Criando zonas de rede a partir da API

Você pode criar zonas de rede usando a API /v1/zones. Para obter mais informações, consulte os Docs da API. Você pode adicionar o serviço containers-kubernetes em suas zonas de rede para permitir que IBM Cloud Kubernetes Service acesse recursos e serviços em sua conta.

Você pode incluir vários tipos de endereço em sua carga útil de zona de rede. Para obter mais informações, consulte a carga de exemplo nos docs da API.

Exemplo de carga útil para adicionar IBM Cloud Kubernetes Service a uma zona de rede. O atributo serviceRef para IBM Cloud Kubernetes Service é containers-kubernetes.

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

Exemplo de carga útil para adicionar vários serviços, endereços IP e VPCs a uma zona de rede.

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

Criando zonas de rede a partir da CLI

1. Para criar zonas de rede a partir da CLI, instale o plug-in da CLI do CBR.

2. Você pode usar o comando cbr-zone-create para adicionar recursos em zonas de rede. Para obter mais informações, consulte a referência CLI do CBR . Note que o service_name para IBM Cloud Kubernetes Service é containers-kubernetes.

   Para encontrar uma lista de refs de serviço disponíveis, execute o comando ibmcloud cbr service-ref-targets .

   Exemplo comando para adicionar o serviço containers-kubernetes a uma zona de rede.

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=containers-kubernetes
   

   O exemplo a seguir cria uma zona de rede para permitir que um único endereço IP público acesse. Você também pode usar este exemplo em conjunto com a uma regra de exemplo de IP. Para obter mais informações sobre este cenário, consulte Configurando restrições baseadas em contexto.

   ibmcloud cbr zone-create --addresses 129.41.86.7 --description "Allow only client IP" --name allow-client-ip
   

Criando zonas de rede a partir do console

1. Determine os recursos que você deseja adicionar ao seu allowlist.
2. Siga as etapas para criar restrições baseadas em contexto no console. Inclua o serviço Kubernetes em suas zonas de rede para permitir IBM Cloud Kubernetes Service para acessar serviços e recursos em sua conta.

Criando regras usando a API

Revise os seguintes pedidos de exemplo para criar regras. Para obter mais informações sobre a API v1/rules, consulte os docs da API.

Depois de criar uma regra, ela pode levar até 10 minutes minutos para antes de atualizar essa regra devido ao caching de resposta IAM TTL.

A payload de exemplo a seguir cria uma regra que protege o cluster CLUSTER-ID. Apenas recursos na zona NETWORK-ZONE-ID podem acessar o cluster. Como nenhum operations é especificado, os recursos na zona NETWORK-ZONE-ID podem acessar as APIs cluster e management.

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

A payload de exemplo a seguir cria uma regra que protege o cluster CLUSTER-ID. Somente os recursos definidos na zona NETWORK-ZONE-ID podem acessar o cluster. Uma vez que o tipo de API cluster é especificado, os recursos na zona NETWORK-ZONE-ID podem acessar o cluster por meio das APIs do cluster sobre a rede privada.

{
  "description": "Example rule 2",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "operations": {
    "api_types": [
      {
        "api_type_id": "crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster"
      }
    ]
  },
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

Criando regras por meio da CLI

1. Para criar regras a partir da CLI, instale o plug-in da CLI do CBR.
2. Você pode usar o ibmcloud cbr rule-create comando para criar regras de CBR. Para obter mais informações, consulte a referência CLI do CBR . Note que o service_name para IBM Cloud Kubernetes Service é containers-kubernetes. Para encontrar uma lista de nomes de serviço, execute o comando ibmcloud cbr service-ref-targets. Para encontrar uma lista de tipos de API para um serviço, execute o comando ibmcloud cbr api-types --service-name SERVICE.

Exemplo comando para criar uma regra que use a chave addresses e o tipo de API cluster e o tipo ipAddress.

ibmcloud cbr rule-create my-rule-1 --service-name containers-kubernetes --api-type crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --zone-id ZONE-ID

O comando a seguir cria uma regra que protege o cluster CLUSTER-ID. Apenas recursos na zona de rede NETWORK-ZONE-ID podem acessar o cluster. Esta regra inclui os tipos de API cluster e management.

ibmcloud cbr rule-create my-rule-2 --service-name containers-kubernetes --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID

O comando exemplo a seguir cria uma regra que permite todas as conexões de rede privada, mas permite que apenas recursos na zona de rede allow-client-ip se conectem ao cluster sobre a rede pública. Para obter mais informações sobre esse cenário, consulte Configuração de restrições baseadas em contexto.

ibmcloud cbr rule-create --api-types crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --description "privateAccess=allowAll, publicAccess=oneIP" --service-name containers-kubernetes --service-instance CLUSTER-ID --context-attributes endpointType=private --context-attributes endpointType=public,networkZoneId=allow-client-ip

Criação de regras no console

1. Analise os contextos disponíveis e determine as regras que deseja criar.
2. Siga as etapas para criar restrições baseadas em contexto no console.