Création de zones réseau à partir de l'API

Vous pouvez créer des zones réseau à l'aide de l'API /v1/zones. Pour plus d'informations, voir Docs d'API. Vous pouvez ajouter le service containers-kubernetes à vos zones réseau pour permettre à IBM Cloud Kubernetes Service d'accéder aux ressources et aux services de votre compte.

Vous pouvez inclure plusieurs types d'adresse dans le contenu de votre zone réseau. Pour plus d'informations, voir l'exemple de contenu dans la documentation sur les API.

Exemple de contenu permettant d'ajouter IBM Cloud Kubernetes Service à une zone réseau. L'attribut serviceRef pour IBM Cloud Kubernetes Service est containers-kubernetes.

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

Exemple de contenu permettant d'ajouter plusieurs services, adresses IP et VPC à une zone réseau.

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

Création de zones réseau à partir de l'interface de ligne de commande

1. Pour créer des zones réseau à partir de l'interface de ligne de commande, installez le plug-in d'interface de ligne de commande CBR.

2. Vous pouvez utiliser la commande cbr-zone-create pour ajouter des ressources à des zones réseau. Pour plus d'informations, voir la référence de l'interface de ligne de commande de CBR. Notez que service_name pour IBM Cloud Kubernetes Service est containers-kubernetes.

   Pour obtenir la liste des références de service disponibles, exécutez la ibmcloud cbr service-ref-targets commande .

   Exemple de commande permettant d'ajouter le service containers-kubernetes à une zone réseau.

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=containers-kubernetes
   

   L'exemple suivant crée une zone réseau pour autoriser l'accès à une adresse IP publique unique. Vous pouvez également utiliser cet exemple avec l'exemple de règle d'adresse IP unique. Pour plus d'informations sur ce scénario, voir Configuration de restrictions contextuelles.

   ibmcloud cbr zone-create --addresses 129.41.86.7 --description "Allow only client IP" --name allow-client-ip
   

Création de zones réseau à partir de la console

1. Déterminez les ressources que vous souhaitez ajouter à votre liste autorisée.
2. Suivez les étapes pour créer des restrictions contextuelles dans la console. Ajoutez le service Kubernetes à vos zones réseau pour permettre à IBM Cloud Kubernetes Service d'accéder aux services et aux ressources de votre compte.

Création de règles en utilisant l'API

Passez en revue les exemples de demande suivants pour créer des règles. Pour plus d'informations sur l'API v1/rules, voir la documentation sur les API.

Une fois que vous avez créé une règle, la mise à jour de cette règle peut prendre jusqu'à 10 minutes en raison de la mise en cache de la réponse TTL IAM.

L'exemple de contenu suivant crée une règle qui protège le cluster CLUSTER-ID. Seules les ressources de la zone NETWORK-ZONE-ID peuvent accéder au cluster. Comme aucun operations n'est spécifié, les ressources de la zone NETWORK-ZONE-ID peuvent accéder à la fois aux API cluster et management.

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

L'exemple de contenu suivant crée une règle qui protège le cluster CLUSTER-ID. Seules les ressources définies dans la zone NETWORK-ZONE-ID peuvent accéder au cluster. Etant donné que le type d'API cluster est spécifié, les ressources de la zone NETWORK-ZONE-ID peuvent accéder au cluster via les API de cluster sur le réseau privé.

{
  "description": "Example rule 2",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "operations": {
    "api_types": [
      {
        "api_type_id": "crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster"
      }
    ]
  },
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

Création de règle depuis l'interface de ligne de commande

1. Pour créer des règles à partir de l'interface de ligne de commande, installez le plug-in d'interface de ligne de commande CBR.
2. Vous pouvez utiliser la ibmcloud cbr rule-create commande pour créer des règles CBR. Pour plus d'informations, voir la référence de l'interface de ligne de commande de CBR. Notez que service_name pour IBM Cloud Kubernetes Service est containers-kubernetes. Pour trouver une liste de noms de service, exécutez la commande ibmcloud cbr service-ref-targets. Pour trouver la liste des types d'API d'un service, exécutez la commande ibmcloud cbr api-types --service-name SERVICE.

Exemple de commande permettant de créer une règle qui utilise la clé addresses, le type d'API cluster et le type ipAddress.

ibmcloud cbr rule-create my-rule-1 --service-name containers-kubernetes --api-type crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --zone-id ZONE-ID

La commande suivante crée une règle qui protège le cluster CLUSTER-ID. Seules les ressources de la zone réseau NETWORK-ZONE-ID peuvent accéder au cluster. Cette règle inclut les types d'API cluster et management.

ibmcloud cbr rule-create my-rule-2 --service-name containers-kubernetes --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID

L'exemple de commande suivant crée une règle qui autorise toutes les connexions de réseau privé, mais autorise uniquement les ressources de la zone réseau allow-client-ip à se connecter au cluster sur le réseau public. Pour plus d'informations sur ce scénario, voir Configuration des restrictions basées sur le contexte.

ibmcloud cbr rule-create --api-types crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --description "privateAccess=allowAll, publicAccess=oneIP" --service-name containers-kubernetes --service-instance CLUSTER-ID --context-attributes endpointType=private --context-attributes endpointType=public,networkZoneId=allow-client-ip

Créer des règles à partir de la console

1. Passez en revue les contextes disponibles et déterminez les règles que vous souhaitez créer.
2. Suivez les étapes pour créer des restrictions contextuelles dans la console.