從原始端點遷移至受支援的端點

經典簇

若您符合以下任一情況，必須採取行動：

• 您擁有一個或多個已啟用公開服務端點的經典叢集，並透過允許清單或防火牆來限制外連存取。
• 您擁有會直接呼叫 origin.<region>.containers.cloud.ibm.com 端點的自訂腳本或工具。

若兩項條件均不適用，則無需採取任何行動。

為確保您的工作節點能持續連線至 IBM Cloud Kubernetes Service，請於 2026 年 7 月 31 日之前完成以下步驟。

• 若您使用基於 IP 的防火牆規則：請確保「允許工作節點與叢集主節點通訊」一節中記載的 IP 位址，已包含在您的防火牆規則中。

• 若您使用基於網域的防火牆規則：請將以下初始化網域加入您的允許清單中。

• 如果您有直接呼叫原始端點的自訂腳本：請切換至受支援的 API 端點。 如需更多資訊，請參閱「關於 API」。

開始之前，請先記錄叢集中每個工作節點的公網 IP 位址。

ibmcloud ks worker ls --cluster <cluster_name_or_ID>

容許工作者節點與叢集主節點通訊

若要讓工作節點能透過公有雲服務端點與叢集主節點通訊，請允許從來源 <each_worker_node_publicIP> 至目標 TCP / UDP 的出站網路流量，其埠號範圍為 30000-32767 及 443 埠，並允許來自以下 IP 位址和網路群組的流量。

此表格正在移動。 如需最新 IP 清單及持續更新項目，請參閱 IBM/kube-samples 儲存庫中的公用網路隔離資料夾。 您可以在儲存庫中 監看 取回要求以取得更新項目。

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_publicIP> TO <public_IPs>
• 請將 <public_IPs> 替換為您叢集所在區域的公開 IP 位址。

容許工作者節點與 IBM Cloud Container Registry 通訊

允許您的工作節點向 IBM Cloud Container Registry 發送出站網路流量。 如需相關資訊，請參閱 透過防火牆存取 IBM Cloud Container Registry。

容許從工作者節點到 IAM 的送出網路資料流量

容許送出網路資料流量從工作者節點流至 IBM Cloud Identity and Access Management (IAM)。 您的白名單必須設定為第 7 層，才能允許該 IAM 網域名稱。 IAM 並未提供可供您允許的特定 IP 位址。 如果您的白名單不支援第 7 層，您可以允許所有透過 443 埠傳輸的 HTTPS 網路流量。

• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.bluemix.net
• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.cloud.ibm.com

可選：允許工作節點向 Monitoring 和 IBM Cloud Logs 服務發送出站網路流量

• IBM Cloud Monitoring:

  • TCP port 443, port 6443 FROM <each_worker_node_public_IP> TO <monitoring_public_IP>
  • 將 <monitoring_public_IP> 取代為 Monitoring IP 位址。

• IBM Cloud Logs:

  • TCP port 443, port 80 FROM <each_worker_node_public_IP> TO <logging_public_IP>
  • 將 <logging_public_IP> 改為 IBM Cloud Logs IP 位址。

可選：允許受管理的 Istio 附加元件傳入和傳出網路流量

• 容許透過下列埠從 istio-egressgateway 負載平衡器送出網路資料流量: TCP port 80, port 15443 FROM <each_worker_node_publicIP>
• 容許透過下列埠進入 istiod 控制平面及 istio-ingressgateway 負載平衡器的送入網路資料流量: TCP port 443, port 853, port 15010, port 15012, port 15014 FROM <each_worker_node_publicIP>

可選：允許輸入子網域監控輸入的網路流量

如果您要使用 Ingress 網域健康監控來 監控服務端點的健康狀況，您必須允許監控服務的入站存取。

預設情況下，監控健康請求會透過 HTTPS 傳送至連接埠 443，因此您必須允許來自下列 IP 範圍的流量以連接埠 443 為目標。 如果您的健康監測器設定為使用 HTTP，則 allowlist 流量必須以連接埠 80 為目標。 此外，如果您使用自訂 TCP 連接埠，請務必允許傳入流量至該連接埠。

如需詳細資訊，請參閱 IBM NS1 Connect 有關監控的文件。

下一步

如果您使用負載平衡器服務，請確保在公用及專用介面上的工作者節點之間容許所有使用 VRRP 通訊協定的資料流量。IBM Cloud Kubernetes Service 使用 VRRP 通訊協定來管理公用和專用負載平衡器的 IP 位址。

容許工作者節點與叢集主節點通訊

若要讓工作節點能透過私有雲服務端點與叢集主節點通訊，請允許從來源 <each_worker_node_privateIP> 至目標 TCP / UDP 的出站網路流量，其埠號範圍為 30000-32767 及 443 埠，並包含以下 IP 位址和網路群組。

此表格正在移動。 如需最新 IP 清單及持續更新項目，請參閱 IBM/kube-samples 儲存庫中的專用網路隔離資料夾。 您可以在儲存庫中 監看 取回要求以取得更新項目。

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_privateIP> TO <private_IPs>
• 請將 <private_IPs> 替換為您叢集所在區域的私有 IP 位址。

開啟埠

在允許清單中開啟下列埠，讓工作者節點正常運作。 所有目的地 IP 都需要開啟下列連接埠。

• 容許出埠 TCP 及 UDP 連線從工作者節點到達埠 80 和 443，以容許工作者節點更新及重新載入。
• 容許出埠 TCP 及 UDP 到達埠 2049，以容許將檔案儲存空間裝載為磁區。
• 容許出埠 TCP 及 UDP 到達埠 3260，以進行與區塊儲存空間的通訊。
• 容許入埠 TCP 及 UDP 連線到達埠 10250，以進行 Kubernetes 儀表板及指令（例如 kubectl logs 及 kubectl exec）。
• 容許入埠及出埠連線到達 TCP 和 UDP 埠 53，以進行 DNS 存取。

