Öffnen von Ports in einer Unternehmens-Allowlist

Wenn die Netzwerkrichtlinien des Unternehmens den Zugriff von Ihrem lokalen System auf öffentliche Endpunkte über Proxys oder allowlists verhindern, müssen Sie den Zugriff zulassen, um die Befehle ibmcloud, ibmcloud ks und ibmcloud cr, kubectl und calicoctl von Ihrem lokalen System aus auszuführen.

Öffnen von Ports in Gateway-Appliance-Listen

Wenn Sie in Ihrem IBM Cloud-Infrastrukturkonto allowlists im öffentlichen oder privaten Netzwerk eingerichtet haben, z. B. Virtual Router Appliance (Vyatta), müssen Sie IP-Bereiche, Ports und Protokolle öffnen, damit Worker Nodes mit dem Master, mit Infrastrukturressourcen und mit anderen IBM Cloud-Diensten kommunizieren können.

ibmcloud ks worker ls --cluster <cluster_name_or_ID>

Zugriff des Clusters auf Ressourcen über Calico-Netzrichtlinien zulassen

Anstatt ein Gateway-Allowlist-Gerät einzurichten, können Sie Calico Netzwerkrichtlinien verwenden, die als Cluster-Allowlist im öffentlichen oder privaten Netzwerk fungieren. Vollständige Informationen finden Sie in den folgenden Abschnitten:

• Cluster im öffentlichen Netz isolieren
• Cluster im privaten Netz isolieren

Zulassen von Datenverkehr aus Ihrem Cluster in den Zulassungslisten anderer Dienste oder in lokalen Zulassungslisten

Wenn Sie auf Dienste zugreifen möchten, die innerhalb oder außerhalb von IBM Cloud oder vor Ort ausgeführt werden und die durch eine Zulassen-Liste geschützt sind, können Sie die IP-Adressen Ihrer Arbeitsknoten in diese Zulassen-Liste aufnehmen, um den ausgehenden Netzwerkverkehr zu Ihrem Cluster zuzulassen. So können Sie beispielsweise Daten aus einer IBM Cloud-Datenbank lesen, die durch eine Zulässigkeitsliste geschützt ist, oder die Subnetze Ihrer Arbeitsknoten in einer lokalen Zulässigkeitsliste angeben, um den Netzwerkverkehr von Ihrem Cluster zuzulassen.

1. Melden Sie sich an Ihrem Konto an. If applicable, target the appropriate resource group. Legen Sie den Kontext für den Cluster fest.

2. Rufen Sie die Teilnetze oder IP-Adressen der Workerknoten ab.

   • Arbeiterknoten-Subnetze: Wenn Sie davon ausgehen, dass sich die Anzahl der Arbeitsknoten in Ihrem Cluster häufig ändert, z. B. wenn Sie den Cluster-Auto-Scaler aktivieren, möchten Sie Ihre Zulassen-Liste möglicherweise nicht für jeden neuen Arbeitsknoten aktualisieren. Stattdessen können Sie die VLAN-Teilnetze, die der Cluster verwendet, hinzufügen. Beachten Sie dabei, dass das VLAN-Teilnetz möglicherweise mit Workerknoten in anderen Clustern gemeinsam genutzt wird. Dabei ist zu beachten, dass die primären öffentlichen Teilnetze, die von IBM Cloud Kubernetes Service für Ihren Cluster bereitgestellt werden, 14 verfügbare IP-Adressen umfassen und mit anderen Clustern im selben VLAN gemeinsam genutzt werden können. Wenn Sie mehr als 14 Workerknoten haben, wird ein weiteres Teilnetz bestellt, sodass sich die Anzahl der Teilnetze, die Sie zulassen müssen, ändern kann. Zur Verringerung der Änderungshäufigkeit können Sie Worker-Pools mit Typen von Workerknoten mit höheren Kapazitäten an CPU- und Speicherressourcen erstellen, sodass Sie nicht oft Workerknoten hinzufügen müssen.

     1. Listen Sie die Workerknoten in Ihrem Cluster auf.

        ibmcloud ks worker ls --cluster <cluster_name_or_ID>
        

     2. Notieren Sie in der Ausgabe des Befehls im vorherigen Schritt alle eindeutigen Netz-IDs (erste drei Oktette) der Spalte Public IP für die Workerknoten in Ihrem Cluster. Wenn Sie den Datenverkehr von einem rein privaten Cluster zulassen möchten, notieren Sie stattdessen die IP-Adressen der Spalte Private IP. In der folgenden Ausgabe sind 169.xx.178 und 169.xx.210 sind eindeutigen Netz-IDs.

