Abrir puertos en una lista de permisos corporativa

Si las políticas de la red corporativa impiden el acceso desde su sistema local a los endpoints públicos a través de proxies o allowlists, debe permitir el acceso para ejecutar los comandos ibmcloud, ibmcloud oc, y ibmcloud cr, los comandos oc y calicoctl desde su sistema local.

Apertura de puertos en las listas de permisos de los dispositivos de puerta de enlace

Si tiene listas de permisos configuradas en la red pública o en la red privada en su cuenta de infraestructura IBM Cloud, como Virtual Router Appliance (Vyatta), debe abrir rangos de IP, puertos y protocolos para permitir que los nodos trabajadores se comuniquen con el maestro, con los recursos de infraestructura y con otros servicios de IBM Cloud.

ibmcloud oc worker ls --cluster <cluster_name_or_ID>

Cómo permitir que el clúster acceda a recursos a través de políticas de red de Calico

En lugar de configurar un dispositivo de lista de permisos de puerta de enlace, puede optar por utilizar las políticas de red de Calico para que actúen como una lista de permisos de clúster en la red pública o privada. Para obtener más información, consulte los temas siguientes.

• Aislamiento de clústeres en la red pública.
• Aislamiento de clústeres en la red privada.

Permitir el tráfico de su clúster en las listas permitidas de otros servicios o en las listas permitidas locales

Si desea acceder a servicios que se ejecutan dentro o fuera de IBM Cloud o en las instalaciones y que están protegidos por una lista de permisos, puede añadir las direcciones IP de sus nodos de trabajo en esa lista de permisos para permitir el tráfico de red saliente a su clúster. Por ejemplo, es posible que desee leer datos de una base de datos IBM Cloud protegida por una lista de permisos, o especificar las subredes de sus nodos de trabajo en una lista de permisos local para permitir el tráfico de red desde su clúster.

1. Acceda al clúster de Red Hat OpenShift.

2. Obtenga las subredes de nodos trabajadores o las direcciones IP de los nodos trabajadores.

   • Subredes de nodos de trabajo: Si prevé cambiar con frecuencia el número de nodos trabajadores de su clúster, por ejemplo si activa el autoescalador de clústeres, es posible que no desee actualizar su lista de permisos para cada nuevo nodo trabajador. Puede, en su lugar, añadir las subredes de VLAN que utiliza el clúster. Tenga en cuenta que es posible que la subred de VLAN se comparta con nodos trabajadores de otros clústeres. Tenga en cuenta que las subredes públicas primarias que Red Hat OpenShift on IBM Cloud aprovisiona para el clúster incluyen 14 direcciones IP disponibles, y los demás clústeres de la misma VLAN las pueden compartir. Si tiene más de 14 nodos trabajadores, se solicita otra subred de modo que las subredes que debe permitir pueden cambiar. Para reducir la frecuencia de cambios, cree agrupaciones de nodos trabajadores con tipos de nodos trabajadores con más recursos de CPU y memoria para que no tenga que añadir nodos trabajadores con tanta frecuencia.

     1. Obtenga una lista de los nodos trabajadores del clúster.

        ibmcloud oc worker ls --cluster <cluster_name_or_ID>
        

     2. En la salida del paso anterior, anote todos los ID de red exclusivos (primeros tres octetos) de la IP pública para los nodos trabajadores del clúster. En la salida siguiente, los ID de red exclusivos son 169.xx.178 y 169.xx.210.

        ID                                                  Public IP        Private IP     Machine Type        State    Status   Zone    Version   
        kube-dal10-crb2f60e9735254ac8b20b9c1e38b649a5-w31   169.xx.178.101   10.xxx.xx.xxx   b3c.4x16.encrypted   normal   Ready    dal10   1.32   
        kube-dal10-crb2f60e9735254ac8b20b9c1e38b649a5-w34   169.xx.178.102   10.xxx.xx.xxx   b3c.4x16.encrypted   normal   Ready    dal10   1.32  
        kube-dal12-crb2f60e9735254ac8b20b9c1e38b649a5-w32   169.xx.210.101   10.xxx.xx.xxx   b3c.4x16.encrypted   normal   Ready    dal12   1.32   
        kube-dal12-crb2f60e9735254ac8b20b9c1e38b649a5-w33   169.xx.210.102   10.xxx.xx.xxx   b3c.4x16.encrypted   normal   Ready    dal12   1.32  
        

     3. Obtenga una lista de las subredes VLAN para cada ID de red exclusivo.

        ibmcloud sl subnet list | grep -e <networkID1> -e <networkID2>
        

        Salida de ejemplo

        ID        identifier       type                 network_space   datacenter   vlan_id   IPs   hardware   virtual_servers
        1234567   169.xx.210.xxx   ADDITIONAL_PRIMARY   PUBLIC          dal12        1122334   16    0          5   
        7654321   169.xx.178.xxx   ADDITIONAL_PRIMARY   PUBLIC          dal10        4332211   16    0          6    
        

     4. Recupere la dirección de subred. En la salida, busque el número de IP. Luego eleve 2 a la n potencia, igual al número de IP. Por ejemplo, si el número de IP es 16, se eleva 2 a la 4 potencia (n), lo que es igual a 16. A continuación, obtenga el CIDR de la subred restando el valor de n de 32 bits. Por ejemplo, si n es igual a 4, el CIDR es 28 (resultado de la ecuación 32 - 4 = 28). Combine la máscara identifier con el valor de CIDR para obtener la dirección completa de la subred. En la salida anterior, las direcciones de subred son las siguientes:

