23.4. マルチネットワークポリシーの設定

手順

1. ポリシールールを作成します。

   1. <policy_name>.yaml ファイルを作成します。

      $ touch <policy_name>.yaml

      ここでは、以下のようになります。

      <policy_name>

      マルチネットワークポリシーのファイル名を指定します。

   2. 作成したばかりのファイルで、以下の例のようなマルチネットワークポリシーを定義します。

      すべての namespace のすべての Pod から ingress を拒否します。

      これは基本的なポリシーであり、他のネットワークポリシーの設定によって許可されたクロス Pod トラフィック以外のすべてのクロス Pod ネットワーキングをブロックします。

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: deny-by-default
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
        ingress: []

      ここでは、以下のようになります。

      <network_name>

      ネットワーク割り当て定義の名前を指定します。

      同じ namespace のすべての Pod から ingress を許可します。

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: allow-same-namespace
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}

      ここでは、以下のようになります。

      <network_name>

      ネットワーク割り当て定義の名前を指定します。

      特定のnamespaceから 1 つの Pod への上りトラフィックを許可する

      このポリシーは、namespace-y で実行されている Pod から pod-a というラベルの付いた Pod へのトラフィックを許可します。

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: allow-traffic-pod
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
         matchLabels:
            pod: pod-a
        policyTypes:
        - Ingress
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                 kubernetes.io/metadata.name: namespace-y

      ここでは、以下のようになります。

      <network_name>

      ネットワーク割り当て定義の名前を指定します。

      サービスへのトラフィックを制限する

      このポリシーを適用すると、app=bookstore と role=api の両方のラベルを持つすべての Pod に、app=bookstore というラベルを持つ Pod のみがアクセスできるようになります。この例では、アプリケーションは、ラベル app=bookstore および role=api でマークされた REST API サーバーである可能性があります。

      この例では、次のユースケースに対応します。

      • サービスへのトラフィックを、それを使用する必要がある他のマイクロサービスのみに制限します。

      • データベースへの接続を制限して、それを使用するアプリケーションのみを許可します。

        apiVersion: k8s.cni.cncf.io/v1beta1
        kind: MultiNetworkPolicy
        metadata:
          name: api-allow
          annotations:
            k8s.v1.cni.cncf.io/policy-for: <network_name>
        spec:
          podSelector:
            matchLabels:
              app: bookstore
              role: api
          ingress:
          - from:
              - podSelector:
                  matchLabels:
                    app: bookstore

        ここでは、以下のようになります。

        <network_name>

        ネットワーク割り当て定義の名前を指定します。

2. マルチネットワークポリシーオブジェクトを作成するには、以下のコマンドを入力します。

   $ oc apply -f <policy_name>.yaml -n <namespace>

   ここでは、以下のようになります。

   <policy_name>

   マルチネットワークポリシーのファイル名を指定します。

   <namespace>

   オプション: オブジェクトが現在の namespace 以外の namespace に定義されている場合は namespace を指定します。

   出力例

   multinetworkpolicy.k8s.cni.cncf.io/deny-by-default created

手順

1. オプション: namespace のマルチネットワークポリシーオブジェクトをリスト表示するには、以下のコマンドを入力します。

   $ oc get multi-networkpolicy

   ここでは、以下のようになります。

   <namespace>

   オプション: オブジェクトが現在の namespace 以外の namespace に定義されている場合は namespace を指定します。

2. マルチネットワークポリシーオブジェクトを編集します。

   • マルチネットワークポリシーの定義をファイルに保存した場合は、ファイルを編集して必要な変更を加えてから、以下のコマンドを入力します。

     $ oc apply -n <namespace> -f <policy_file>.yaml

     ここでは、以下のようになります。

     <namespace>

     オプション: オブジェクトが現在の namespace 以外の namespace に定義されている場合は namespace を指定します。

     <policy_file>

     ネットワークポリシーを含むファイルの名前を指定します。

   • マルチネットワークポリシーオブジェクトを直接更新する必要がある場合、以下のコマンドを入力できます。

     $ oc edit multi-networkpolicy <policy_name> -n <namespace>

     ここでは、以下のようになります。

     <policy_name>

     ネットワークポリシーの名前を指定します。

     <namespace>

     オプション: オブジェクトが現在の namespace 以外の namespace に定義されている場合は namespace を指定します。

3. マルチネットワークポリシーオブジェクトが更新されていることを確認します。

   $ oc describe multi-networkpolicy <policy_name> -n <namespace>

   ここでは、以下のようになります。

   <policy_name>

   マルチネットワークポリシーの名前を指定します。

   <namespace>

   オプション: オブジェクトが現在の namespace 以外の namespace に定義されている場合は namespace を指定します。

手順

1. すべての namespace におけるすべての Pod からの ingress を拒否する deny-by-default ポリシーを定義する次の YAML を作成します。YAML を deny-by-default.yaml ファイルに保存します。

