Apertura delle porte e degli indirizzi IP richiesti nella lista dei permessi

Apertura delle porte in una lista bianca aziendale

Se le politiche di rete aziendali impediscono l'accesso dal sistema locale agli endpoint pubblici tramite proxy o liste di autorizzazione, è necessario consentire l'accesso per eseguire ibmcloud, ibmcloud oc, e ibmcloud cr comandi, oc comandi, e calicoctl comandi dal sistema locale.

Apertura delle porte nelle liste di autorizzazione dei dispositivi gateway

Se hai impostato delle liste di autorizzazione sulla rete pubblica o privata nel tuo account dell'infrastruttura IBM Cloud, come ad esempio un'infrastruttura Vyatta ( Virtual Router Appliance ), devi aprire gli intervalli IP, le porte e i protocolli per consentire ai nodi di lavoro di comunicare con il master, con le risorse dell'infrastruttura e con altri servizi IBM Cloud.

ibmcloud oc worker ls --cluster <cluster_name_or_ID>

Concessione al cluster dell'accesso alle risorse tramite le politiche di rete Calico

Invece di configurare un dispositivo di autorizzazione gateway, è possibile scegliere di utilizzare le politiche di rete di Calico come autorizzazione cluster sulla rete pubblica o privata. Per ulteriori informazioni, consulta i seguenti argomenti.

• Isolamento dei cluster sulla rete pubblica.
• Isolamento dei cluster sulla rete privata.

Consentire il traffico proveniente dal proprio cluster negli elenchi di autorizzazioni di altri servizi o negli elenchi di autorizzazioni locali

Se desideri accedere a servizi eseguiti all'interno o all'esterno di IBM Cloud o in locale e protetti da un elenco di autorizzazioni, puoi aggiungere gli indirizzi IP dei tuoi nodi di lavoro a tale elenco per consentire il traffico di rete in uscita verso il tuo cluster. Ad esempio, potresti voler leggere i dati da un database IBM Cloud protetto da un elenco di autorizzazioni o specificare le sottoreti dei tuoi nodi di lavoro in un elenco di autorizzazioni locale per consentire il traffico di rete dal tuo cluster.

1. Accedi al tuo cluster Red Hat OpenShift.

2. Ottieni le sottoreti o gli indirizzi IP del nodo di lavoro.

   • Sottoreti dei nodi di lavoro: se prevedi di modificare frequentemente il numero di nodi di lavoro nel tuo cluster, ad esempio se abiliti il cluster autoscaler, potresti non voler aggiornare la tua lista di autorizzazioni per ogni nuovo nodo di lavoro. Puoi invece aggiungere le sottoreti VLAN utilizzate dal cluster. Tieni presente che la sottorete VLAN potrebbe essere condivisa da nodi di lavoro in altri cluster. Si noti che le sottoreti pubbliche primarie che Red Hat OpenShift on IBM Cloud fornisce al cluster dispongono di 14 indirizzi IP disponibili e possono essere condivise da altri cluster sulla stessa VLAN. Se hai più di 14 nodi di lavoro, viene ordinata un'altra sottorete, per cui le sottoreti che devi consentire possono cambiare. Per ridurre la frequenza delle modifiche, crea pool di lavoro con profili di nodi di lavoro con risorse CPU e memoria più elevate in modo da non dover aggiungere nodi tanto spesso.

     1. Elenca i nodi di lavoro nel tuo cluster.

        ibmcloud oc worker ls --cluster <cluster_name_or_ID>
        

     2. Dall'output del passo precedente, prendi nota di tutti gli ID di rete univoci (primi tre ottetti) dell'IP pubblico per i nodi di lavoro nel tuo cluster. Nel seguente output, gli ID di rete univoci sono 169.xx.178 e 169.xx.210.