        • 169.xx.210.xxx/28
        • 169.xx.178.xxx/28

   • Direcciones IP de nodo de trabajador individual: si tiene un número reducido de nodos de trabajador que sólo ejecutan una aplicación y no necesitan escala, o si desea añadir sólo un nodo de trabajador, liste todos los nodos de trabajador del clúster y anote las direcciones IP públicas. Si los nodos trabajadores solo están conectados a una red privada y desea conectarse a servicios de IBM Cloud utilizando el punto final de servicio en la nube privado, anote en su lugar las direcciones IP privadas. Solo se añaden estos nodos trabajadores. Si elimina los nodos trabajadores o añade nodos trabajadores al clúster, debe actualizar su lista de permisos en consecuencia.

     ibmcloud oc worker ls --cluster <cluster_name_or_ID>
     

3. Añada el CIDR de subred o las direcciones IP a la lista de permitidos de su servicio para el tráfico saliente o a su lista de permitidos local para el tráfico entrante.

4. Repita estos pasos para cada clúster cuyo tráfico desee permitir, tanto de entrada como de salida.

Actualización de las listas de permisos de IAM para Kubernetes Service zonas de red

De forma predeterminada, se pueden utilizar todas las direcciones IP para iniciar sesión en la consola de IBM Cloud y realizar acciones para gestionar el clúster, como crear, actualizar, suprimir o visualizar credenciales. En la consola de IBM Cloud Identity and Access Management (IAM), puede crear una lista de elementos permitidos especificando las direcciones IP que tienen acceso; todas las demás direcciones IP quedan restringidas.

En su allowlist, también debe configurar zonas de red en el plano de control Red Hat OpenShift on IBM Cloud para la región en la que se encuentra su clúster, de modo que Red Hat OpenShift on IBM Cloud pueda crear o acceder a componentes como los ALB de Ingress o la consola web Red Hat OpenShift, que requiere todas las direcciones IP del plano de control.

Antes de empezar, es necesario que siga estos pasos para cambiar la lista de elementos permitidos de IAM para el usuario cuyas credenciales se utilicen para los permisos de infraestructura de la región y el grupo de recursos del clúster. Si es el propietario de las credenciales, puede cambiar sus propios valores de la lista de elementos permitidos de IAM. Si no es el propietario de las credenciales, pero tiene asignada la función de acceso a la plataforma Editor o Administrador IBM Cloud IAM para el servicio Gestión de usuarios, puede actualizar las redes para el propietario de las credenciales.

1. Identifique las credenciales de usuario que se utilizan para los permisos de la infraestructura de grupo de recursos y de la región del clúster.

   1. Compruebe la clave de API para una región y un grupo de recursos del clúster.

      ibmcloud oc api-key info --cluster <cluster_name_or_ID>
      

      Salida de ejemplo

      Getting information about the API key owner for cluster <cluster_name>...
      OK
      Name                Email   
      <user_name>         <name@email.com>
      

   2. Compruebe si la cuenta de la infraestructura para la región y el grupo de recursos se ha establecido manualmente de modo que utilice otra cuenta de infraestructura de IBM Cloud.

      ibmcloud oc credential get --region <us-south>
      

      Salida de ejemplo si las credenciales se han establecido de modo que utilicen otra cuenta. En este caso, las credenciales de infraestructura del usuario se utilizan para la región y el grupo de recursos que ha seleccionado como destino, incluso si las credenciales de un usuario diferente se almacenan en la clave de API que ha recuperado en el paso anterior.

      OK
      Infrastructure credentials for user name <1234567_name@email.com> set for resource group <resource_group_name>.
      

      Salida de ejemplo si las credenciales no se han establecido de modo que utilicen otra cuenta. En este caso, el propietario de la clave de API que ha recuperado en el paso anterior tiene las credenciales de infraestructura que se utilizan para la región y el grupo de recursos.

      FAILED
      No credentials set for resource group <resource_group_name>.: The user credentials could not be found. (E0051)
      

2. Acceda a la consola IBM Cloud.

3. Cree zonas de red que incluyan las IP de Kubernetes Service para todas las regiones o sólo para las regiones en las que tiene clústeres.

   1. En la cuenta en la que se encuentra el clúster, desde la barra de menús, haz clic en Gestionar > Restricciones basadas en el contexto.

   2. Haga clic en Zonas de red > Crear.

   3. En Nombre, introduzca un nombre descriptivo para la zona de red, como us-south-kubernetes-service-network-zone.

   4. No introduzca ningún valor para las secciones Direcciones IP permitidas y VPC permitidas.

   5. En la sección Referenciar un servicio, seleccione Kubernetes Service y haga clic en +.

   6. Para Localizaciones, puede dejar el campo vacío para que se utilicen todas las ubicaciones, lo que se aplica a los clústeres de otras regiones, o puede especificar una única región.

   7. Haga clic en Siguiente y revise las selecciones.

   8. Pulse Crear.

   9. Repita el procedimiento para las zonas adicionales.

4. Añada los nombres de las zonas de red a su lista de permisos de IAM.

   1. En la barra de menús, haga clic en Gestionar > Acceso (IAM) y seleccione Configuración.

   2. En Restringir el acceso a direcciones IP, seleccione Activar e indique el nombre de la zona de red del paso anterior.

   3. Haga clic en Aplicar.