3

在我们的 EKS Kubernetes 集群中，我们有一个通用的 calico 网络策略来禁止所有流量。然后我们添加网络策略以允许所有流量。

我们的一个 pod 需要与 Kubernetes API 通信，但除了非常广泛的 ipBlock 选择器之外，我似乎无法将该流量与其他任何东西相匹配。还有其他方法吗？

这目前有效，但提供了过于广泛的访问权限：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: test-network-policy
spec:
  podSelector:
    matchLabels:
      run: my-test-pod
  policyTypes:
    - Egress
  egress:
    - to:                 # To access the actual kubernetes API
        - ipBlock:
            cidr: 192.168.0.0/16
      ports:
        - protocol: TCP
          port: 443

在 AWS EKS 中，我看不到控制平面 pod，但在我的 RPI 集群中，我可以。在 RPI 集群中，API pod 有标签“component=kube-apiserver,tier=control-plane”，所以我也尝试使用带有这些标签的 podSelector，但它在 EKS 或 RPI 集群中都不匹配：

    - to:
        - namespaceSelector:
            matchLabels:
              name: kube-system
        - podSelector:
            matchLabels:
              component: kube-apiserver

任何帮助，将不胜感激。

4

1 回答 1

0

如果你：

  • 通过运行找到 API 服务器kubectl cluster-info

  • 调查

Kubernetes master 正在运行......让我们从示例中说https://EXAMPLE0A04F01705DD065655C30CC3D.yl4.us-west-2.eks.amazonaws.com

最后a.b.c.d/32在 NetworkPolicy 中使用，例如

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: test-network-policy
spec:
  podSelector: {}
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: a.b.c.d/32
    ports:
    - protocol: TCP
      port: 443

如果我理解错了请纠正我

于 2020-10-12T21:12:09.160 回答