API からのネットワーク・ゾーンの作成

/v1/zones API を使用してネットワーク・ゾーンを作成できます。 詳しくは、API資料をご覧ください。 containers-kubernetes サービスをネットワーク・ゾーンに追加して、 IBM Cloud Kubernetes Service がアカウント内のリソースおよびサービスにアクセスできるようにすることができます。

ネットワーク・ゾーン・ペイロードには複数のアドレス・タイプを含めることができます。 詳しくは、 API 資料 のペイロードの例を参照してください。

IBM Cloud Kubernetes Service をネットワーク・ゾーンに追加するペイロードの例。 IBM Cloud Kubernetes Service の serviceRef 属性は containers-kubernetes です。

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

複数のサービス、IP アドレス、および VPC をネットワーク・ゾーンに追加するペイロードの例。

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

CLI からのネットワーク・ゾーンの作成

1. CLI からネットワーク・ゾーンを作成するには、 CBR CLI プラグインをインストールします。

2. cbr-zone-create コマンドを使用して、ネットワーク・ゾーンにリソースを追加できます。 詳しくは、CBR CLI リファレンス を参照してください。 IBM Cloud Kubernetes Service の service_name は containers-kubernetes であることに注意してください。

   使用可能なサービス参照のリストを見つけるには、 ibmcloud cbr service-ref-targets コマンド を実行します。

   containers-kubernetes サービスをネットワーク・ゾーンに追加するコマンドの例。

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=containers-kubernetes
   

   以下の例では、単一のパブリック IP アドレスにアクセスを許可するネットワーク・ゾーンを作成します。 この例は、 1 つの IP サンプル・ルール と組み合わせて使用することもできます。 このシナリオについて詳しくは、 コンテキスト・ベースの制限のセットアップ を参照してください。

   ibmcloud cbr zone-create --addresses 129.41.86.7 --description "Allow only client IP" --name allow-client-ip
   

コンソールからのネットワーク・ゾーンの作成

1. 許可リストに追加するリソースを決定します。
2. コンソールでコンテキスト・ベースの制限を作成する 手順に従います。 Kubernetes サービスをネットワーク・ゾーンに追加して、 IBM Cloud Kubernetes Service がアカウント内のサービスおよびリソースにアクセスできるようにします。

API の使用によるルールの作成

ルールを作成するための要求例を以下に示します。 v1/rules API について詳しくは、 API の資料 を参照してください。

ルールを作成した後、IAM TTL 応答キャッシュが原因で、そのルールを更新するまでに最大で 10 分かかる場合があります。

以下のペイロードの例では、 CLUSTER-ID クラスターを保護するルールを作成します。 NETWORK-ZONE-ID ゾーン内のリソースのみがクラスターにアクセスできます。 operations が指定されていないため、 NETWORK-ZONE-ID ゾーン内のリソースは cluster API と management API の両方にアクセスできます。

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

以下のペイロードの例では、 CLUSTER-ID クラスターを保護するルールを作成します。 クラスターにアクセスできるのは、 NETWORK-ZONE-ID ゾーンに定義されているリソースのみです。 cluster API タイプが指定されているため、 NETWORK-ZONE-ID ゾーン内のリソースは、プライベート・ネットワークを介してクラスター API を介してクラスターにアクセスできます。

{
  "description": "Example rule 2",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "operations": {
    "api_types": [
      {
        "api_type_id": "crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster"
      }
    ]
  },
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

CLI からのルールの作成

1. CLI からルールを作成するには、 CBR CLI プラグインをインストールします。
2. ibmcloud cbr rule-create コマンド を使用して、CBR ルールを作成できます。 詳しくは、CBR CLI リファレンス を参照してください。 IBM Cloud Kubernetes Service の service_name は containers-kubernetes であることに注意してください。 サービス名のリストを見つけるには、 ibmcloud cbr service-ref-targets コマンドを実行します。 サービスの API タイプのリストを見つけるには、 ibmcloud cbr api-types --service-name SERVICE コマンドを実行します。

addresses キー、 cluster API タイプ、および ipAddress タイプを使用するルールを作成するためのサンプル・コマンド。

ibmcloud cbr rule-create my-rule-1 --service-name containers-kubernetes --api-type crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --zone-id ZONE-ID

以下のコマンドは、 CLUSTER-ID クラスターを保護するルールを作成します。 NETWORK-ZONE-ID ネットワーク・ゾーン内のリソースのみがクラスターにアクセスできます。 このルールには、 cluster と management の両方の API タイプが含まれます。

ibmcloud cbr rule-create my-rule-2 --service-name containers-kubernetes --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID

以下のコマンド例では、すべてのプライベート・ネットワーク接続を許可するルールを作成しますが、パブリック・ネットワークを介してクラスターに接続できるのは allow-client-ip ネットワーク・ゾーン内のリソースのみです。 このシナリオの詳細については、 コンテキストベースの制限の設定を 参照してください。

ibmcloud cbr rule-create --api-types crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --description "privateAccess=allowAll, publicAccess=oneIP" --service-name containers-kubernetes --service-instance CLUSTER-ID --context-attributes endpointType=private --context-attributes endpointType=public,networkZoneId=allow-client-ip

コンソールからのルール作成

1. 使用可能なコンテキストを確認 し、作成する規則を決定します。
2. コンソールでコンテキスト・ベースの制限を作成する 手順に従います。