從 API 建立網路區域

您可以使用 /v1/zones API 來建立網路區域。 如需相關資訊，請參閱 API 文件。 您可以將 containers-kubernetes 服務新增至網路區域，以容許 Red Hat OpenShift on IBM Cloud 存取帳戶中的資源及服務。

您可以在網路區域有效負載中包含多個位址類型。 如需相關資訊，請參閱 API 文件 中的有效負載範例。

將 Red Hat OpenShift on IBM Cloud 新增至網路區域的有效負載範例。 Red Hat OpenShift on IBM Cloud 的 serviceRef 屬性是 containers-kubernetes。

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    }
  ]
}

將多個服務、IP 位址及 VPC 新增至網路區域的有效負載範例。

{
  "name": "zone",
  "description": "",
  "addresses": [
    {
      "type": "ipAddress",
      "value": "192.168.0.0"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-east:a/CRN"
    },
    {
      "type": "vpc",
      "value": "crn:v1:bluemix:public:is:us-south:a/CRN"
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "cloud-object-storage",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "codeengine",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "containers-kubernetes",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_type": "platform_service",
        "account_id": "ACCOUNT-ID"
      }
    },
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "iam-groups",
        "account_id": "ACCOUNT-ID"
      }
    }
  ],
  "excluded": []
}

從 CLI 建立網路區域

1. 若要從 CLI 建立網路區域，請 安裝 CBR CLI 外掛程式。

2. 您可以使用 cbr-zone-create 指令，將資源新增至網路區域。 如需相關資訊，請參閱 CBR CLI 參考資料。 請注意，Red Hat OpenShift on IBM Cloud 的 service_name 是 containers-kubernetes。

   若要尋找可用服務參照的清單，請執行 ibmcloud cbr service-ref-targets 指令。

   將 containers-kubernetes 服務新增至網路區域的範例指令。

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=containers-kubernetes
   

   下列範例會建立網路區域，以容許存取單一公用 IP 位址。 您也可以將此範例與 一個 IP 範例規則 一起使用。 如需此實務範例的相關資訊，請參閱 設定環境定義型限制。

   ibmcloud cbr zone-create --addresses 129.41.86.7 --description "Allow only client IP" --name allow-client-ip
   

從主控台建立網路區域

1. 決定您要新增至允許清單的資源。
2. 請遵循 在主控台中建立環境定義型限制 的步驟。 將 Kubernetes 服務新增至網路區域，以容許 Red Hat OpenShift on IBM Cloud 存取帳戶中的服務及資源。

使用 API 建立規則

請檢閱下列範例要求，以建立規則。 如需 v1/rules API 的相關資訊，請參閱 API 文件。

建立規則之後，由於 IAM TTL 回應快取，您可能需要 10 分鐘才能更新該規則。

下列範例有效負載會建立規則來保護 CLUSTER-ID 叢集。 只有 NETWORK-ZONE-ID 區域中的資源才能存取叢集。 由於未指定 operations，因此 NETWORK-ZONE-ID 區域中的資源可以同時存取 cluster 和 management API。

{
  "description": "Example rule 1",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

下列範例有效負載會建立規則來保護 CLUSTER-ID 叢集。 只有 NETWORK-ZONE-ID 區域中定義的資源才能存取叢集。 由於指定 cluster API 類型，因此 NETWORK-ZONE-ID 區域中的資源可以透過專用網路上的叢集 API 來存取叢集。

{
  "description": "Example rule 2",
  "resources": [
    {
      "attributes": [
        {
          "name": "accountId",
          "value": "ACCOUNT-ID"
        },
        {
          "name": "serviceName",
          "value": "containers-kubernetes"
        },
        {
          "name": "serviceInstance",
          "value": "CLUSTER-ID"
        }
      ]
    }
  ],
  "operations": {
    "api_types": [
      {
        "api_type_id": "crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster"
      }
    ]
  },
  "contexts": [
    {
      "attributes": [
        {
          "name": "networkZoneId",
          "value": "NETWORK-ZONE-ID"
        },
        {
          "name": "endpointType",
          "value": "private"
        }
      ]
    }
  ]
}

從 CLI 建立規則

1. 若要從 CLI 建立規則，請 安裝 CBR CLI 外掛程式。
2. 您可以使用 ibmcloud cbr rule-create 指令 來建立 CBR 規則。 如需相關資訊，請參閱 CBR CLI 參考資料。 請注意，Red Hat OpenShift on IBM Cloud 的 service_name 是 containers-kubernetes。 若要尋找服務名稱清單，請執行 ibmcloud cbr service-ref-targets 指令。 若要尋找服務的 API 類型清單，請執行 ibmcloud cbr api-types --service-name SERVICE 指令。

建立使用 addresses 金鑰及 cluster API 類型和 ipAddress 類型的規則的範例指令。

ibmcloud cbr rule-create my-rule-1 --service-name containers-kubernetes --api-type crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --zone-id ZONE-ID

下列指令會建立保護 CLUSTER-ID 叢集的規則。 只有 NETWORK-ZONE-ID 網路區域中的資源才能存取叢集。 此規則同時包含 cluster 和 management API 類型。

ibmcloud cbr rule-create my-rule-2 --service-name containers-kubernetes --service-instance CLUSTER-ID --zone-id NETWORK-ZONE-ID

下列範例指令會建立一個規則，容許所有專用網路連線，但僅容許 allow-client-ip 網路區域中的資源透過公用網路連接至叢集。 有關這種情況的詳細資訊，請參閱 設定基於上下文的限制。

ibmcloud cbr rule-create --api-types crn:v1:bluemix:public:containers-kubernetes::::api-type:cluster --description "privateAccess=allowAll, publicAccess=oneIP" --service-name containers-kubernetes --service-instance CLUSTER-ID --context-attributes endpointType=private --context-attributes endpointType=public,networkZoneId=allow-client-ip

從控制台建立規則

1. 檢閱可用的環境定義，並決定您要建立的規則。
2. 請遵循 在主控台中建立環境定義型限制 的步驟。