        ID                                                  Public IP        Private IP     Machine Type        State    Status   Zone    Version   
        kube-dal10-crb2f60e9735254ac8b20b9c1e38b649a5-w31   169.xx.178.101   10.xxx.xx.xxx   b3c.4x16.encrypted   normal   Ready    dal10   1.32   
        kube-dal10-crb2f60e9735254ac8b20b9c1e38b649a5-w34   169.xx.178.102   10.xxx.xx.xxx   b3c.4x16.encrypted   normal   Ready    dal10   1.32  
        kube-dal12-crb2f60e9735254ac8b20b9c1e38b649a5-w32   169.xx.210.101   10.xxx.xx.xxx   b3c.4x16.encrypted   normal   Ready    dal12   1.32   
        kube-dal12-crb2f60e9735254ac8b20b9c1e38b649a5-w33   169.xx.210.102   10.xxx.xx.xxx   b3c.4x16.encrypted   normal   Ready    dal12   1.32  
        

     3. Listen Sie die VLAN-Teilnetze für jede eindeutige Netz-ID auf.

        ibmcloud sl subnet list | grep -e <networkID1> -e <networkID2>
        

        Beispielausgabe

        ID        identifier       type                 network_space   datacenter   vlan_id   IPs   hardware   virtual_servers
        1234567   169.xx.210.xxx   ADDITIONAL_PRIMARY   PUBLIC          dal12        1122334   16    0          5   
        7654321   169.xx.178.xxx   ADDITIONAL_PRIMARY   PUBLIC          dal10        4332211   16    0          6    
        

     4. Ermitteln Sie die Teilnetzadresse. Suchen Sie in der Ausgabe die Anzahl von IPs. Bilden Sie die Potenz 2 hoch n, die gleich der Anzahl IPs ist. Beispiel: Wenn die Anzahl der IPs 16 ist, dann entspricht dies der Potenz 2 hoch 4 (n) gleich 16. Ermitteln Sie jetzt das Teilnetz-CIDR, indem Sie den Wert n von 32 Bit subtrahieren. Beispiel: Wenn n gleich 4 ist, dann ist der CIDR-Wert gleich 28 (nach der Gleichung: 32 - 4 = 28). Kombinieren Sie die Netz-ID-Maske mit dem CIDR-Wert, um die vollständige Teilnetzadresse zu erhalten. In der vorherigen Ausgabe werden die folgenden Teilnetzadressen angegeben:

        • 169.xx.210.xxx/28
        • 169.xx.178.xxx/28

   • Einzelne IP-Adressen für Workerknoten: Wenn Sie eine kleine Anzahl von Workerknoten haben, die nur eine App ausführen und nicht skaliert werden müssen, oder wenn Sie nur einen Workerknoten hinzufügen möchten, listen Sie alle Workerknoten in Ihrem Cluster auf und notieren Sie die Öffentliche IP-Adressen. Wenn Ihre Workerknoten nur mit einem privaten Netz verbunden sind und Sie eine Verbindung zu IBM Cloud-Services über den Private-Cloud-Serviceendpunkt herstellen wollen, notieren Sie stattdessen die IP-Adressen der Spalte Private IP. Es werden nur diese Workerknoten hinzugefügt. Wenn Sie die Arbeiterknoten löschen oder dem Cluster Arbeiterknoten hinzufügen, müssen Sie die Zulässigkeitsliste entsprechend aktualisieren.

     ibmcloud ks worker ls --cluster <cluster_name_or_ID>
     

3. Fügen Sie die CIDR- oder IP-Adressen des Teilnetzes in die Zulassungsliste Ihres Dienstes für ausgehenden Datenverkehr oder in Ihre lokale Zulassungsliste für eingehenden Datenverkehr ein.

4. Wiederholen Sie diese Schritte für jeden Cluster, zu dem bzw. von dem Sie Datenverkehr zulassen möchten.

Aktualisierung der IAM-Zulassungslisten für Kubernetes Service Netzwerkzonen

Standardmäßig können alle IP-Adressen verwendet werden, um sich bei der IBM Cloud-Konsole anzumelden und Aktionen zum Verwalten Ihres Clusters auszuführen, wie z. B. Berechtigungsnachweise erstellen, aktualisieren, löschen oder anzeigen. In der IBM Cloud IAM-Konsole (Identity and Access Management) können Sie eine Zulassungsliste durch Angabe der IP-Adressen erstellen, die Zugriff haben; für alle übrigen IP-Adressen ist der Zugriff eingeschränkt.

