以下命令。

     $ oc apply -n <namespace> -f <policy_file>.yaml

     其中：

     <namespace>

     可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

     <policy_file>

     指定包含网络策略的文件的名称。

   • 如果您需要直接更新多网络策略对象，请输入以下命令：

     $ oc edit multi-networkpolicy <policy_name> -n <namespace>

     其中：

     <policy_name>

     指定网络策略的名称。

     <namespace>

     可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

3. 确认已更新多网络策略对象。

   $ oc describe multi-networkpolicy <policy_name> -n <namespace>

   其中：

   <policy_name>

   指定多网络策略的名称。

   <namespace>

   可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。