Creazione di zone di rete dall'API

Puoi creare zone di rete utilizzando l'API /v1/zones. Per ulteriori informazioni, vedi la documentazione API. Puoi aggiungere il servizio containers-kubernetes alle tue zone di rete per consentire a IBM Cloud Kubernetes Service di accedere alle risorse e ai servizi nel tuo account.

È possibile includere più tipi di indirizzo nel payload della zona di rete. Per ulteriori informazioni, vedi il payload di esempio nella documentazione API.

Payload di esempio per aggiungere IBM Cloud Kubernetes Service a una zona di rete. L'attributo serviceRef per IBM Cloud Kubernetes Service è containers-kubernetes.

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

Payload di esempio per aggiungere più servizi, indirizzi IP e VPC a una zona di rete.

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

Creazione di aree di rete dalla CLI

1. Per creare le aree di rete dalla CLI, installa il plug-in CLI CBR.

2. È possibile utilizzare il comando cbr-zone-create per aggiungere risorse alle zone di rete. Per ulteriori informazioni, consultare il manuale CBR CLI reference. Nota che il service_name per IBM Cloud Kubernetes Service è containers-kubernetes.

   Per individuare un elenco di riferimenti di servizi disponibili, eseguire il ibmcloud cbr service-ref-targets comando.

   Comando di esempio per aggiungere il servizio containers-kubernetes a una zona di rete.

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=containers-kubernetes
   

   Il seguente esempio crea una zona di rete per consentire l'accesso a un singolo indirizzo IP pubblico. Puoi anche utilizzare questo esempio insieme alla regola di esempio di un IP. Per ulteriori informazioni su questo scenario, consultare Impostazione delle limitazioni basate sul contesto.

   ibmcloud cbr zone-create --addresses 129.41.86.7 --description "Allow only client IP" --name allow-client-ip
   

Creazione di zone di rete dalla console

1. Determinare le risorse che si desidera aggiungere alla propria allowlist.
2. Segui la procedura per creare restrizioni basate sul contesto nella console. Aggiungi il servizio Kubernetes alle tue zone di rete per consentire a IBM Cloud Kubernetes Service di accedere ai servizi e risorse nel tuo account.

Creare regole utilizzando l'API

Esaminare le seguenti richieste di esempio per creare regole. Per ulteriori informazioni sull'API v1/rules, vedi la documentazione API.

Dopo aver creato una regola, potrebbero essere necessari fino a 10 minuti prima di poter aggiornare tale regola a causa della memorizzazione nella cache delle risposte TTL IAM.

Il seguente payload di esempio crea una regola che protegge il cluster CLUSTER-ID. Solo le risorse nella zona NETWORK-ZONE-ID possono accedervi. Poiché non è specificato alcun operations, le risorse nella zona NETWORK-ZONE-ID possono accedere sia alle API cluster che a quelle management.

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

Il seguente payload di esempio crea una regola che protegge il cluster CLUSTER-ID. Solo le risorse definite nella zona NETWORK-ZONE-ID possono accedere al cluster. Poiché è specificato il tipo di API cluster, le risorse nella zona NETWORK-ZONE-ID possono accedere al cluster tramite le API cluster sulla rete privata.

{
  "description": "Example rule 2",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "operations": {
    "api_types": [
      {
        "api_type_id": "crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster"
      }
    ]
  },
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

Creazione di regole dalla CLI

1. Per creare regole dalla CLI, installa il plug-in CLI CBR.
2. È possibile utilizzare il comando ibmcloud cbr rule-create per creare le regole CBR. Per ulteriori informazioni, consultare il manuale CBR CLI reference. Nota che il service_name per IBM Cloud Kubernetes Service è containers-kubernetes. Per trovare un elenco di nomi servizio, eseguire il comando ibmcloud cbr service-ref-targets. Per trovare un elenco di tipi di API per un servizio, esegui il comando ibmcloud cbr api-types --service-name SERVICE.

Comando di esempio per creare una regola che utilizza la chiave addresses e il tipo API cluster e il tipo ipAddress.

ibmcloud cbr rule-create my-rule-1 --service-name containers-kubernetes --api-type crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --zone-id ZONE-ID

Il comando seguente crea una regola che protegge il cluster CLUSTER-ID. Solo le risorse nella zona di rete NETWORK-ZONE-ID possono accedere al cluster. Questa regola include sia i tipi di API cluster che management.

ibmcloud cbr rule-create my-rule-2 --service-name containers-kubernetes --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID

Il seguente comando di esempio crea una regola che consente tutte le connessioni di reti private, ma consente solo alle risorse nella zona di rete di allow-client-ip di connettersi al cluster sulla rete pubblica. Per ulteriori informazioni su questo scenario, vedere Impostazione di restrizioni basate sul contesto.

ibmcloud cbr rule-create --api-types crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --description "privateAccess=allowAll, publicAccess=oneIP" --service-name containers-kubernetes --service-instance CLUSTER-ID --context-attributes endpointType=private --context-attributes endpointType=public,networkZoneId=allow-client-ip

Creare regole dalla console

1. Esaminare i contesti disponibili e stabilire le regole che si desidera creare.
2. Segui la procedura per creare restrizioni basate sul contesto nella console.