In Ihrer Zulassen-Liste müssen Sie auch Netzwerkzonen in der IBM Cloud Kubernetes Service-Kontrollebene für die Region, in der sich Ihr Cluster befindet, konfigurieren, damit IBM Cloud Kubernetes Service Komponenten wie Ingress ALBs erstellen oder darauf zugreifen kann

Bevor Sie beginnen, müssen Sie in den folgenden Schritten die IAM-Zulassungsliste für den Benutzer ändern, dessen Berechtigungsnachweise für die Infrastrukturberechtigungen der Clusterregion und -ressourcengruppe verwendet werden. Wenn Sie der Eigentümer der Berechtigungsnachweise sind, können Sie Ihre eigenen Einstellungen für die IAM-Zulassungsliste ändern. Wenn Sie nicht der Eigentümer der Anmeldeinformationen sind, Ihnen aber die IAM-Plattform-Zugangsrolle Editor oder Administrator IBM Cloud für den User Management-Dienst zugewiesen wurde, können Sie die Netzwerke für den Eigentümer der Anmeldeinformationen aktualisieren.

1. Geben Sie an, welche Berechtigungsnachweise für die Infrastrukturberechtigungen für die Region und die Ressourcengruppen des Clusters verwendet werden.

   1. Prüfen Sie den API-Schlüssel auf eine Region und Ressourcengruppe des Clusters.

      ibmcloud ks api-key info --cluster <cluster_name_or_ID>
      

      Beispielausgabe

      Getting information about the API key owner for cluster <cluster_name>...
      OK
      Name                Email   
      <user_name>         <name@email.com>
      

   2. Prüfen Sie, ob im Infrastrukturkonto für die Region und die Ressourcengruppe manuell angegeben wurde, dass ein anderes Konto der IBM Cloud-Infrastruktur verwendet werden soll.

      ibmcloud ks credential get --region <us-south>
      

      Beispielausgabe, wenn die Berechtigungsnachweise für die Verwendung eines anderen Kontos eingerichtet wurden. In diesem Fall werden die Infrastrukturberechtigungsnachweise des Benutzers für die Region und die Ressourcengruppe verwendet, die Sie ausgewählt haben, auch wenn die Berechtigungsnachweise eines anderen Benutzers in dem API-Schlüssel gespeichert sind, den Sie im vorherigen Schritt abgerufen haben.

      OK
      Infrastructure credentials for user name <1234567_name@email.com> set for resource group <resource_group_name>.
      

      Beispielausgabe, wenn die Berechtigungsnachweise nicht für die Verwendung eines anderen Kontos eingerichtet wurden. In diesem Fall verfügt der Eigner des im vorherigen Schritt abgerufenen API-Schlüssels über die Infrastrukturberechtigungsnachweise, die für die Region und die Ressourcengruppe verwendet werden.

      FAILED
      No credentials set for resource group <resource_group_name>.: The user credentials could not be found. (E0051)
      

2. Melden Sie sich bei der Konsole IBM Cloud an.

3. Erstellen Sie Netzwerkzonen, die die Kubernetes Service IPs entweder für alle Regionen oder nur für die Regionen, in denen Sie Cluster haben, enthalten.

   1. Klicken Sie in dem Konto, in dem sich der Cluster befindet, in der Menüleiste auf Verwalten > Kontextbasierte Einschränkungen.

   2. Klicken Sie auf Netzwerkzonen > Erstellen.

   3. Geben Sie für Name einen beschreibenden Namen für die Netzwerkzone ein, z. B. us-south-kubernetes-service-network-zone.

   4. Geben Sie keine Werte für die Abschnitte Zugelassene IP-Adressen und Zugelassene VPCs ein.

   5. Wählen Sie im Abschnitt Verweis auf einen Dienst Kubernetes Service und klicken Sie auf +.

   6. Für Orte können Sie entweder das Feld leer lassen, so dass alle Orte verwendet werden, was für Cluster in anderen Regionen gilt, oder Sie können eine einzelne Region angeben.

   7. Klicken Sie auf Weiter und überprüfen Sie die Auswahl.

   8. Klicken Sie auf Erstellen.

   9. Wiederholen Sie den Vorgang für weitere Zonen.

4. Fügen Sie die Namen der Netzwerkzonen zu Ihrer IAM-Zulassungsliste hinzu.

   1. Klicken Sie in der Menüleiste auf Verwalten > Zugriff (IAM), und wählen Sie Einstellungen.

   2. Wählen Sie unter "IP-Adresszugriff einschränken " die Option "Aktivieren" aus und geben Sie den Namen der Netzwerkzone aus dem vorherigen Schritt ein.

   3. Klicken Sie auf Anwenden.