啟用工作者節點對工作者節點的通訊

TCP UDP IBM Cloud Kubernetes Service 使用 VRRP 通訊協定管理負載平衡器的 IP 位址，並使用 IPEncap 通訊協定允許 Pod 跨子網路的 Pod 間通訊。

允許工作者節點與 IBM Cloud Container Registry 通訊

為了讓工作節點能與 IBM Cloud Container Registry 進行通訊，請允許工作節點向 IBM Cloud Container Registry 區域 發送出站網路流量。

• TCP port 443 FROM <each_worker_node_privateIP> TO <registry_ip>
• 請將「<registry_ip>」替換為您要允許流量傳輸到的註冊表 IP 位址。 全球登錄會儲存 IBM 提供的公用映像檔，地區登錄會儲存您自己的專用或公用映像檔。

建立持續性磁區要求

若要在其中工作者節點僅連接至專用 VLAN 的叢集裡建立持續性磁區要求，請確保叢集設定為使用下列 Kubernetes 版本或 IBM Cloud 儲存空間外掛程式版本。 這些版本啟用從叢集到持續性儲存空間實例的專用網路通訊。

若您必須使用不支援透過私有網路進行網路通訊的 Kubernetes 版本，或 IBM Cloud 儲存外掛程式版本；或者您希望在不進行 HMAC 驗證的情況下使用 IBM Cloud Object Storage，請透過您的允許清單，允許對 IBM Cloud 基礎架構以及 IBM Cloud Identity and Access Management 的出站存取：

• 容許 TCP 埠 443 上的所有 Egress 網路資料流量。
• 容許存取前端（公用）網路和後端（專用）網路中叢集所在的區域的 IBM Cloud 基礎架構 IP 範圍。 若要尋找叢集的區域，請執行 ibmcloud ks cluster ls。

可選：設定 IBM Cloud Logs 和 IBM Cloud Monitoring 服務的 allowlist 規則

若要傳送日誌和指標資料，請為您的 IBM Cloud Logs 和 IBM Cloud Monitoring 服務設定白名單規則。

• IBM Cloud Logs 專用端點
• Monitoring 專用端點

在主控台中取得子網路 IP 位址

1. 從 IBM Cloud 主控台 資源清單 中，按一下您的群集。
2. 點選「工作節點」。
3. 記下叢集裡工作者節點所使用的每一個 公用 VLAN。 多個工作者節點可能使用相同的公用 VLAN。
4. 從 IBM Cloud 控制台 選單，點擊基礎設施 > 經典基礎設施 > IP 管理 > VLAN。
5. 按一下每個公用 VLAN，以檢查群集中的工作節點是否使用該 VLAN。
6. 針對叢集裡工作者節點所使用的每一個公用 VLAN，尋找 子網路 區段，並記下表格中包含的每一個 IP 位址。 這些是您必須併入容許清單中的 IP 位址。

在 CLI 中取得子網路 IP 位址

1. 列出工作者節點使用的公用 VLAN。 輸出會格式化為 publicVLAN=<vlan_id>。

   kubectl describe nodes | grep publicVLAN | sort | uniq
   

2. 針對每一個公用 VLAN，尋找相關聯的公用子網路。 在輸出中，記下 identifier 直欄中的子網路 IP 位址。

   ibmcloud sl subnet list | grep <vlan-id>
   

   與 ID 為 2761690 的公用 VLAN 相關聯的子網路輸出範例。

   ID        identifier        type                 network_space   datacenter   vlan_id   IPs   hardware   virtual_servers  
   1962263   169.62.46.56      SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2008207   169.62.39.248     SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2342562   169.62.2.128      ADDITIONAL_PRIMARY   PUBLIC          wdc07        2761690   16    0          5
   

3. 列出工作者節點並取得其公用 IP。 在輸出中，公用 IP 會列在 外部-IP 直欄中。 請注意其中哪些 IP 位址包含在您先前列出的子網路中，並記下那些子網路 ID。

4. 對於每一個子網路 ID，執行指令以取得子網路詳細資料。 在每一個輸出中，記下 identifier 直欄中的 IP 位址。 這是您必須新增至 IAM 允許清單的 IP 位址。

   ibmcloud sl subnet detail <subnet_id>
   

   輸出範例

   Name             Value   
   ID               2342562   
   identifier       169.62.2.128/28   
   subnet type      ADDITIONAL_PRIMARY   
   network space    PUBLIC   
   gateway          169.62.2.129   
   broadcast        169.62.2.143   
   datacenter       wdc07   
   usable ips       13   
   IP address       ID          IP address      
                   186531376   169.62.2.128      
                   186531378   169.62.2.129      
                   186531380   169.62.2.130      
                   186531382   169.62.2.131      
                   186531384   169.62.2.132      
                   186531386   169.62.2.133      
                   186531388   169.62.2.134      
                   186531390   169.62.2.135      
                   186531392   169.62.2.136      
                   186531394   169.62.2.137      
                   186531396   169.62.2.138      
                   186531398   169.62.2.139      
                   186531400   169.62.2.140      
                   186531402   169.62.2.141      
                   186531404   169.62.2.142      
                   186531406   169.62.2.143      
   virtual guests   hostname                                                 domain    public_ip      private_ip      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000187   iks.ibm   169.62.2.130   10.191.55.109      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-000002a2   iks.ibm   169.62.2.133   10.191.55.108      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000372   iks.ibm   169.62.2.135   10.191.55.121      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-00000219   iks.ibm   169.62.2.132   10.191.55.105      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-0000012f   iks.ibm   169.62.2.134   10.191.55.107