5.2.7. 使用 OpenShift Cluster Manager 创建网络策略
要定义细致的规则来描述集群中命名空间允许的入口或出口网络流量，您可以创建一个网络策略。
先决条件
- 登录 OpenShift Cluster Manager 混合云控制台。
- 已创建一个 OpenShift Dedicated 集群。
- 已为集群配置身份提供程序。
- 将您的用户帐户添加到配置的身份提供程序中。
- 您在 OpenShift Dedicated 集群中创建了项目。
流程
- 在 OpenShift Cluster Manager Hybrid Cloud Console 中，点您要访问的集群。
- 单击 Open console 以导航到 OpenShift Web 控制台。
- 点击身份提供程序，并提供您的凭证以登录到集群。
- 从管理员视角，在 Networking 下点击 NetworkPolicies。
- 点 Create NetworkPolicy。
- 在 Policy name 字段中，提供策略的名称。
- 可选：如果此策略仅适用于一个或多个特定的 pod，您可以为特定 pod 提供标签和选择器。如果您没有选择特定 pod，则此策略将适用于集群中的所有 pod。
- 可选： 您可以使用 Deny 所有入口流量或拒绝所有 出口流量复选框来阻止所有入口和出口流量。
- 您还可以添加入口和出口规则的任意组合，允许您指定您要批准的端口、命名空间或 IP 块。
在您的策略中添加入站规则：
选择 Add ingress 规则 来配置新规则。此操作使用 Add allowed source 下拉菜单创建新的 Ingress 规则 行，允许您指定如何限制入站流量。下拉菜单提供三个选项来限制您的入口流量：
- 允许来自同一命名空间的 pod 将流量限制到同一命名空间中的 pod。您可以在命名空间中指定 pod，但将此选项留空允许来自该命名空间中的所有 pod 的流量。
- 允许从集群内部的 pod 将流量限制到与策略相同的集群中的 pod。您可以指定要允许入站流量的命名空间和 pod。将此选项留空可让来自此集群中所有命名空间和 pod 的入站流量。
- 允许 IP 块限制指定无域间路由(CIDR)IP 块的流量。您可以使用例外选项阻止特定的 IP。将 CIDR 字段留空允许所有外部来源的所有入站流量。
- 您可以将所有入站流量限制为端口。如果您不添加任何端口，则流量可以访问所有端口。
在您的网络策略中添加出口规则：
选择 Add egress rule 来配置新规则。此操作会创建一个带有 Add allowed destination"* 下拉菜单的新 Egress 规则 行，它允许您指定如何限制出站流量。下拉菜单提供三个选项来限制您的出口流量：
- 允许来自同一命名空间的 pod 将出站流量限制为同一命名空间中的 pod。您可以在命名空间中指定 pod，但将此选项留空允许来自该命名空间中的所有 pod 的流量。
- 允许从集群内部的 pod 将流量限制到与策略相同的集群中的 pod。您可以指定要允许出站流量的命名空间和 pod。将这个选项留空允许来自此集群中所有命名空间和 pod 的出站流量。
- 允许 IP 块限制指定 CIDR IP 块的流量。您可以使用例外选项阻止特定的 IP。将 CIDR 字段留空允许所有外部来源的出站流量。
- 您可以将所有出站流量限制为端口。如果您不添加任何端口，则流量可以访问所有端口。