网络安全

OpenShift Container Platform 使用软件定义网络 (SDN) 提供统一的集群网络，从而实现集群中容器之间的通信。

默认情况下，网络策略模式使项目中的所有 Pod 都可以从其他 Pod 和网络端点访问。要隔离项目中的一个或多个 Pod，您可以在该项目中创建NetworkPolicy对象以指示允许的传入连接。使用多租户模式，您可以为 Pod 和服务提供项目级隔离。

使用网络策略，您可以隔离同一项目中彼此的 Pod。网络策略可以拒绝对 Pod 的所有网络访问，只允许入口控制器连接，拒绝来自其他项目中 Pod 的连接，或者为网络行为设置类似的规则。

默认情况下，每个运行的容器只有一个网络接口。Multus CNI 插件允许您创建多个 CNI 网络，然后将任何这些网络附加到您的 Pod。这样，您可以执行诸如将私有数据分离到更受限制的网络以及在每个节点上拥有多个网络接口等操作。

OpenShift Container Platform 使您能够在一个集群上分割网络流量，以创建多租户集群，从而将用户、团队、应用程序和环境与非全局资源隔离。

关于如何配置从 OpenShift Container Platform 集群外部访问 Kubernetes 服务的方式，存在许多安全隐患。除了公开 HTTP 和 HTTPS 路由外，入口路由还允许您设置 NodePort 或 LoadBalancer 入口类型。NodePort 公开每个集群工作节点上的应用程序的服务 API 对象。LoadBalancer 允许您将外部负载均衡器分配给 OpenShift Container Platform 集群中关联的服务 API 对象。

OpenShift Container Platform 提供了使用路由器或防火墙方法控制出口流量的功能。例如，您可以使用 IP 白名单来控制数据库访问。集群管理员可以通过配置出口 IP 地址为项目分配一个或多个出口 IP 地址。同样，集群管理员可以使用出口防火墙来阻止出口流量流出 OpenShift Container Platform 集群。

通过分配固定的出口 IP 地址，您可以将特定项目的全部出站流量分配到该 IP 地址。使用出口防火墙，您可以阻止 Pod 连接到外部网络，阻止 Pod 连接到内部网络，或者限制 Pod 对特定内部子网的访问。