API에서 네트워크 구역 작성

/v1/zones API를 사용하여 네트워크 구역을 작성할 수 있습니다. 자세한 정보는 API 문서를 참조하십시오. containers-kubernetes 서비스를 네트워크 구역에 추가하여 Red Hat OpenShift on IBM Cloud 이 계정의 리소스 및 서비스에 액세스할 수 있도록 허용할 수 있습니다.

네트워크 구역 페이로드에 여러 주소 유형을 포함할 수 있습니다. 자세한 정보는 API 문서 의 예제 페이로드를 참조하십시오.

네트워크 구역에 Red Hat OpenShift on IBM Cloud 을 추가하는 예제 페이로드입니다. Red Hat OpenShift on IBM Cloud 의 serviceRef 속성은 containers-kubernetes 입니다.

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

네트워크 구역에 여러 서비스, IP 주소 및 VPC를 추가하는 예제 페이로드입니다.

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

CLI에서 네트워크 구역 작성

1. CLI에서 네트워크 구역을 작성하려면 CBR CLI 플러그인을 설치 하십시오.

2. cbr-zone-create 명령을 사용하여 네트워크 구역에 자원을 추가할 수 있습니다. 자세한 정보는 CBR CLI 참조 를 참조하십시오. Red Hat OpenShift on IBM Cloud 용 service_name 은 containers-kubernetes 입니다.

   사용 가능한 서비스 참조 목록을 찾으려면 ibmcloud cbr service-ref-targets 명령 을 실행하십시오.

   containers-kubernetes 서비스를 네트워크 구역에 추가하는 예제 명령입니다.

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=containers-kubernetes
   

   다음 예제는 단일 공인 IP 주소가 액세스할 수 있도록 네트워크 구역을 작성합니다. 또한 하나의 IP 예제 규칙 과 함께 이 예제를 사용할 수도 있습니다. 이 시나리오에 대한 자세한 정보는 컨텍스트 기반 제한사항 설정 을 참조하십시오.

   ibmcloud cbr zone-create --addresses 129.41.86.7 --description "Allow only client IP" --name allow-client-ip
   

콘솔에서 네트워크 구역 작성

1. 허용 목록에 추가할 자원을 판별하십시오.
2. 콘솔에서 컨텍스트 기반 제한사항 작성 단계를 수행하십시오. Kubernetes 서비스를 네트워크 구역에 추가하여 Red Hat OpenShift on IBM Cloud 이 계정의 서비스 및 리소스에 액세스할 수 있도록 하십시오.

API를 사용하여 규칙 작성

다음 예제 요청을 검토하여 규칙을 작성하십시오. v1/rules API에 대한 자세한 정보는 API 문서 를 참조하십시오.

규칙을 작성한 후에는 IAM TTL 응답 캐싱으로 인해 해당 규칙을 업데이트하는 데 최대 10분이 소요될 수 있습니다.

다음 예제 페이로드는 CLUSTER-ID 클러스터를 보호하는 규칙을 작성합니다. NETWORK-ZONE-ID 구역의 리소스만 클러스터에 액세스할 수 있습니다. operations 가 지정되지 않았으므로 NETWORK-ZONE-ID 구역의 리소스는 cluster 및 management API 모두에 액세스할 수 있습니다.

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

다음 예제 페이로드는 CLUSTER-ID 클러스터를 보호하는 규칙을 작성합니다. NETWORK-ZONE-ID 구역에 정의된 리소스만 클러스터에 액세스할 수 있습니다. cluster API 유형이 지정되었으므로 NETWORK-ZONE-ID 구역의 리소스는 사설 네트워크를 통해 클러스터 API를 통해 클러스터에 액세스할 수 있습니다.

{
  "description": "Example rule 2",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "operations": {
    "api_types": [
      {
        "api_type_id": "crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster"
      }
    ]
  },
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

CLI에서 룰 작성

1. CLI에서 규칙을 작성하려면 CBR CLI 플러그인을 설치 하십시오.
2. ibmcloud cbr rule-create 명령 를 사용하여 CBR 규칙을 작성할 수 있습니다. 자세한 정보는 CBR CLI 참조 를 참조하십시오. Red Hat OpenShift on IBM Cloud 용 service_name 은 containers-kubernetes 입니다. 서비스 이름 목록을 찾으려면 ibmcloud cbr service-ref-targets 명령을 실행하십시오. 서비스에 대한 API 유형 목록을 찾으려면 ibmcloud cbr api-types --service-name SERVICE 명령을 실행하십시오.

addresses 키와 cluster API 유형 및 ipAddress 유형을 사용하는 규칙을 작성하는 예제 명령입니다.

ibmcloud cbr rule-create my-rule-1 --service-name containers-kubernetes --api-type crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --zone-id ZONE-ID

다음 명령은 CLUSTER-ID 클러스터를 보호하는 규칙을 작성합니다. NETWORK-ZONE-ID 네트워크 구역의 자원만 클러스터에 액세스할 수 있습니다. 이 규칙에는 cluster 및 management API 유형이 모두 포함됩니다.

ibmcloud cbr rule-create my-rule-2 --service-name containers-kubernetes --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID

다음 예제 명령은 모든 사설 네트워크 연결을 허용하지만 allow-client-ip 네트워크 구역의 자원만 공용 네트워크를 통해 클러스터에 연결할 수 있도록 허용하는 규칙을 작성합니다. 이 시나리오에 대한 자세한 내용은 컨텍스트 기반 제한 설정하기를 참조하세요.

ibmcloud cbr rule-create --api-types crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --description "privateAccess=allowAll, publicAccess=oneIP" --service-name containers-kubernetes --service-instance CLUSTER-ID --context-attributes endpointType=private --context-attributes endpointType=public,networkZoneId=allow-client-ip

콘솔에서 규칙 만들기

1. 사용 가능한 컨텍스트를 검토 하고 작성할 규칙을 판별하십시오.
2. 콘솔에서 컨텍스트 기반 제한사항 작성 단계를 수행하십시오.