Netzzonen über die Anwendungsprogrammierschnittstelle erstellen

Sie können Netzzonen mithilfe der /v1/zones-API erstellen. Weitere Informationen finden Sie in den API-Dokumenten. Sie können den containers-kubernetes-Service zu Ihren Netzzonen hinzufügen, damit Red Hat OpenShift on IBM Cloud auf Ressourcen und Services in Ihrem Konto zugreifen kann.

Sie können mehrere Adresstypen in die Nutzdaten Ihrer Netzzone einschließen. Weitere Informationen finden Sie in den Beispielnutzdaten in der API-Dokumentation.

Beispielnutzdaten für das Hinzufügen von Red Hat OpenShift on IBM Cloud zu einer Netzzone Das Attribut serviceRef für Red Hat OpenShift on IBM Cloud ist containers-kubernetes.

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

Beispielnutzdaten zum Hinzufügen mehrerer Services, IP-Adressen und VPCs zu einer Netzzone.

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

Netzzonen über die Befehlszeilenschnittstelle erstellen

1. Um Netzzonen über die Befehlszeilenschnittstelle zu erstellen, installieren Sie das CBR-CLI-Plug-in.

2. Mit dem Befehl cbr-zone-create können Sie Netzzonen Ressourcen hinzufügen. Weitere Informationen finden Sie in der CLI-Referenz für CBR. Beachten Sie, dass die service_name für Red Hat OpenShift on IBM Cloud containers-kubernetes ist.

   Führen Sie den ibmcloud cbr service-ref-targets -Befehl aus, um eine Liste der verfügbaren Serviceverweise zu suchen.

   Beispielbefehl zum Hinzufügen des containers-kubernetes-Service zu einer Netzzone.

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=containers-kubernetes
   

   Im folgenden Beispiel wird eine Netzzone erstellt, um den Zugriff auf eine einzelne öffentliche IP-Adresse zuzulassen. Sie können dieses Beispiel auch zusammen mit der einen IP-Beispielregel verwenden. Weitere Informationen zu diesem Szenario finden Sie unter Kontextbasierte Einschränkungen einrichten.

   ibmcloud cbr zone-create --addresses 129.41.86.7 --description "Allow only client IP" --name allow-client-ip
   

Netzzonen über die Konsole erstellen

1. Bestimmen Sie die Ressourcen, die Sie Ihrer Zulassungsliste hinzufügen möchten.
2. Führen Sie die Schritte zum Erstellen kontextbasierter Einschränkungen in der Konsole aus. Fügen Sie den Kubernetes-Service zu Ihren Netzzonen hinzu und ermöglichen Sie Red Hat OpenShift on IBM Cloud den Zugriff auf Services und Ressourcen in Ihrem Konto.

Regeln mithilfe der API erstellen

Sehen Sie sich die folgenden Beispielanforderungen zum Erstellen von Regeln an. Weitere Informationen zur v1/rules-API finden Sie in der API-Dokumentation.

Nachdem Sie eine Regel erstellt haben, kann es bis zu 10 Minuten dauern, bis Sie diese Regel aufgrund des IAM-TTL-Antwortcaching aktualisieren können.

Die folgenden Beispielnutzdaten erstellen eine Regel, die den CLUSTER-ID-Cluster schützt. Nur Ressourcen in der Zone NETWORK-ZONE-ID können auf den Cluster zugreifen. Da keine operations angegeben sind, können Ressourcen in der NETWORK-ZONE-ID-Zone sowohl auf die cluster-als auch auf die management-APIs zugreifen.

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

Die folgenden Beispielnutzdaten erstellen eine Regel, die den CLUSTER-ID-Cluster schützt. Nur die in der Zone NETWORK-ZONE-ID definierten Ressourcen können auf den Cluster zugreifen. Da der API-Typ cluster angegeben ist, können Ressourcen in der Zone NETWORK-ZONE-ID über die Cluster-APIs über das private Netz auf den Cluster zugreifen.

{
  "description": "Example rule 2",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "operations": {
    "api_types": [
      {
        "api_type_id": "crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster"
      }
    ]
  },
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

Regeln über die CLI erstellen

1. Um Regeln über die Befehlszeilenschnittstelle zu erstellen, installieren Sie das CBR-CLI-Plug-in.
2. Sie können den ibmcloud cbr rule-create -Befehl verwenden, um CBR-Regeln zu erstellen. Weitere Informationen finden Sie in der CLI-Referenz für CBR. Beachten Sie, dass die service_name für Red Hat OpenShift on IBM Cloud containers-kubernetes ist. Führen Sie den Befehl ibmcloud cbr service-ref-targets aus, um eine Liste der Servicenamen zu suchen. Führen Sie den Befehl ibmcloud cbr api-types --service-name SERVICE aus, um eine Liste der API-Typen für einen Service zu suchen.

Beispielbefehl zum Erstellen einer Regel, die den Schlüssel addresses und den API-Typ cluster sowie den Typ ipAddress verwendet.

ibmcloud cbr rule-create my-rule-1 --service-name containers-kubernetes --api-type crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --zone-id ZONE-ID

Der folgende Befehl erstellt eine Regel, die den CLUSTER-ID-Cluster schützt. Nur Ressourcen in der NETWORK-ZONE-ID-Netzzone können auf den Cluster zugreifen. Diese Regel enthält die API-Typen cluster und management.

ibmcloud cbr rule-create my-rule-2 --service-name containers-kubernetes --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID

Der folgende Beispielbefehl erstellt eine Regel, die alle privaten Netzverbindungen zulässt, aber nur Ressourcen in der Netzzone allow-client-ip über das öffentliche Netz eine Verbindung zum Cluster herstellen kann. Weitere Informationen zu diesem Szenario finden Sie unter Einrichten kontextbezogener Einschränkungen.

ibmcloud cbr rule-create --api-types crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --description "privateAccess=allowAll, publicAccess=oneIP" --service-name containers-kubernetes --service-instance CLUSTER-ID --context-attributes endpointType=private --context-attributes endpointType=public,networkZoneId=allow-client-ip

Erstellen von Regeln über die Konsole

1. Prüfen Sie die verfügbaren Kontexte und bestimmen Sie die Regeln, die Sie erstellen wollen.
2. Führen Sie die Schritte zum Erstellen kontextbasierter Einschränkungen in der Konsole aus.