为 Kubernetes 网络策略配置集群

1. 挂载 BPF 文件系统

   注意

   如果您的集群是版本 1.27 或更高版本，则可以跳过此步骤，因为所有 Amazon EKS 优化版 Amazon Linux 和 Bottlerocket AMI 1.27 或更高版本都已具有此功能。

   对于所有其他集群版本，如果您将 Amazon EKS 优化版 Amazon Linux 升级到版本 v20230703 或更高版本，或者将 Bottlerocket AMI 升级到版本 v1.0.2 或更高版本，则可以跳过此步骤。

   1. 在每个节点上挂载 Berkeley Packet Filter（BPF）文件系统。

      sudo mount -t bpf bpffs /sys/fs/bpf
      

   2. 然后，将相同的命令添加到 Amazon EC2 Auto Scaling 的启动模板中的用户数据。

2. 在 VPC CNI 中启用网络策略

   1. 查看集群上当前安装的附加组件类型。根据您创建集群时使用的工具，您的集群上目前可能没有安装 Amazon EKS 附加组件类型。将 my-cluster 替换为您集群的名称。

      aws eks describe-addon --cluster-name my-cluster --addon-name vpc-cni --query addon.addonVersion --output text

      如果返回来的是版本号，则表明您的集群上安装有 Amazon EKS 类型的附加组件，而且此流程中其余的步骤，您也不需要走完。如果返回来的是一个错误，则表明您的集群上没有安装 Amazon EKS 类型的附加组件。

   2. • Amazon EKS 附加组件

        Amazon Web Services Management Console

        1. 从以下位置打开 Amazon EKS 控制台：https://console.aws.amazon.com/eks/home#/clusters。

        2. 在左侧导航窗格中，选择集群，然后选择要为其配置 Amazon VPC CNI 附加组件的集群名称。

        3. 选择附加组件选项卡。

        4. 选择附加组件框右上角的框，然后选择 Edit（编辑）。

        5. 在 Configure name of addon（配置 name of addon）页面上：

           1. 在版本下拉列表中选择 v1.14.0-eksbuild.3 或更高版本。

           2. 展开可选配置设置。

           3. 在配置值中输入 JSON 键 "enableNetworkPolicy": 和值 "true"。生成的文本必须是有效的 JSON 对象。如果此键和值是文本框中的唯一数据，请用大括号 {} 将键和值括起来。以下示例显示网络策略已启用：

              { "enableNetworkPolicy": "true" }

              下面的屏幕截图为此场景的一个示例。

           

        Amazon CLI

        • 运行以下 Amazon CLI 命令：将 my-cluster 替换为集群的名称，并将 IAM 角色 ARN 替换为您正在使用的角色。

          aws eks update-addon --cluster-name my-cluster --addon-name vpc-cni --addon-version v1.14.0-eksbuild.3 \
              --service-account-role-arn arn:aws:iam::123456789012:role/AmazonEKSVPCCNIRole \
              --resolve-conflicts PRESERVE --configuration-values '{"enableNetworkPolicy": "true"}'
                                  

      • 自行管理的附加组件

        Helm

        如果您已通过 helm 安装 Amazon VPC CNI plugin for Kubernetes，则可以更新配置以启用网络策略。

        • 运行以下命令以启用网络策略。

          helm upgrade --set enableNetworkPolicy=true aws-vpc-cni --namespace kube-system eks/aws-vpc-cni

        kubectl

        1. 在编辑器中打开 amazon-vpc-cni ConfigMap。

           kubectl edit configmap -n kube-system amazon-vpc-cni -o yaml
           

        2. 将以下行添加到 ConfigMap 中的 data。

           enable-network-policy-controller: "true"
           

           添加该行后，您的 ConfigMap 应该看起来像下面的示例。

           apiVersion: v1
            kind: ConfigMap
            metadata:
             name: amazon-vpc-cni
             namespace: kube-system
            data:
             enable-network-policy-controller: "true"

        3. 在编辑器中打开 aws-node DaemonSet。

           kubectl edit daemonset -n kube-system aws-node
           

        4. 在 VPC CNI aws-node 守护程序集清单中 aws-network-policy-agent 容器的 args: 中，将命令参数 --enable-network-policy=false 中的 false 替换为 true。

                - args:
                   - --enable-network-policy=true

3. 确认 aws-node 容器组（pod）正在您的集群上运行。

   kubectl get pods -n kube-system | grep 'aws-node\|amazon'
   

   示例输出如下。

   aws-node-gmqp7                                          2/2     Running   1 (24h ago)   24h
   aws-node-prnsh                                          2/2     Running   1 (24h ago)   24h

