如何在 Kubernetes 中阻止来自特定命名空间的流量

Question

我的 k8 集群中有多个命名空间。我想要的是开发命名空间中的 pod 可以与其他命名空间中的所有其他 pod 通信，但不应该能够与生产命名空间中的资源通信。

我无法找到此方案的文档。有这样的拒绝所有政策

---
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-egress
spec:
  podSelector: {}
  policyTypes:
  - Egress
  - Ingress

但它适用于同一命名空间中的 pod 级别。我怎样才能修改它以满足我的要求？

Answer 1

参考文档here

1. 用environment=dev标记开发环境中的所有命名空间

2. 使用environment=prod标记生产环境中的所有命名空间

然后你可以有如下的网络策略

1. 您已经采用的默认拒绝策略
2. 有一个策略，将来自标签为 environment=prod 的命名空间中到 Pod 的流量列入白名单

如下

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: access-nginx
spec:
  podSelector: {}
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          environment: "prod"