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: deny-by-default
     namespace: default 1
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name> 2
   spec:
     podSelector: {} 3
     ingress: [] 4

   1

   namespace: default は、このポリシーを default namespace にデプロイします。

   2

   network_name: ネットワーク割り当て定義の名前を指定します。

   3

   podSelector: は空です。これは、すべての Pod に一致することを意味します。したがって、ポリシーはデフォルトnamespaceのすべての Pod に適用されます。

   4

   指定された ingress ルールはありません。これにより、着信トラフィックがすべての Pod にドロップされます。

2. 次のコマンドを入力して、ポリシーを適用します。

   $ oc apply -f deny-by-default.yaml

   出力例

   multinetworkpolicy.k8s.cni.cncf.io/deny-by-default created

手順

1. パブリックインターネットからのトラフィックが直接、またはロードバランサーを使用して Pod にアクセスできるようにするポリシーを作成します。YAML を web-allow-external.yaml ファイルに保存します。

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: web-allow-external
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name>
   spec:
     policyTypes:
     - Ingress
     podSelector:
       matchLabels:
         app: web
     ingress:
       - {}

2. 次のコマンドを入力して、ポリシーを適用します。

   $ oc apply -f web-allow-external.yaml

   出力例

   multinetworkpolicy.k8s.cni.cncf.io/web-allow-external created

手順

1. すべてのnamespaceのすべての Pod から特定のアプリケーションへのトラフィックを許可するポリシーを作成します。YAML を web-allow-all-namespaces.yaml ファイルに保存します。

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: web-allow-all-namespaces
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name>
   spec:
     podSelector:
       matchLabels:
         app: web 1
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector: {} 2

   1

   デフォルトの namespace の app:web Pod にのみポリシーを適用します。

   2

   すべてのnamespaceのすべての Pod を選択します。

   注記

   デフォルトでは、namespaceSelector の指定を省略した場合、namespace は選択されません。つまり、ポリシーは、ネットワークポリシーがデプロイされている namespace からのトラフィックのみを許可します。

2. 次のコマンドを入力して、ポリシーを適用します。

   $ oc apply -f web-allow-all-namespaces.yaml

   出力例

   multinetworkpolicy.k8s.cni.cncf.io/web-allow-all-namespaces created

検証

1. 次のコマンドを入力して、default namespace で Web サービスを開始します。

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

2. 次のコマンドを実行して、alpine イメージを secondary namespace にデプロイし、シェルを開始します。

   $ oc run test-$RANDOM --namespace=secondary --rm -i -t --image=alpine -- sh

3. シェルで次のコマンドを実行し、リクエストが許可されていることを確認します。

   # wget -qO- --timeout=2 http://web.default

   予想される出力

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>

手順

1. ラベルが purpose=production の特定の namespace 内にあるすべての Pod からのトラフィックを許可するポリシーを作成します。YAML を web-allow-prod.yaml ファイルに保存します。

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: web-allow-prod
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name>
   spec:
     podSelector:
       matchLabels:
         app: web 1
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             purpose: production 2

   1

   デフォルトの namespace の app:web Pod にのみポリシーを適用します。

   2

   ラベルが purpose=production の namespace 内にある Pod のみにトラフィックを制限します。

2. 次のコマンドを入力して、ポリシーを適用します。

   $ oc apply -f web-allow-prod.yaml

   出力例

   multinetworkpolicy.k8s.cni.cncf.io/web-allow-prod created

検証

1. 次のコマンドを入力して、default namespace で Web サービスを開始します。

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

2. 次のコマンドを実行して、prod namespace を作成します。

   $ oc create namespace prod

3. 次のコマンドを実行して、prod namespace にラベルを付けます。

   $ oc label namespace/prod purpose=production

4. 次のコマンドを実行して、dev namespace を作成します。

   $ oc create namespace dev

5. 次のコマンドを実行して、dev namespace にラベルを付けます。

   $ oc label namespace/dev purpose=testing

6. 次のコマンドを実行して、alpine イメージを dev namespace にデプロイし、シェルを開始します。

   $ oc run test-$RANDOM --namespace=dev --rm -i -t --image=alpine -- sh

7. シェルで次のコマンドを実行し、リクエストがブロックされていることを確認します。

   # wget -qO- --timeout=2 http://web.default

   予想される出力

   wget: download timed out

8. 次のコマンドを実行して、alpine イメージを prod namespace にデプロイし、シェルを開始します。

   $ oc run test-$RANDOM --namespace=prod --rm -i -t --image=alpine -- sh

9. シェルで次のコマンドを実行し、リクエストが許可されていることを確認します。

   # wget -qO- --timeout=2 http://web.default

   予想される出力

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>