        ID                                                  Public IP        Private IP     Machine Type        State    Status   Zone    Version   
        kube-dal10-crb2f60e9735254ac8b20b9c1e38b649a5-w31   169.xx.178.101   10.xxx.xx.xxx   b3c.4x16.encrypted   normal   Ready    dal10   1.33   
        kube-dal10-crb2f60e9735254ac8b20b9c1e38b649a5-w34   169.xx.178.102   10.xxx.xx.xxx   b3c.4x16.encrypted   normal   Ready    dal10   1.33  
        kube-dal12-crb2f60e9735254ac8b20b9c1e38b649a5-w32   169.xx.210.101   10.xxx.xx.xxx   b3c.4x16.encrypted   normal   Ready    dal12   1.33   
        kube-dal12-crb2f60e9735254ac8b20b9c1e38b649a5-w33   169.xx.210.102   10.xxx.xx.xxx   b3c.4x16.encrypted   normal   Ready    dal12   1.33  
        

     3. Elenca le sottoreti VLAN per ogni ID di rete univoco.

        ibmcloud sl subnet list | grep -e <networkID1> -e <networkID2>
        

        Output di esempio

        ID        identifier       type                 network_space   datacenter   vlan_id   IPs   hardware   virtual_servers
        1234567   169.xx.210.xxx   ADDITIONAL_PRIMARY   PUBLIC          dal12        1122334   16    0          5   
        7654321   169.xx.178.xxx   ADDITIONAL_PRIMARY   PUBLIC          dal10        4332211   16    0          6    
        

     4. Richiama l'indirizzo di sottorete. Nell'output, trova il numero di IP. Quindi, eleva 2 alla potenza di n uguale al numero di IP. Ad esempio, se il numero di IP è 16, 2 viene elevato alla potenza di 4 (n) uguale a 16. Ora ottieni il CIDR della sottorete sottraendo il valore di n da 32 bit. Ad esempio, se n è uguale a 4, il CIDR è 28 (dall'equazione 32 - 4 = 28). Combina la maschera dell'identificativo con il valore CIDR per ottenere l'indirizzo completo della sottorete. Nell'output precedente, gli indirizzi di sottorete sono:

        • 169.xx.210.xxx/28
        • 169.xx.178.xxx/28

   • Indirizzi IP dei singoli nodi di lavoro: se disponi di un numero ridotto di nodi di lavoro che eseguono una sola applicazione e non necessitano di scalabilità, oppure se desideri aggiungere un solo nodo di lavoro, elenca tutti i nodi di lavoro nel tuo cluster e prendi nota degli indirizzi IP pubblici. Se i nodi di lavoro sono connessi solo a una rete privata e si desidera connettersi a servizi IBM Cloud utilizzando l'endpoint del servizio cloud privato, prendere nota degli indirizzi IP privati. Vengono aggiunti solo questi nodi di lavoro. Se elimini i nodi di lavoro o aggiungi nodi di lavoro al cluster, devi aggiornare di conseguenza la tua lista di autorizzazioni.

     ibmcloud oc worker ls --cluster <cluster_name_or_ID>
     

3. Aggiungi gli indirizzi CIDR o IP della sottorete all'elenco di autorizzazioni del tuo servizio per il traffico in uscita o all'elenco di autorizzazioni locale per il traffico in entrata.

4. Ripeti questi passi per ciascun cluster per il quale vuoi consentire il traffico in entrata o in uscita.

Aggiornamento degli elenchi di permessi IAM per Kubernetes Service zone di rete

Per impostazione predefinita, tutti gli indirizzi IP possono essere utilizzati per accedere alla IBM Cloud console ed eseguire azioni di gestione del cluster, quali la creazione, l'aggiornamento, l'eliminazione o la visualizzazione delle credenziali. Nella console IBM Cloud IAM (Identity and Access Management), puoi creare una allowlist specificando quali indirizzi IP hanno accesso, limitando tutti gli altri indirizzi IP.

