Konfigurasikan klaster Anda untuk kebijakan Kubernetes jaringan

1. Pasang sistem file BPF

   catatan

   Jika klaster Anda versi 1.27 atau yang lebih baru, Anda dapat melewati langkah ini karena semua Amazon EKS mengoptimalkan Amazon Linux dan Bottlerocket AMI untuk 1.27 atau yang lebih baru sudah memiliki fitur ini.

   Untuk semua versi cluster lainnya, jika Anda memutakhirkan Amazon EKS yang dioptimalkan Amazon Linux ke versi v20230703 atau yang lebih baru atau Anda memutakhirkan AMI Bottlerocket ke v1.0.2 versi atau yang lebih baru, Anda dapat melewati langkah ini.

   1. Pasang sistem file Berkeley Packet Filter (BPF) pada setiap node Anda.

      sudo mount -t bpf bpffs /sys/fs/bpf
      

   2. Kemudian, tambahkan perintah yang sama ke data pengguna Anda di template peluncuran untuk Grup Auto Scaling Amazon EC2 Anda.

2. Aktifkan kebijakan jaringan di VPC CNI

   1. Lihat jenis add-on yang diinstal pada cluster Anda. Bergantung pada alat yang digunakan untuk membuat klaster, saat ini Anda mungkin tidak menginstal jenis add-on Amazon EKS di klaster Anda. Ganti my-cluster dengan nama klaster Anda.

      aws eks describe-addon --cluster-name my-cluster --addon-name vpc-cni --query addon.addonVersion --output text

      Jika nomor versi dikembalikan, Anda memiliki jenis add-on Amazon EKS yang diinstal pada cluster Anda dan tidak perlu menyelesaikan langkah-langkah yang tersisa dalam prosedur ini. Jika kesalahan dikembalikan, Anda tidak memiliki jenis add-on Amazon EKS yang diinstal pada cluster Anda.

   2. • Pengaya Amazon EKS

        AWS Management Console

        1. Buka konsol Amazon EKS di https://console.aws.amazon.com/eks/home#/clusters.

        2. Di panel navigasi kiri, pilih Cluster, lalu pilih nama cluster yang ingin Anda konfigurasikan untuk add-on Amazon VPC CNI.

        3. Pilih tab Add-ons.

        4. Pilih kotak di kanan atas kotak add-on dan kemudian pilih Edit.

        5. Pada halaman Konfigurasi nama addon:

           1. Pilih versi v1.14.0-eksbuild.3 atau yang lebih baru dalam daftar dropdown Versi.

           2. Perluas pengaturan konfigurasi opsional.

           3. Masukkan kunci "enableNetworkPolicy": dan nilai JSON "true" dalam nilai Konfigurasi. Teks yang dihasilkan harus berupa objek JSON yang valid. Jika kunci dan nilai ini adalah satu-satunya data dalam kotak teks, kelilingi kunci dan nilai dengan kurawal kurawal. {} Contoh berikut menunjukkan kebijakan jaringan diaktifkan:

              { "enableNetworkPolicy": "true" }

              Screenshot berikut menunjukkan contoh skenario ini.

           

        AWS CLI

        • Jalankan AWS CLI perintah berikut. Ganti my-cluster dengan nama cluster Anda dan peran IAM ARN dengan peran yang Anda gunakan.

          aws eks update-addon --cluster-name my-cluster --addon-name vpc-cni --addon-version v1.14.0-eksbuild.3 \
              --service-account-role-arn arn:aws:iam::123456789012:role/AmazonEKSVPCCNIRole \
              --resolve-conflicts PRESERVE --configuration-values '{"enableNetworkPolicy": "true"}'
                                  

      • Add-on yang dikelola sendiri

        Helm

        Jika Anda telah menginstal Amazon VPC CNI plugin for Kubernetes melaluihelm, Anda dapat memperbarui konfigurasi untuk mengaktifkan kebijakan jaringan.

        • Jalankan perintah berikut untuk mengaktifkan kebijakan jaringan.

          helm upgrade --set enableNetworkPolicy=true aws-vpc-cni --namespace kube-system eks/aws-vpc-cni

        kubectl

        1. Buka amazon-vpc-cni ConfigMap di editor Anda.

           kubectl edit configmap -n kube-system amazon-vpc-cni -o yaml
           

        2. Tambahkan baris berikut ke data dalamConfigMap.

           enable-network-policy-controller: "true"
           

           Setelah Anda menambahkan baris, Anda ConfigMap akan terlihat seperti contoh berikut.

           apiVersion: v1
            kind: ConfigMap
            metadata:
             name: amazon-vpc-cni
             namespace: kube-system
            data:
             enable-network-policy-controller: "true"

        3. Buka aws-node DaemonSet di editor Anda.

           kubectl edit daemonset -n kube-system aws-node
           

        4. Ganti false dengan true dalam argumen perintah di --enable-network-policy=false dalam aws-network-policy-agent wadah args: dalam manifes daemonset VPC CNIaws-node.

                - args:
                   - --enable-network-policy=true

3. Konfirmasikan bahwa aws-node pod berjalan di klaster Anda.

   kubectl get pods -n kube-system | grep 'aws-node\|amazon'
   

   Contoh output adalah sebagai berikut.

   aws-node-gmqp7                                          2/2     Running   1 (24h ago)   24h
   aws-node-prnsh                                          2/2     Running   1 (24h ago)   24h

   Jika kebijakan jaringan diaktifkan, ada 2 kontainer dalam aws-node pod. Di versi sebelumnya dan jika kebijakan jaringan dinonaktifkan, hanya ada satu kontainer di aws-node pod.

   Sekarang Anda dapat menerapkan kebijakan Kubernetes jaringan ke klaster Anda. Untuk informasi selengkapnya, lihat Kuberneteskebijakan jaringan.

