kubernetes - 如何在没有通信的情况下在 Kubernetes 中拥有 2 个独立的命名空间

Question

在我的 K8S 集群中，我有一个包含所有微服务的“私有(private)”部分和一个“公共(public)”部分。
公共(public)部分是区 block 链，我希望能够给客户一个区 block 链节点，以便他们可以审计私有(private)区 block 链。
现在的事情是，如果我在 K8S 中注册一个节点，它将能够与所有命名空间进行通信。
我的微服务应该能够在区 block 链中读写，但是区 block 链节点应该不能与其他命名空间通信。

Answer 1

您可以使用network policy限制不同命名空间的 pod 之间的通信。因此，用于区 block 链的命名空间可以有一个标签，您可以使用网络策略仅允许来自具有该标签的命名空间中的 Pod 进行通信。
来自文档 herenamespaceSelector :这会选择所有 Pod 都应该被允许作为入口源或导出目的地的特定命名空间

  ...
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          app: blockchain
  ...