为项目定义默认网络策略 - 网络安全 | 网络 | Red Hat OpenShift Service on AWS

编辑

修改新项目的模板
向新项目模板添加网络策略

作为集群管理员，您可以在创建新项目时修改新项目模板以自动包含网络策略。如果您还没有为新项目定制模板，则必须先创建一个。

编辑

修改新项目的模板

作为集群管理员，您可以修改默认项目模板，以便使用您的自定义要求创建新项目。

创建您自己的自定义项目模板

先决条件

您可以使用具有 `dedicated-admin` 权限的帐户访问 AWS 上的 Red Hat OpenShift Service 集群。

步骤

以具有 `cluster-admin` 权限的用户身份登录。

生成默认项目模板

$ oc adm create-bootstrap-project-template -o yaml > template.yaml

使用文本编辑器修改生成的 `template.yaml` 文件，方法是添加对象或修改现有对象。
必须在 `openshift-config` 命名空间中创建项目模板。加载您修改后的模板
```
$ oc create -f template.yaml -n openshift-config
```
使用 Web 控制台或 CLI 编辑项目配置资源。
- 使用 Web 控制台
  1. 导航到**管理** → **集群设置**页面。
  2. 单击**配置**以查看所有配置资源。
  3. 找到**项目**的条目，然后单击**编辑 YAML**。
- 使用 CLI
  1. 编辑 `project.config.openshift.io/cluster` 资源
    
    $ oc edit project.config.openshift.io/cluster
更新 `spec` 部分以包含 `projectRequestTemplate` 和 `name` 参数，并设置上传的项目模板的名称。默认名称为 `project-request`。
包含自定义项目模板的项目配置资源
```
apiVersion: config.openshift.io/v1
kind: Project
metadata:
# ...
spec:
  projectRequestTemplate:
    name: <template_name>
# ...
```
保存更改后，创建一个新项目以验证您的更改是否已成功应用。

编辑

向新项目模板添加网络策略

作为集群管理员，您可以向新项目的默认模板添加网络策略。AWS 上的 Red Hat OpenShift Service 将自动在项目中创建模板中指定的全部 `NetworkPolicy` 对象。

先决条件

您的集群使用支持 `NetworkPolicy` 对象的默认 CNI 网络插件，例如 OVN-Kubernetes。
您已安装 OpenShift CLI（`oc`）。
您必须使用具有 `cluster-admin` 权限的用户登录到集群。
您必须为新项目创建自定义默认项目模板。

步骤

通过运行以下命令编辑新项目的默认模板
```
$ oc edit template <project_template> -n openshift-config
```
将 `<project_template>` 替换为您为集群配置的默认模板的名称。默认模板名称为 `project-request`。

在模板中，将每个 `NetworkPolicy` 对象作为元素添加到 `objects` 参数。`objects` 参数接受一个或多个对象的集合。

在以下示例中，`objects` 参数集合包含多个 `NetworkPolicy` 对象。

objects:
- apiVersion: networking.k8s.io/v1
  kind: NetworkPolicy
  metadata:
    name: allow-from-same-namespace
  spec:
    podSelector: {}
    ingress:
    - from:
      - podSelector: {}
- apiVersion: networking.k8s.io/v1
  kind: NetworkPolicy
  metadata:
    name: allow-from-openshift-ingress
  spec:
    ingress:
    - from:
      - namespaceSelector:
          matchLabels:
            network.openshift.io/policy-group: ingress
    podSelector: {}
    policyTypes:
    - Ingress
- apiVersion: networking.k8s.io/v1
  kind: NetworkPolicy
  metadata:
    name: allow-from-kube-apiserver-operator
  spec:
    ingress:
    - from:
      - namespaceSelector:
          matchLabels:
            kubernetes.io/metadata.name: openshift-kube-apiserver-operator
        podSelector:
          matchLabels:
            app: kube-apiserver-operator
    policyTypes:
    - Ingress
...

可选：创建一个新项目以确认您的网络策略对象已成功创建，方法是运行以下命令
1. 创建一个新项目
  $ oc new-project <project> (1)
  1 将 `<project>` 替换为您要创建的项目的名称。
2. 确认新项目模板中的网络策略对象存在于新项目中
  $ oc get networkpolicy NAME POD-SELECTOR AGE allow-from-openshift-ingress <none> 7s allow-from-same-namespace <none> 7s