Verkeer tussen pods beveiligen met netwerkbeleid in Azure Kubernetes Service (AKS)

U moet Azure CLI versie 2.0.61 of hoger hebben geïnstalleerd en geconfigureerd. Zoek de versie met behulp van de az --version opdracht. Als u Azure CLI 2.0 wilt installeren of upgraden, raadpleegt u Azure CLI 2.0 installeren.

In plaats van een door het systeem toegewezen identiteit te gebruiken, kunt u ook een door de gebruiker toegewezen identiteit gebruiken. Zie Beheerde identiteiten gebruiken voor meer informatie.

• Terraform geïnstalleerd, versie 1.6 of hoger.
• Azure CLI is geïnstalleerd en geverifieerd. Zoek de versie met behulp van de az --version opdracht. Als u Azure CLI 2.0 wilt installeren of upgraden, raadpleegt u Azure CLI 2.0 installeren. U gebruikt de Azure CLI om verbinding te maken met het cluster nadat Terraform het heeft gemaakt.
• kubectl geïnstalleerd. U kunt deze lokaal installeren met behulp van de az aks install-cli opdracht. U gebruikt kubectl om het gedrag van het netwerkbeleid te controleren.

Een AKS-cluster maken met Azure Network Policy Manager (Linux)

1. Stel omgevingsvariabelen in voor de naam van de resourcegroep, de clusternaam en de locatie. Vervang de waarden indien nodig.

   export RESOURCE_GROUP=myResourceGroup
   export CLUSTER_NAME=myAKSCluster
   export LOCATION=eastus
   

2. Maak de resourcegroep met behulp van de az group create opdracht.

   az group create --resource-group $RESOURCE_GROUP --location $LOCATION
   

3. Maak een AKS-cluster met behulp van de az aks create en specificeer azure voor de network-plugin en network-policy.

   az aks create \
       --resource-group $RESOURCE_GROUP \
       --name $CLUSTER_NAME \
       --node-count 1 \
       --network-plugin azure \
       --network-policy azure \
       --generate-ssh-keys
   

   Waarschuwing

   Azure Network Policy Manager (NPM) voor Linux-knooppunten wordt op 30 september 2028 buiten gebruik gesteld. Voor nieuwe implementaties raden we u aan Om Azure CNI Powered by Cilium te gebruiken met Cilium Network Policy. Zie Migreren van NPM naar Cilium-netwerkbeleid om bestaande clusters te migreren.

Een AKS-cluster maken met Calico

Maak een AKS-cluster met behulp van de az aks create opdracht. Specificeer --network-plugin azure en --network-policy calico. Wanneer u opgeeft--network-policy calico, schakelt u Calico in op zowel Linux- als Windows-knooppuntgroepen.

Als u van plan bent om Windows knooppuntgroepen toe te voegen aan uw cluster, moet u de windows-admin-username en windows-admin-password parameters opnemen die voldoen aan de Windows Server wachtwoordvereisten. Als u een gebruikersnaam wilt maken om te gebruiken als administratorreferenties voor uw Windows Server-containers in uw cluster, wordt u met de volgende opdracht gevraagd om een gebruikersnaam. Stel deze in op WINDOWS_USERNAME.

echo "Please enter the username to use as administrator credentials for Windows Server containers on your cluster: " && read WINDOWS_USERNAME

Azure Network Policy Manager of Calico installeren op een bestaand cluster

Werk een bestaand cluster bij om Azure NPM of Calico te installeren met behulp van de az aks update opdracht en het opgeven azure of calico voor de --network-policy parameter. In de volgende voorbeeldopdracht ziet u hoe u een van beide Azure NPM's installeert:

az aks update \
  --resource-group $RESOURCE_GROUP \
  --name $CLUSTER_NAME \
  --network-policy azure

Een bestaand cluster upgraden met Azure NPM of Calico naar Cilium

Werk het netwerkgegevensvlak bij naar Cilium voor clusters die al gebruikmaken van Azure CNI. Kubenet-clusters moeten eerst worden gemigreerd naar Azure CNI-overlay en vervolgens het netwerkgegevensvlak bijwerken naar Cilium als afzonderlijke bewerking. Controleer de vereisten en volg de stappen in Een bestaand cluster upgraden naar Azure CNI Powered by Cilium.

