azure - 强制执行 NetworkPolicies 以控制对 Azure ACS 群集中 Pod 的访问

Question

我正在尝试设置 NetworkPolicy 来控制对 acs 集群中运行的 pod 的访问。集群是使用 acs-engine 和 networkPolicy=azure 创建的。

用于创建集群的json文件的内容:

{
  "apiVersion": "vlabs",
  "properties": {
    "orchestratorProfile": {
      "orchestratorType": "Kubernetes",
      "kubernetesConfig": {
        "networkPolicy": "azure"
      },
      "orchestratorRelease": "1.9"
    },
    ...
}

我应用的网络策略是拒绝我的命名空间中 pod 的所有入口流量:

 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
 metadata:
   name: default-deny
 spec:
   podSelector: {}
   policyTypes:
   - Ingress

此 NetworkPolicy 不会影响所需的限制。

如果这可以通过“networkPolicy”实现:“azure”？

有人可以指出实现这一目标的正确方向吗？

Answer 1

经过探索，我发现Azure CNI策略不支持Kubernetes网络策略。解决方案是使用支持它的 CNI，例如 Calico。

Container networking capabilities of Azure CNI