Creación de zonas de red desde la API

Puede crear zonas de red utilizando la API de /v1/zones. Para obtener más información, consulte el apartado Documentos de API. Puede añadir el servicio containers-kubernetes a las zonas de red para permitir que Red Hat OpenShift on IBM Cloud acceda a los recursos y servicios de su cuenta.

Puede incluir varios tipos de dirección en la carga útil de zona de red. Para obtener más información, consulte la carga útil de ejemplo en la documentación de la API.

Carga útil de ejemplo para añadir Red Hat OpenShift on IBM Cloud a una zona de red. El atributo serviceRef para Red Hat OpenShift on IBM Cloud es containers-kubernetes.

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

Carga útil de ejemplo para añadir varios servicios, direcciones IP y VPC a una zona de red.

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

Creación de zonas de red desde la CLI

1. Para crear zonas de red desde la CLI, instale el plugin de CLI de CBR.

2. Puede utilizar el mandato cbr-zone-create para añadir recursos a zonas de red. Para obtener más información, consulte la referencia de CLI de CBR. Tenga en cuenta que service_name para Red Hat OpenShift on IBM Cloud es containers-kubernetes.

   Para encontrar una lista de referencias de servicio disponibles, ejecute ibmcloud cbr service-ref-targets mandato.

   Mandato de ejemplo para añadir el servicio containers-kubernetes a una zona de red.

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=containers-kubernetes
   

   El ejemplo siguiente crea una zona de red para permitir el acceso a una única dirección IP pública. También puede utilizar este ejemplo junto con la regla de un ejemplo de IP. Para obtener más información sobre este escenario, consulte Configuración de restricciones basadas en contexto.

   ibmcloud cbr zone-create --addresses 129.41.86.7 --description "Allow only client IP" --name allow-client-ip
   

Creación de zonas de red desde la consola

1. Determine los recursos que desea añadir a la lista de elementos permitidos.
2. Siga los pasos para crear restricciones basadas en contexto en la consola. Añada el servicio Kubernetes a las zonas de red para permitir que Red Hat OpenShift on IBM Cloud acceda a los servicios y recursos de su cuenta.

Creación de reglas utilizando la API

Revise las siguientes solicitudes de ejemplo para crear reglas. Para obtener más información sobre la API de v1/rules, consulte la documentación de la API.

Después de crear una regla, puede tardar hasta 10 minutos en actualizar dicha regla debido al almacenamiento en memoria caché de respuesta TTL de IAM.

La siguiente carga útil de ejemplo crea una regla que protege el clúster de CLUSTER-ID. Solo los recursos de la zona NETWORK-ZONE-ID pueden acceder al clúster. Puesto que no se especifica ningún operations, los recursos de la zona NETWORK-ZONE-ID pueden acceder a las API cluster y management.

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

La siguiente carga útil de ejemplo crea una regla que protege el clúster de CLUSTER-ID. Sólo los recursos definidos en la zona NETWORK-ZONE-ID pueden acceder al clúster. Puesto que se especifica el tipo de API cluster, los recursos de la zona NETWORK-ZONE-ID pueden acceder al clúster a través de las API de clúster a través de la red privada.

{
  "description": "Example rule 2",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "operations": {
    "api_types": [
      {
        "api_type_id": "crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster"
      }
    ]
  },
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

Creación de reglas desde la CLI

1. Para crear reglas desde la CLI, instale el plugin de CLI CBR.
2. Puede utilizar ibmcloud cbr rule-create mandato para crear reglas CBR. Para obtener más información, consulte la referencia de CLI de CBR. Tenga en cuenta que service_name para Red Hat OpenShift on IBM Cloud es containers-kubernetes. Para buscar una lista de nombres de servicio, ejecute el mandato ibmcloud cbr service-ref-targets. Para encontrar una lista de tipos de API para un servicio, ejecute el mandato ibmcloud cbr api-types --service-name SERVICE.

Mandato de ejemplo para crear una regla que utilice la clave addresses y el tipo de API cluster y el tipo ipAddress.

ibmcloud cbr rule-create my-rule-1 --service-name containers-kubernetes --api-type crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --zone-id ZONE-ID

El mandato siguiente crea una regla que protege el clúster de CLUSTER-ID. Solo los recursos de la zona de red de NETWORK-ZONE-ID pueden acceder al clúster. Esta regla incluye los tipos de API cluster y management.

ibmcloud cbr rule-create my-rule-2 --service-name containers-kubernetes --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID

El siguiente mandato de ejemplo crea una regla que permite todas las conexiones de red privada, pero sólo permite que los recursos de la zona de red allow-client-ip se conecten al clúster a través de la red pública. Para obtener más información sobre este escenario, consulte Configuración de restricciones basadas en el contexto.

ibmcloud cbr rule-create --api-types crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --description "privateAccess=allowAll, publicAccess=oneIP" --service-name containers-kubernetes --service-instance CLUSTER-ID --context-attributes endpointType=private --context-attributes endpointType=public,networkZoneId=allow-client-ip

Creación de reglas desde la consola

1. Revise los contextos disponibles y determine las reglas que desea crear.
2. Siga los pasos para crear restricciones basadas en contexto en la consola.