Nell'allowlist è necessario configurare anche le zone di rete nel piano di controllo Red Hat OpenShift on IBM Cloud per la regione in cui si trova il cluster, in modo che Red Hat OpenShift on IBM Cloud possa creare o accedere a componenti come gli ALB Ingress o la console web Red Hat OpenShift, che richiede tutti gli indirizzi IP del piano di controllo.

Prima di iniziare, i passaggi seguenti richiedono di modificare l'elenco di autorizzazioni IAM per l'utente le cui credenziali vengono utilizzate per le autorizzazioni relative alla regione e all'infrastruttura del gruppo di risorse del cluster. Se sei il proprietario delle credenziali, puoi modificare le tue impostazioni della allowlist IAM. Se non sei il proprietario delle credenziali, ma ti è stato assegnato il ruolo di accesso alla piattaforma IAM IBM Cloud come Editor o Amministratore per il servizio Gestione utenti, puoi aggiornare le reti per il proprietario delle credenziali.

1. Identifica quali credenziali dell'utente vengono utilizzate per le autorizzazioni dell'infrastruttura del gruppo di risorse e della regione del cluster.

   1. Controlla la chiave API per una regione e un gruppo di risorse del cluster.

      ibmcloud oc api-key info --cluster <cluster_name_or_ID>
      

      Output di esempio

      Getting information about the API key owner for cluster <cluster_name>...
      OK
      Name                Email   
      <user_name>         <name@email.com>
      

   2. Controlla se l'account dell'infrastruttura per la regione e il gruppo di risorse è impostato manualmente per utilizzare un account dell'infrastruttura IBM Cloud differente.

      ibmcloud oc credential get --region <us-south>
      

      Output di esempio se le credenziali sono impostate per l'utilizzo di un account differente. In questo caso, le credenziali dell'infrastruttura dell'utente vengono utilizzate per la regione e il gruppo di risorse che hai indicato come destinazione, anche se nella chiave API che hai richiamato nel passo precedente sono memorizzate le credenziali di un utente differente.

      OK
      Infrastructure credentials for user name <1234567_name@email.com> set for resource group <resource_group_name>.
      

      Output di esempio se le credenziali non sono impostate per l'utilizzo di un account differente. In questo caso, il proprietario della chiave API che hai richiamato nel passo precedente ha le credenziali dell'infrastruttura che sono utilizzate per la regione e il gruppo di risorse.

      FAILED
      No credentials set for resource group <resource_group_name>.: The user credentials could not be found. (E0051)
      

2. Accedi a Console IBM Cloud.

3. Creare zone di rete che includano gli IP Kubernetes Service per tutte le regioni o solo per le regioni in cui sono presenti i cluster.

   1. Nell'account in cui si trova il cluster, dalla barra dei menu, fare clic su Gestione > Restrizioni basate sul contesto.

   2. Fare clic su Zone di rete > Crea.

   3. Per Nome, inserire un nome descrittivo per la zona di rete, ad esempio us-south-kubernetes-service-network-zone.

   4. Non inserire alcun valore nelle sezioni Indirizzi IP consentiti e VPC consentiti.

   5. Nella sezione Riferimento di un servizio, selezionare Kubernetes Service e fare clic su +.

   6. Per Locazioni, è possibile lasciare il campo vuoto in modo che vengano utilizzate tutte le località, il che si applica ai cluster di altre regioni, oppure specificare una singola regione.

   7. Fare clic su Avanti e rivedere le selezioni.

   8. Fai clic su Crea.

   9. Ripetere l'operazione per altre zone.

4. Aggiungere i nomi delle zone di rete all'elenco di permessi IAM.

   1. Dalla barra dei menu, clicca su Gestisci > Accesso (IAM) e seleziona Impostazioni.

   2. In Limitare l'accesso all'indirizzo IP, selezionare Abilita e fornire il nome della zona di rete dal passaggio precedente.

   3. Fai clic su Apply.