Ağ Politikalarıyla Yaşayan Uygulamalar Kurmak

Neden önemli

Klasik politika zayiatı geliştirmede hiç görmediği kilitli ad alana dağıtılan doğru uygulamadır. Bağlantılar sessiz ölür (zaman aşımı, hata değil) ve uygulaman platformun yeni kurallarına suçlanır. Politika bilinçli geliştirmek akışları önce saymak, seçicilere hep etiketlemek demektir.

Kavramlar

Kodlamadan önce say: veritabanı makine artı port, önbellek, kuyruklar, harici APIler, metrik kazımalar ve DNS (kube-dnsye UDP ve TCP 53). Her girdi izin kuralı olur veya kesinti olur; üçüncü sonuç yoktur. Etiketler sözleşmedir: yazım anında seçilen uygulama, rol ve katman etiketleri politikaların sonra eşleştiğidir; her podu sanki politika varmış gibi etiketle.

Çıkış hedefleri eş türüne göre bildirir: küme komşularına podSelector, platform servislerine namespaceSelector, dış dünyaya ipBlock. Ayıklama yapısal iki taraflıdır: izinli kimlikten başarı artı yasaklıdan zaman aşımı kuralı kanıtlar, kırılma yokluğunu değil.

Uygulamalı örnek

Kasa uygulaması 8443te defter, 5432de Postgres, DNS ister; başka hiçbir şey:

# uygulama podları politikaların seçeceği etiketleri taşır
metadata: { labels: { app: checkout, tier: backend } }
# geliştiricisinin dağıtımla bildirdiği izin girdileri
egress:
- to: [{ podSelector: { matchLabels: { app: ledger } } }]
  ports: [{ protocol: TCP, port: 8443 }]
- to: [{ podSelector: { matchLabels: { app: postgres } } }]
  ports: [{ protocol: TCP, port: 5432 }]
- to:
  - namespaceSelector: {}
    podSelector: { matchLabels: { k8s-app: kube-dns } }
  ports: [{ protocol: UDP, port: 53 }, { protocol: TCP, port: 53 }]

Akış listesini uygulamayla gönder: inceleyenler girdileri kod içe aktarmalarıyla eşleştirir, politika yazarı tahmin yerine kopyalar. Uygulama podundan curl ile sına (olur), etiketsiz hata ayıklama podundan (zaman aşımı).

Sınav notları

Metrik uçları açık izin ister, yoksa kazıma kilitle ölür: kazıyıcının kimliğini de bildir. Kubelet sağlık probları politikaları atlar (düğümden poda, poddan poda değildir); ölü uygulama trafiğinde geçen problar uygulama değil politika demektir. Ve büyük yanıtlarda TCP DNS önemlidir: yalnız UDP 53 izni tam en büyük aramaları düşürür.