Azure Kubernetes Service (AKS) のネットワーク ポリシーを使用してポッド間のトラフィックをセキュリティで保護する

Azure CLI バージョン 2.0.61 以降がインストールされて構成されている必要があります。 az --version コマンドを使用してバージョンを検索します。 インストールまたはアップグレードする必要がある場合は、Azure CLI のインストールに関するページを参照してください。

システム割り当て ID を使用する代わりに、ユーザー割り当て ID を使用することもできます。 詳細については、マネージド ID の使用に関するページを参照してください。

• Terraform がインストールされているバージョン 1.6 以降。
• インストールされて認証されている Azure CLI。 az --version コマンドを使用してバージョンを検索します。 インストールまたはアップグレードする必要がある場合は、Azure CLI のインストールに関するページを参照してください。 Azure CLIを使用して、Terraform でクラスターを作成した後にクラスターに接続します。
• kubectl がインストールされています。 az aks install-cli コマンドを使用してローカルにインストールできます。 kubectlを使用して、ネットワーク ポリシーの動作を確認します。

Azure Network Policy Manager (Linux) を使用して AKS クラスターを作成する

1. リソース グループ名、クラスター名、および場所の環境変数を設定します。 必要に応じて値を置き換えます。

   export RESOURCE_GROUP=myResourceGroup
   export CLUSTER_NAME=myAKSCluster
   export LOCATION=eastus
   

2. az group create コマンドを使用してリソース グループを作成します。

   az group create --resource-group $RESOURCE_GROUP --location $LOCATION
   

3. az aks createを使用して AKS クラスターを作成し、azureとnetwork-pluginのnetwork-policyを指定します。

   az aks create \
       --resource-group $RESOURCE_GROUP \
       --name $CLUSTER_NAME \
       --node-count 1 \
       --network-plugin azure \
       --network-policy azure \
       --generate-ssh-keys
   

   注意事項

   Linux ノード用の Azure Network Policy Manager (NPM) は、2028 年 9 月 30 日に廃止されます。 新しいデプロイでは、 Cilium によって提供される Azure CNI と Cilium ネットワーク ポリシーを使用することをお勧めします。 既存のクラスターを移行するには、「 NPM から Cilium ネットワーク ポリシーへの移行」を参照してください。

Calico を使用して AKS クラスターを作成する

az aks create コマンドを使用して AKS クラスターを作成します。 --network-plugin azure および --network-policy calico を指定します。 --network-policy calicoを指定すると、Linux ノード プールと Windows ノード プールの両方で Calico を有効にします。

Windowsノード プールをクラスターに追加する場合は、Windows Serverパスワードの要件を満たすwindows-admin-usernameパラメーターとwindows-admin-passwordパラメーターを含めます。 クラスター上のWindows Server コンテナーの管理者資格情報として使用するユーザー名を作成するには、次のコマンドを実行してユーザー名の入力を求めます。 WINDOWS_USERNAMEに設定します。

echo "Please enter the username to use as administrator credentials for Windows Server containers on your cluster: " && read WINDOWS_USERNAME

既存のクラスターに Azure Network Policy Manager または Calico をインストールする

az aks update コマンドを使用し、azure パラメーターにcalicoまたは--network-policyを指定して、既存のクラスターを更新して Azure NPM または Calico をインストールします。 次のコマンド例は、いずれかの Azure NPM をインストールする方法を示しています。

az aks update \
  --resource-group $RESOURCE_GROUP \
  --name $CLUSTER_NAME \
  --network-policy azure

Azure NPM または Calico を使用して既存のクラスターを Cilium にアップグレードする

Azure CNI を既に使用しているクラスターの場合は、ネットワーク データ プレーンを Cilium に更新します。 Kubenet クラスターは、最初に Azure CNI オーバーレイに移行してから、別の操作としてネットワーク データ プレーンを Cilium に更新する必要があります。 前提条件を確認し、「既存のクラスターを Cilium を使用した CNI をAzureにアップグレードする」の手順に従います。