Verbinding maken met het AKS-cluster

Configureer kubectl om verbinding te maken met uw cluster met behulp van het az aks get-credentials commando. Bij deze opdracht worden inloggegevens gedownload en wordt de Kubernetes CLI geconfigureerd om deze te gebruiken.

az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME

Configuratie van netwerkbeleid controleren

Als u wilt beginnen met de verificatie van netwerkbeleid, maakt u een voorbeeldtoepassing en stelt u verkeersregels in.

1. Maak een naamruimte met de naam demo om de voorbeeldpods uit te voeren met behulp van de kubectl create namespace opdracht.

   kubectl create namespace demo
   

2. Maak een pod met de naam die server moet worden gebruikt op TCP-poort 80 met behulp van de kubectl run opdracht.

   kubectl run server -n demo --image=k8s.gcr.io/e2e-test-images/agnhost:2.33 --labels="app=server" --port=80 --command -- /agnhost serve-hostname --tcp --http=false --port "80"
   

3. Maak een pod genaamd client om Bash te draaien met behulp van de kubectl run opdracht.

   kubectl run -it client -n demo --image=k8s.gcr.io/e2e-test-images/agnhost:2.33 --command -- bash
   

   Note

   Als u de client of server op een bepaald knooppunt wilt plannen, voegt u de volgende bit toe vóór het --command argument in de opdracht voor het maken van kubectl run pods: --overrides='{"spec": { "nodeSelector": {"kubernetes.io/os": "linux|windows"}}}'.

4. Haal in een apart venster het IP-adres van de server pod op met behulp van de kubectl get pod opdracht.

   kubectl get pod --output=wide -n demo
   

   De uitvoer zou ongeveer moeten lijken op de volgende voorbeelduitvoer:

   NAME     READY   STATUS    RESTARTS   AGE   IP            NODE             NOMINATED NODE   READINESS GATES
   server   1/1     Running   0          30s   10.224.0.72   akswin22000001   <none>           <none>
   

Connectiviteit testen met netwerkbeleid

1. Maak een bestand met de naam demo-policy.yaml en plak het volgende YAML-manifest:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: demo-policy
     namespace: demo
   spec:
     podSelector:
       matchLabels:
         app: server
     ingress:
     - from:
       - podSelector:
           matchLabels:
             app: client
       ports:
       - port: 80
         protocol: TCP
   

2. Pas het netwerkbeleidsmanifest toe met behulp van de kubectl apply opdracht.

   kubectl apply -f demo-policy.yaml
   

3. Controleer in de clientshell de verbinding met de server met behulp van de volgende /agnhost opdracht:

   /agnhost connect <server-ip>:80 --timeout=3s --protocol=tcp
   

   Connectiviteit met verkeer wordt geblokkeerd omdat de server is gelabeld met app=server, maar de client niet is gelabeld. De uitvoer zou ongeveer moeten lijken op de volgende voorbeelduitvoer:

   TIMEOUT
   

4. Label de client verbinding met de server en controleer deze met behulp van de kubectl label opdracht.

   kubectl label pod client -n demo app=client
   

   Als de verbinding is geslaagd, is er geen uitvoer.

Migreren naar zelfbeheerde Calico

AKS biedt alleen ondersteuning voor Calico voor standaard Kubernetes-netwerkbeleid en test geen andere functies. Als u wilt overstappen op zelfbeheerde Calico, volgt u de Tigera-instructies in Migrate van door Azure beheerde Calico naar zelfbeheerde Calico. De Tigera-documentatie vermeldt dat u voor zelfbeheerde Calico --network-policy none instelt, zoals in de de-installatiesectie.

Azure Network Policy Manager of Calico verwijderen

Verwijder Azure Network Policy Manager of Calico uit een bestaand cluster met behulp van de az aks update opdracht en geef deze none op voor de --network-policy parameter.

az aks update \
  --resource-group $RESOURCE_GROUP \
  --name $CLUSTER_NAME \
  --network-policy none

Clusternetwerkbeleid wijzigen

De volgende stappen laten zien hoe u het bestaande netwerkbeleid van een cluster wijzigt in Calico. De procedure vereist dat het netwerkbeleid wordt gewijzigd in none en vervolgens wordt gewijzigd in calico.