Untuk menjalankan demo kebijakan Stars

1. Menerapkan layanan antarmuka pengguna front-end, back-end, klien, dan manajemen:

   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/namespace.yaml
   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/management-ui.yaml
   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/backend.yaml
   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/frontend.yaml
   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/client.yaml
   

2. Lihat semua Pods di cluster.

   kubectl get pods -A
   

   Contoh output adalah sebagai berikut.

   Dalam output Anda, Anda akan melihat pod di namespace yang ditunjukkan pada output berikut. NAMA-NAMA Pod Anda dan jumlah Pod di READY kolom berbeda dari yang ada di output berikut. Jangan lanjutkan sampai Anda melihat pod dengan nama yang mirip dan semuanya ada Running di STATUS kolom.

   NAMESPACE         NAME                                       READY   STATUS    RESTARTS   AGE
   [...]
   client            client-xlffc                               1/1     Running   0          5m19s
   [...]
   management-ui     management-ui-qrb2g                        1/1     Running   0          5m24s
   stars             backend-sz87q                              1/1     Running   0          5m23s
   stars             frontend-cscnf                             1/1     Running   0          5m21s
   [...]

3. Untuk terhubung ke antarmuka pengguna manajemen, sambungkan ke layanan EXTERNAL-IP yang berjalan di klaster Anda:

   kubectl get service/management-ui -n management-ui
   

4. Buka browser ke lokasi dari langkah sebelumnya. Anda harus melihat antarmuka pengguna manajemen. Node C adalah layanan klien, simpul F adalah layanan front-end, dan simpul B adalah layanan back-end. Setiap node memiliki akses komunikasi penuh ke semua node lain, seperti yang ditunjukkan oleh garis tebal berwarna.

   

5. Terapkan kebijakan jaringan berikut di ruang nama stars dan client ruang nama untuk mengisolasi layanan satu sama lain:

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: default-deny
   spec:
     podSelector:
       matchLabels: {}

   Anda dapat menggunakan perintah berikut untuk menerapkan kebijakan ke kedua ruang nama:

   kubectl apply -n stars -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/apply_network_policies.files/default-deny.yaml
   kubectl apply -n client -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/apply_network_policies.files/default-deny.yaml
   

6. Segarkan peramban Anda. Anda melihat bahwa antarmuka pengguna manajemen tidak dapat lagi menjangkau salah satu node, sehingga tidak muncul di antarmuka pengguna.

7. Terapkan kebijakan jaringan yang berbeda berikut untuk memungkinkan antarmuka pengguna manajemen mengakses layanan. Terapkan kebijakan ini untuk mengizinkan UI:

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     namespace: stars
     name: allow-ui 
   spec:
     podSelector:
       matchLabels: {}
     ingress:
       - from:
           - namespaceSelector:
               matchLabels:
                 role: management-ui 

   Terapkan kebijakan ini untuk mengizinkan klien:

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     namespace: client 
     name: allow-ui 
   spec:
     podSelector:
       matchLabels: {}
     ingress:
       - from:
           - namespaceSelector:
               matchLabels:
                 role: management-ui 

   Anda dapat menggunakan perintah berikut untuk menerapkan kedua kebijakan:

   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/apply_network_policies.files/allow-ui.yaml
   kubectl apply -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/apply_network_policies.files/allow-ui-client.yaml
   

8. Segarkan peramban Anda. Anda melihat bahwa antarmuka pengguna manajemen dapat mencapai node lagi, tetapi node tidak dapat berkomunikasi satu sama lain.

   

9. Terapkan kebijakan jaringan berikut untuk mengizinkan lalu lintas dari layanan front-end ke layanan back-end:

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     namespace: stars
     name: backend-policy
   spec:
     podSelector:
       matchLabels:
         role: backend
     ingress:
       - from:
           - podSelector:
               matchLabels:
                 role: frontend
         ports:
           - protocol: TCP
             port: 6379
   

10. Segarkan peramban Anda. Anda melihat bahwa front-end dapat berkomunikasi dengan back-end.

    

11. Terapkan kebijakan jaringan berikut untuk mengizinkan lalu lintas dari klien ke layanan front-end:

    kind: NetworkPolicy
    apiVersion: networking.k8s.io/v1
    metadata:
      namespace: stars
      name: frontend-policy
    spec:
      podSelector:
        matchLabels:
          role: frontend 
      ingress:
        - from:
            - namespaceSelector:
                matchLabels:
                  role: client
          ports:
            - protocol: TCP
              port: 80
    

12. Segarkan peramban Anda. Anda melihat bahwa klien dapat berkomunikasi dengan layanan front-end. Layanan front-end masih dapat berkomunikasi dengan layanan back-end.

    

13. (Opsional) Setelah selesai dengan demo, Anda dapat menghapus sumber dayanya.

    kubectl delete -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/client.yaml
    kubectl delete -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/frontend.yaml
    kubectl delete -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/backend.yaml
    kubectl delete -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/management-ui.yaml
    kubectl delete -f https://eksworkshop.com/beginner/120_network-policies/calico/stars_policy_demo/create_resources.files/namespace.yaml
    

    Bahkan setelah menghapus sumber daya, masih ada titik akhir kebijakan jaringan pada node yang mungkin mengganggu jaringan di cluster Anda dengan cara yang tidak terduga. Satu-satunya cara pasti untuk menghapus aturan ini adalah dengan me-reboot node atau menghentikan semua node dan mendaur ulangnya. Untuk mengakhiri semua simpul, atur jumlah Grup Auto Scaling yang diinginkan ke 0, lalu buat cadangan ke jumlah yang diinginkan, atau cukup hentikan simpul.