AKS クラスターに接続する

kubectl コマンドを使用して、クラスターに接続するように az aks get-credentials を構成します。 このコマンドは、資格情報をダウンロードし、それを使用するように Kubernetes CLI を構成します。

az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME

ネットワーク ポリシーのセットアップを検証する

ネットワーク ポリシーの検証を開始するために、サンプル アプリケーションを作成し、トラフィック ルールを設定します。

1. demo コマンドを使用してサンプル ポッドを実行する kubectl create namespace という名前の名前空間を作成します。

   kubectl create namespace demo
   

2. server コマンドを使用して、TCP ポート 80 で使用する kubectl run という名前のポッドを作成します。

   kubectl run server -n demo --image=k8s.gcr.io/e2e-test-images/agnhost:2.33 --labels="app=server" --port=80 --command -- /agnhost serve-hostname --tcp --http=false --port "80"
   

3. client コマンドを使用して Bash を実行するkubectl runという名前のポッドを作成します。

   kubectl run -it client -n demo --image=k8s.gcr.io/e2e-test-images/agnhost:2.33 --command -- bash
   

   Note

   特定のノードでクライアントまたはサーバーをスケジュールする場合は、ポッド作成 --command コマンドの kubectl run 引数の前に次のビットを追加します:--overrides='{"spec": { "nodeSelector": {"kubernetes.io/os": "linux|windows"}}}'。

4. 別のウィンドウで、server コマンドを使用してkubectl get pod ポッドの IP アドレスを取得します。

   kubectl get pod --output=wide -n demo
   

   出力は、次の出力例のようになります。

   NAME     READY   STATUS    RESTARTS   AGE   IP            NODE             NOMINATED NODE   READINESS GATES
   server   1/1     Running   0          30s   10.224.0.72   akswin22000001   <none>           <none>
   

ネットワーク ポリシーを使用して接続をテストする

1. demo-policy.yaml という名前のファイルを作成し、次の YAML マニフェストを貼り付けます。

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: demo-policy
     namespace: demo
   spec:
     podSelector:
       matchLabels:
         app: server
     ingress:
     - from:
       - podSelector:
           matchLabels:
             app: client
       ports:
       - port: 80
         protocol: TCP
   

2. kubectl apply コマンドを使用して、ネットワーク ポリシー マニフェストを適用します。

   kubectl apply -f demo-policy.yaml
   

3. クライアント シェルで、次の /agnhost コマンドを使用して、サーバーとの接続を確認します。

   /agnhost connect <server-ip>:80 --timeout=3s --protocol=tcp
   

   トラフィックとの接続がブロックされるのは、サーバーには app=server というラベルが付いているけれども、クライアントにはラベルが付いていないからです。 出力は、次の出力例のようになります。

   TIMEOUT
   

4. clientにラベルを付け、kubectl label コマンドを使用してサーバーとの接続を確認します。

   kubectl label pod client -n demo app=client
   

   接続が成功した場合は、出力がありません。

セルフマネージド Calico への移行

AKS では、標準の Kubernetes ネットワーク ポリシーに対してのみ Calico がサポートされ、他の機能はテストされません。 セルフマネージド Calico に移行する場合は、 Azure マネージド Calico からセルフマネージド Calico への移行に関するページの Tigera の手順に従ってください。 Tigera のドキュメントでは、自己管理型 Calico の場合は、アンインストール セクションのように設定するよう記載されています。

Azure Network Policy Manager または Calico をアンインストールする

az aks update コマンドを使用し、none パラメーターに--network-policyを指定して、既存のクラスターから Azure Network Policy Manager または Calico を削除します。

az aks update \
  --resource-group $RESOURCE_GROUP \
  --name $CLUSTER_NAME \
  --network-policy none

クラスター ネットワーク ポリシーを変更する

次の手順では、クラスターの既存のネットワーク ポリシーを Calico に変更する方法を示します。 この手順では、ネットワーク ポリシーを none に変更してから、 calicoに変更する必要があります。