De opdrachten gebruiken variabelen die eerder in dit artikel zijn opgegeven, een AKS-cluster maken met Azure Network Policy Manager (Linux).< Vervang anders $RESOURCE_GROUP en $CLUSTER_NAME door de resourcegroep en de naam van uw cluster.

1. Voer de volgende opdracht uit om het bestaande netwerkbeleid van het cluster weer te geven.

   az aks show \
     --resource-group $RESOURCE_GROUP \
     --name $CLUSTER_NAME \
     --query "networkProfile" \
     --output table
   

2. Voer de volgende opdracht uit om het netwerkbeleid in te stellen op none.

   az aks update --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --network-policy none
   

3. Voer de volgende opdracht uit om het netwerkbeleid in te stellen op calico.

   az aks update --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --network-policy calico
   

De hulpbronnen opschonen

In dit artikel hebt u een naamruimte en twee pods gemaakt en een netwerkbeleid toegepast. Als u deze resources niet meer nodig hebt, kunt u ze verwijderen.

Verwijder de resources met behulp van de kubectl delete opdracht.

kubectl delete namespace demo

Als u de stappen van dit artikel hebt gevolgd om een AKS-cluster te maken, gebruikt u de az group delete opdracht om de AKS-resourcegroep en de bijbehorende resourcegroep te verwijderen met een naam die begint met MC_.

az group delete --resource-group $RESOURCE_GROUP --no-wait --yes

Een AKS-cluster maken met Cilium-netwerkbeleid met behulp van Terraform

In deze sectie wordt beschreven hoe u Terraform gebruikt om een AKS-cluster te implementeren dat gebruikmaakt van Azure CNI powered by Cilium voor het afdwingen van netwerken en netwerkbeleid en vervolgens een Kubernetes-resource NetworkPolicy gebruikt om pod-naar-pod-verkeer te beheren.

In dit voorbeeld wordt het volgende geïmplementeerd:

• Een resourcegroep.
• Een AKS-cluster dat gebruikmaakt van Azure CNI Overlay-netwerken met Cilium als de netwerkbeleidsengine en netwerkgegevensvlak.

1. Maak een map om de Terraform-voorbeeldcode te testen en uit te voeren, en stel deze in als de huidige werkmap.

2. Maak een bestand met de naam main.tfen voeg de volgende code in:

   terraform {
     required_version = ">= 1.6.0"
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~> 4.0"
       }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   resource "azurerm_resource_group" "example" {
     name     = "rg-aks-network-policy-example"
     location = "eastus"
   }
   
   resource "azurerm_kubernetes_cluster" "example" {
     name                = "aks-network-policy-example"
     location            = azurerm_resource_group.example.location
     resource_group_name = azurerm_resource_group.example.name
     dns_prefix          = "aksnetpolicyexample"
   
     default_node_pool {
       name       = "default"
       node_count = 1
       vm_size    = "Standard_D2s_v3"
   
       upgrade_settings {
         drain_timeout_in_minutes      = 0
         max_surge                     = "10%"
         node_soak_duration_in_minutes = 0
       }
     }
   
     identity {
       type = "SystemAssigned"
     }
   
     network_profile {
       network_plugin      = "azure"
       network_plugin_mode = "overlay"
       network_policy      = "cilium"
       network_data_plane  = "cilium"
       load_balancer_sku   = "standard"
     }
   }
   

3. Initialiseer Terraform door de opdracht uit te terraform init voeren. Met deze opdracht wordt de Azure-provider gedownload die is vereist voor het beheren van Azure-resources met Terraform.

   terraform init
   

4. Maak de configuratie op en valideer deze door de terraform fmt en terraform validate opdrachten uit te voeren.

   terraform fmt
   terraform validate
   

5. Maak een Terraform-uitvoeringsplan door de opdracht uit te terraform plan voeren. Met deze opdracht ziet u de resources die Terraform maakt of wijzigt in uw Azure-abonnement.

   terraform plan
   

6. Pas het Terraform-uitvoeringsplan toe door de opdracht uit te terraform apply voeren. Met deze opdracht worden de resources gemaakt die zijn gedefinieerd in uw main.tf bestand in uw Azure-abonnement.

   terraform apply
   

Verbinding maken met het AKS-cluster met behulp van Terraform

1. Installeer het kubernetes-opdrachtregelprogramma door de az aks install-cli opdracht uit te voeren en controleer de installatie.

