理解网络策略 API

Kubernetes 提供了两个功能，用户可以使用这两个功能来执行网络安全策略。一个允许用户执行网络策略的功能是 `NetworkPolicy` API，该 API 主要设计用于应用程序开发人员和命名空间租户通过创建命名空间范围的策略来保护其命名空间。

第二个功能是 `AdminNetworkPolicy`，它包含两个 API：`AdminNetworkPolicy` (ANP) API 和 `BaselineAdminNetworkPolicy` (BANP) API。ANP 和 BANP 专为集群和网络管理员设计，他们可以通过创建集群范围的策略来保护整个集群。集群管理员可以使用 ANP 来执行不可覆盖的策略，这些策略优先于 `NetworkPolicy` 对象。管理员可以使用 BANP 来设置和执行可选的集群范围网络策略规则，这些规则在必要时可被用户使用 `NetworkPolicy` 对象覆盖。当一起使用时，ANP、BANP 和网络策略可以实现管理员可以使用来保护其集群的完全多租户隔离。

OpenShift Dedicated 中的 OVN-Kubernetes CNI 使用访问控制列表 (ACL) 层来评估和应用这些网络策略。ACL 按从 1 层到 3 层的降序进行评估。

1 层评估 `AdminNetworkPolicy` (ANP) 对象。2 层评估 `NetworkPolicy` 对象。3 层评估 `BaselineAdminNetworkPolicy` (BANP) 对象。

首先评估 ANP。当匹配项是 ANP `allow` 或 `deny` 规则时，将跳过对集群中任何现有的 `NetworkPolicy` 和 `BaselineAdminNetworkPolicy` (BANP) 对象的评估。当匹配项是 ANP `pass` 规则时，评估将从 ACL 的 1 层移动到 2 层，其中评估 `NetworkPolicy` 策略。如果没有任何 `NetworkPolicy` 匹配流量，则评估将从 2 层 ACL 移动到 3 层 ACL，其中评估 BANP。