强制执行 NetworkPolicies 以控制对 Azure ACS 集群中 pod 的访问答案

【问题标题】：Enforce NetworkPolicies to control access to pods in Azure ACS cluster强制执行 NetworkPolicies 以控制对 Azure ACS 集群中 pod 的访问
【发布时间】：2018-09-02 03:16:14
【问题描述】：

我正在尝试设置 NetworkPolicy 来控制对在 acs 集群中运行的 pod 的访问。集群是使用 acs-engine 和 networkPolicy=azure 创建的。

用于创建集群的json文件内容：

{
  "apiVersion": "vlabs",
  "properties": {
    "orchestratorProfile": {
      "orchestratorType": "Kubernetes",
      "kubernetesConfig": {
        "networkPolicy": "azure"
      },
      "orchestratorRelease": "1.9"
    },
    ...
}

我正在应用的网络策略是拒绝所有进入我的命名空间中的 pod 的入口流量：

 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
 metadata:
   name: default-deny
 spec:
   podSelector: {}
   policyTypes:
   - Ingress

所需的限制不受此 NetworkPolicy 的影响。

如果使用 "networkPolicy": "azure" 甚至可以做到这一点？

有人可以指出正确的方向来实现这一目标吗？

【问题讨论】：

标签： azure kubernetes acs kubernetes-networkpolicy

【解决方案1】：

探索后发现 Azure CNI 策略不支持 Kubernetes 网络策略。解决方案是使用支持它的 CNI，例如 Calico。

Container networking capabilities of Azure CNI

【讨论】：