通过 API 创建网络区域

您可以使用 /v1/zones API 来创建网络区域。 有关更多信息，请参阅 API 文档。 您可以将 containers-kubernetes 服务添加到网络区域，以允许 IBM Cloud Kubernetes Service 访问帐户中的资源和服务。

您可以在网络区域有效内容中包含多种地址类型。 有关更多信息，请参阅 API 文档 中的示例有效内容。

用于将 IBM Cloud Kubernetes Service 添加到网络区域的示例有效内容。 IBM Cloud Kubernetes Service 的 serviceRef 属性为 containers-kubernetes。

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

用于将多个服务，IP 地址和 VPC 添加到网络区域的示例有效内容。

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

从 CLI 创建网络区域

1. 要从 CLI 创建网络区域，请 安装 CBR CLI 插件。

2. 您可以使用 cbr-zone-create 命令将资源添加到网络区域。 有关更多信息，请参阅 CBR CLI 参考。 请注意，IBM Cloud Kubernetes Service 的 service_name 为 containers-kubernetes。

   要查找可用服务引用的列表，请运行 ibmcloud cbr service-ref-targets 命令。

   用于将 containers-kubernetes 服务添加到网络区域的示例命令。

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=containers-kubernetes
   

   以下示例创建网络区域以允许访问单个公共 IP 地址。 您还可以将此示例与 一个 IP 示例规则 结合使用。 有关此场景的更多信息，请参阅 设置基于上下文的限制。

   ibmcloud cbr zone-create --addresses 129.41.86.7 --description "Allow only client IP" --name allow-client-ip
   

从控制台创建网络区域

1. 确定要添加到允许列表的资源。
2. 执行以下步骤以 在控制台中创建基于上下文的限制。 将 Kubernetes 服务添加到网络区域，以允许 IBM Cloud Kubernetes Service 访问帐户中的服务和资源。

使用 API 创建规则

查看以下示例请求以创建规则。 有关 v1/rules API 的更多信息，请参阅 API 文档。

创建规则后，由于 IAM TTL 响应高速缓存，可能最多需要 10 分钟才能更新该规则。

以下示例有效内容创建用于保护 CLUSTER-ID 集群的规则。 只有 NETWORK-ZONE-ID 区域中的资源才能访问集群。 由于未指定 operations，因此 NETWORK-ZONE-ID 区域中的资源可以访问 cluster 和 management API。

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

以下示例有效内容创建用于保护 CLUSTER-ID 集群的规则。 只有 NETWORK-ZONE-ID 区域中定义的资源才能访问集群。 由于指定了 cluster API 类型，因此 NETWORK-ZONE-ID 区域中的资源可以通过集群 API 通过专用网络访问集群。

{
  "description": "Example rule 2",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "operations": {
    "api_types": [
      {
        "api_type_id": "crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster"
      }
    ]
  },
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

通过 CLI 创建规则

1. 要从 CLI 创建规则，请 安装 CBR CLI 插件。
2. 您可以使用 ibmcloud cbr rule-create 命令 来创建 CBR 规则。 有关更多信息，请参阅 CBR CLI 参考。 请注意，IBM Cloud Kubernetes Service 的 service_name 为 containers-kubernetes。 要查找服务名称列表，请运行 ibmcloud cbr service-ref-targets 命令。 要查找服务的 API 类型列表，请运行 ibmcloud cbr api-types --service-name SERVICE 命令。

用于创建使用 addresses 键和 cluster API 类型以及 ipAddress 类型的规则的示例命令。

ibmcloud cbr rule-create my-rule-1 --service-name containers-kubernetes --api-type crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --zone-id ZONE-ID

以下命令将创建用于保护 CLUSTER-ID 集群的规则。 只有 NETWORK-ZONE-ID 网络区域中的资源才能访问集群。 此规则包含 cluster 和 management API 类型。

ibmcloud cbr rule-create my-rule-2 --service-name containers-kubernetes --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID

以下示例命令创建一个规则，该规则允许所有专用网络连接，但仅允许 allow-client-ip 网络区域中的资源通过公用网络连接到集群。 有关这种情况的更多信息，请参阅 设置基于上下文的限制。

ibmcloud cbr rule-create --api-types crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --description "privateAccess=allowAll, publicAccess=oneIP" --service-name containers-kubernetes --service-instance CLUSTER-ID --context-attributes endpointType=private --context-attributes endpointType=public,networkZoneId=allow-client-ip

从控制台创建规则

1. 查看可用上下文 并确定要创建的规则。
2. 执行以下步骤以 在控制台中创建基于上下文的限制。