このコマンドでは、この記事で前述した変数を使用して、 Azure Network Policy Manager (Linux) を使用して AKS クラスターを作成します。 それ以外の場合は、 $RESOURCE_GROUP と $CLUSTER_NAME をクラスターのリソース グループと名前に置き換えます。

1. 次のコマンドを実行して、クラスターの既存のネットワーク ポリシーを表示します。

   az aks show \
     --resource-group $RESOURCE_GROUP \
     --name $CLUSTER_NAME \
     --query "networkProfile" \
     --output table
   

2. 次のコマンドを実行して、ネットワーク ポリシーを noneに設定します。

   az aks update --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --network-policy none
   

3. 次のコマンドを実行して、ネットワーク ポリシーを calicoに設定します。

   az aks update --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --network-policy calico
   

リソースをクリーンアップする

この記事では、名前空間と 2 つのポッドを作成して、ネットワーク ポリシーを適用しました。 これらのリソースが不要になった場合は、それらを削除できます。

kubectl delete コマンドを使用してリソースを削除します。

kubectl delete namespace demo

この記事の手順に従って AKS クラスターを作成した場合は、 az group delete コマンドを使用して、 MC_で始まる名前の AKS リソース グループとその関連リソース グループを削除します。

az group delete --resource-group $RESOURCE_GROUP --no-wait --yes

Terraform を使用して Cilium ネットワーク ポリシーを使用して AKS クラスターを作成する

このセクションでは、Terraform を使用して、ネットワークとネットワーク ポリシーの適用に Azure CNI Powered by Cilium を使用する AKS クラスターをデプロイし、Kubernetes NetworkPolicy リソースを使用してポッド間トラフィックを制御する方法について説明します。

このサンプルでは、次のものをデプロイします。

• リソース グループ。
• ネットワーク ポリシー エンジンおよびネットワーク データプレーンとして Cilium を使用Azure CNI オーバーレイ ネットワークを使用する AKS クラスター。

1. サンプルの Terraform コードをテストして実行するディレクトリを作成し、それを現在のディレクトリにします。

2. main.tf という名前のファイルを作成し、次のコードを挿入します。

   terraform {
     required_version = ">= 1.6.0"
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~> 4.0"
       }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   resource "azurerm_resource_group" "example" {
     name     = "rg-aks-network-policy-example"
     location = "eastus"
   }
   
   resource "azurerm_kubernetes_cluster" "example" {
     name                = "aks-network-policy-example"
     location            = azurerm_resource_group.example.location
     resource_group_name = azurerm_resource_group.example.name
     dns_prefix          = "aksnetpolicyexample"
   
     default_node_pool {
       name       = "default"
       node_count = 1
       vm_size    = "Standard_D2s_v3"
   
       upgrade_settings {
         drain_timeout_in_minutes      = 0
         max_surge                     = "10%"
         node_soak_duration_in_minutes = 0
       }
     }
   
     identity {
       type = "SystemAssigned"
     }
   
     network_profile {
       network_plugin      = "azure"
       network_plugin_mode = "overlay"
       network_policy      = "cilium"
       network_data_plane  = "cilium"
       load_balancer_sku   = "standard"
     }
   }
   

3. terraform init コマンドを実行して Terraform を初期化します。 このコマンドは、Terraform を使用して Azure リソースを管理するために必要な Azure プロバイダーをダウンロードします。

   terraform init
   

4. terraform fmtコマンドとterraform validate コマンドを実行して、構成の書式設定と検証を行います。

   terraform fmt
   terraform validate
   

5. terraform plan コマンドを実行して、Terraform 実行プランを作成します。 このコマンドは、Terraform が Azure サブスクリプションで作成または変更するリソースを示します。

   terraform plan
   

6. terraform apply コマンドを実行して、Terraform 実行プランを適用します。 このコマンドは、Azure サブスクリプションのmain.tf ファイルに定義されているリソースを作成します。

   terraform apply
   

Terraform を使用して AKS クラスターに接続する

1. az aks install-cli コマンドを実行して Kubernetes コマンド ライン ツールをインストールし、インストールを確認します。

   az aks install-cli
   kubectl version --client
   

2. az aks get-credentials コマンドを実行して、クラスターに接続するようにkubectlを構成します。 このコマンドは、資格情報をダウンロードし、それを使用するように Kubernetes CLI を構成します。

   az aks get-credentials \
       --resource-group rg-aks-network-policy-example \
       --name aks-network-policy-example
   