   az aks install-cli
   kubectl version --client
   

2. Configureer kubectl deze om verbinding te maken met uw cluster door de az aks get-credentials opdracht uit te voeren. Bij deze opdracht worden inloggegevens gedownload en wordt de Kubernetes CLI geconfigureerd om deze te gebruiken.

   az aks get-credentials \
       --resource-group rg-aks-network-policy-example \
       --name aks-network-policy-example
   

3. Controleer of het cluster actief is door de opdracht kubectl get nodes uit te voeren.

   kubectl get nodes
   

Het instellen van netwerkbeleid controleren met Behulp van Terraform

Als u de installatie van het netwerkbeleid wilt controleren, maakt u een voorbeeldtoepassing en stelt u verkeersregels in.

1. Maak een naamruimte met de naam demo om de voorbeeldpods uit te voeren met behulp van de kubectl create namespace opdracht.

   kubectl create namespace demo
   

2. Maak een pod met de naam server die op TCP-poort 80 luistert door de opdracht kubectl run uit te voeren.

   kubectl run server \
     -n demo \
     --image=k8s.gcr.io/e2e-test-images/agnhost:2.33 \
     --labels="app=server" \
     --port=80 \
     --command -- /agnhost serve-hostname --tcp --http=false --port "80"
   

3. Maak een pod met de naam client om Bash uit te voeren met de opdracht kubectl run.

   kubectl run -it client \
     -n demo \
     --image=k8s.gcr.io/e2e-test-images/agnhost:2.33 \
     --command -- bash
   

4. Haal in een afzonderlijk venster het IP-adres van de server pod op met behulp van de kubectl get pod opdracht.

   kubectl get pod --output=wide -n demo
   

   Gebruik het IP-adres van de server pod wanneer u de connectiviteit vanuit de client shell in de volgende sectie test.

Connectiviteit met netwerkbeleid testen met behulp van Terraform

Het voorbeeld bevat een Kubernetes-manifest NetworkPolicy waarmee inkomend verkeer naar pods met het label app=server alleen wordt toegestaan vanaf pods met het label app=client op TCP-poort 80.

1. Maak een bestand met de naam network-policy.yamlen voeg de volgende code in:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: demo-policy
     namespace: demo
   spec:
     podSelector:
       matchLabels:
         app: server
     policyTypes:
       - Ingress
     ingress:
       - from:
           - podSelector:
               matchLabels:
                 app: client
         ports:
           - protocol: TCP
             port: 80
   

2. Pas het netwerkbeleid toe met behulp van de kubectl apply opdracht.

   kubectl apply -f network-policy.yaml
   

3. Test de verbinding met de server in de client shell met behulp van de volgende /agnhost opdracht:

   /agnhost connect <server-ip>:80 --timeout=3s --protocol=tcp
   

   De verbinding wordt geblokkeerd omdat de server is gelabeld met app=server, maar de client niet is gelabeld. De uitvoer zou ongeveer moeten lijken op de volgende voorbeelduitvoer:

   TIMEOUT
   

4. Label de client en controleer de verbinding met de server met behulp van de kubectl label opdracht.

   kubectl label pod client -n demo app=client
   

5. Test de verbinding met de server opnieuw in de client shell met behulp van dezelfde /agnhost opdracht:

   /agnhost connect <server-ip>:80 --timeout=3s --protocol=tcp
   

   Als de verbinding is geslaagd, is er geen uitvoer.

6. Controleer het netwerkbeleid met behulp van de kubectl get networkpolicy en kubectl describe networkpolicy opdrachten.

   kubectl get networkpolicy -n demo
   kubectl describe networkpolicy demo-policy -n demo
   

   De uitvoer laat zien dat pods app=server zijn geselecteerd, inkomend verkeer is toegestaan op TCP-poort 80 en alleen pods die zijn gelabeld app=client , kunnen verbindingen initiëren.

Resources opschonen met behulp van Terraform

In deze sectie hebt u een naamruimte, twee pods en een netwerkbeleid gemaakt. Als u deze Kubernetes-resources niet meer nodig hebt, verwijdert u deze voordat u de onderliggende Azure-infrastructuur verwijdert.

Gebruik de kubectl delete opdracht om de resources te verwijderen.

kubectl delete namespace demo

Verwijder de Azure resources met behulp van de terraform destroy opdracht.

terraform destroy