   如果启用网络策略，则 aws-node 容器组（pod）中有 2 个容器。在以前的版本中，如果禁用网络策略，则 aws-node 容器组（pod）中只有 1 个容器。

   您现在可以将 Kubernetes 网络策略部署到集群。有关更多信息，请参阅 Kubernetes 网络策略。

运行 Stars 策略演示

1. 应用前端、后端、客户端和管理用户界面服务：

   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/namespace.yaml
   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/management-ui.yaml
   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/backend.yaml
   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/frontend.yaml
   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/client.yaml
   

2. 请查看集群上的所有 Pods。

   kubectl get pods -A
   

   示例输出如下。

   在输出中，您应该会在以下输出中显示的命名空间中看到容器。容器组（pod）的 NAMES 和 READY 列中的容器组（pod）数量与以下输出中的不同。在看到具有相似名称的容器并且它们在 STATUS 列中都具有 Running 之前，请不要继续。

   NAMESPACE         NAME                                       READY   STATUS    RESTARTS   AGE
   [...]
   client            client-xlffc                               1/1     Running   0          5m19s
   [...]
   management-ui     management-ui-qrb2g                        1/1     Running   0          5m24s
   stars             backend-sz87q                              1/1     Running   0          5m23s
   stars             frontend-cscnf                             1/1     Running   0          5m21s
   [...]

3. 要连接到管理用户界面，请连接到集群上运行的 EXTERNAL-IP 服务：

   kubectl get service/management-ui -n management-ui
   

4. 打开浏览器，进入上一步中的位置。您应该会看到管理用户界面。C 节点是客户端服务，F 节点是前端服务，B 节点是后端服务。每个节点都有到所有其他节点的完整通信访问权限（如粗体、彩色行所示）。

   

5. 在 stars 和 client 命名空间中应用以下网络策略，以将服务彼此隔离：

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: default-deny
   spec:
     podSelector:
       matchLabels: {}

   您可以使用以下命令将策略应用于两个命名空间：

   kubectl apply -n stars -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/apply_network_policies.files/default-deny.yaml
   kubectl apply -n client -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/apply_network_policies.files/default-deny.yaml
   

6. 刷新您的浏览器。您可以看到管理用户界面不再能访问任何节点，因此它们不会显示在用户界面中。

7. 应用以下不同的网络策略以允许管理用户界面访问这些服务。应用此策略以允许 UI：

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     namespace: stars
     name: allow-ui 
   spec:
     podSelector:
       matchLabels: {}
     ingress:
       - from:
           - namespaceSelector:
               matchLabels:
                 role: management-ui 

   应用此策略以允许客户端：

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     namespace: client 
     name: allow-ui 
   spec:
     podSelector:
       matchLabels: {}
     ingress:
       - from:
           - namespaceSelector:
               matchLabels:
                 role: management-ui 

   您可以使用以下命令应用这两个策略：

   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/apply_network_policies.files/allow-ui.yaml
   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/apply_network_policies.files/allow-ui-client.yaml
   

8. 刷新您的浏览器。您可以看到管理用户界面可以再次访问节点，但各节点无法相互通信。

   

9. 应用以下网络策略以允许流量从前端服务传到后端服务：

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     namespace: stars
     name: backend-policy
   spec:
     podSelector:
       matchLabels:
         role: backend
     ingress:
       - from:
           - podSelector:
               matchLabels:
                 role: frontend
         ports:
           - protocol: TCP
             port: 6379
   

10. 刷新您的浏览器。您将看到前端可以与后端进行通信。

    

11. 应用以下网络策略以允许流量从客户端传到前端服务：

    kind: NetworkPolicy
    apiVersion: networking.k8s.io/v1
    metadata:
      namespace: stars
      name: frontend-policy
    spec:
      podSelector:
        matchLabels:
          role: frontend 
      ingress:
        - from:
            - namespaceSelector:
                matchLabels:
                  role: client
          ports:
            - protocol: TCP
              port: 80
    

12. 刷新您的浏览器。您将看到客户端可以与前端服务进行通信。前端服务仍可以与后端服务进行通信。

    

13. （可选）完成该演示后，您可以删除其资源。

    kubectl delete -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/client.yaml
    kubectl delete -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/frontend.yaml
    kubectl delete -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/backend.yaml
    kubectl delete -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/management-ui.yaml
    kubectl delete -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/namespace.yaml
    

    甚至在删除资源后，节点上仍可能存在网络策略端点，这些端点可能会以意想不到的方式干扰集群中的网络。删除这些规则的唯一可靠方法是重新启动节点或终止所有节点并将它们回收。要终止所有节点，请将自动扩缩组所需计数设置为 0，然后创建所需数量的备份，或者仅终止节点。