3. kubectl get nodes コマンドを実行して、クラスターが実行されていることを確認します。

   kubectl get nodes
   

Terraform を使用してネットワーク ポリシーの設定を確認する

ネットワーク ポリシーのセットアップを確認するには、サンプル アプリケーションを作成し、トラフィック ルールを設定します。

1. kubectl create namespace コマンドを使用してサンプル ポッドを実行する demo という名前の名前空間を作成します。

   kubectl create namespace demo
   

2. kubectl run コマンドを実行して、TCP ポート 80 で提供する server という名前のポッドを作成します。

   kubectl run server \
     -n demo \
     --image=k8s.gcr.io/e2e-test-images/agnhost:2.33 \
     --labels="app=server" \
     --port=80 \
     --command -- /agnhost serve-hostname --tcp --http=false --port "80"
   

3. kubectl run コマンドを使用して Bash を実行するclientという名前のポッドを作成します。

   kubectl run -it client \
     -n demo \
     --image=k8s.gcr.io/e2e-test-images/agnhost:2.33 \
     --command -- bash
   

4. 別のウィンドウで、kubectl get pod コマンドを使用して、server ポッドの IP アドレスを取得します。

   kubectl get pod --output=wide -n demo
   

   次のセクションでclient シェルからの接続をテストするときは、server ポッドの IP アドレスを使用します。

Terraform を使用してネットワーク ポリシーとの接続をテストする

このサンプルには、TCP ポート 80 でapp=clientラベル付けされたポッドからのみapp=serverラベル付けされたポッドへのイングレス トラフィックを許可する Kubernetes NetworkPolicy マニフェストが含まれています。

1. network-policy.yaml という名前のファイルを作成し、次のコードを挿入します。

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: demo-policy
     namespace: demo
   spec:
     podSelector:
       matchLabels:
         app: server
     policyTypes:
       - Ingress
     ingress:
       - from:
           - podSelector:
               matchLabels:
                 app: client
         ports:
           - protocol: TCP
             port: 80
   

2. kubectl apply コマンドを使用して、ネットワーク ポリシーを適用します。

   kubectl apply -f network-policy.yaml
   

3. client シェルで、次の /agnhost コマンドを使用して、サーバーへの接続をテストします。

   /agnhost connect <server-ip>:80 --timeout=3s --protocol=tcp
   

   サーバーに app=server のラベルが付けられますが、クライアントにラベルが付いていないため、接続はブロックされます。 出力は、次の出力例のようになります。

   TIMEOUT
   

4. clientにラベルを付け、kubectl label コマンドを使用してサーバーとの接続を確認します。

   kubectl label pod client -n demo app=client
   

5. client シェルで、同じ /agnhost コマンドを使用して、サーバーへの接続をもう一度テストします。

   /agnhost connect <server-ip>:80 --timeout=3s --protocol=tcp
   

   接続が成功した場合は、出力がありません。

6. kubectl get networkpolicyコマンドとkubectl describe networkpolicy コマンドを使用して、ネットワーク ポリシーを確認します。

   kubectl get networkpolicy -n demo
   kubectl describe networkpolicy demo-policy -n demo
   

   出力は、 app=server というラベルが付いたポッドが選択され、イングレス トラフィックが TCP ポート 80 で許可され、 app=client ラベルが付いたポッドのみが接続を開始できることを示しています。

Terraform を使用してリソースをクリーンアップする

このセクションでは、名前空間、2 つのポッド、およびネットワーク ポリシーを作成しました。 これらの Kubernetes リソースが不要になった場合は、基になる Azure インフラストラクチャを削除する前に、それらを削除してください。

kubectl delete コマンドを使用してリソースを削除します。

kubectl delete namespace demo

terraform destroy コマンドを使用して、Azure リソースを削除します。

terraform destroy