Container Service for Kubernetes:Alibaba Cloud サービスの Pod ホワイトリストを動的に構成する

ack-kubernetes-webhook-injector をインストールする

1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[マーケットプレイス] > [マーケットプレイス] を選択します。

2. [ack-kubernetes-webhook-injector] を見つけてクリックします。ページの右上隅にある [デプロイ] をクリックします。

3. 表示されるパネルで、コンポーネントのクラスターと名前空間を選択し、リリース名を入力して、[次へ] をクリックします。

4. [パラメーター] ウィザードページで、チャートバージョンを選択し、openapi セクションの ak と sk を AccessKey ペアに設定して、[OK] をクリックします。

   AccessKey ペアの取得方法の詳細については、「AccessKey ペアの作成」をご参照ください。

ack-kubernetes-webhook-injector を使用して Pod の IP アドレスを ApsaraDB RDS ホワイトリストに動的に追加する例

ReplicationController の Pod Spec セクションで、アノテーションを追加して、Pod の IP アドレスを追加する ApsaraDB RDS ホワイトリストの名前と ApsaraDB RDS インスタンスの ID を指定できます。 ack-kubernetes-webhook-injector は、Pod の作成時に Pod の IP アドレスをホワイトリストに自動的に追加し、Pod の削除時にホワイトリストから削除します。

このトピックでは、ApsaraDB RDS ホワイトリストを例として使用して、ack-kubernetes-webhook-injector を使用して Pod ホワイトリストを動的に構成する方法を示します。

1. 次の YAML テンプレートを使用してデプロイメントを作成し、アノテーションを追加して、ApsaraDB RDS ホワイトリストの名前と ApsaraDB RDS インスタンスの ID を指定します。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     labels:
       app: inject-test
     name: inject-test
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: inject-test
     template:
       metadata:
         annotations:
           ack.aliyun.com/rds_id: <rm-wz9nanjcud75b****>
           ack.aliyun.com/white_list_name: <rds_group>
         labels:
           app: inject-test
       spec:
         containers:
         - command:
           - sleep
           - "3600"
           image: alpine:latest
           name: inject-test

2. 次のコマンドを実行して、Pod の IP アドレスをクエリします。

   kubectl --kubeconfig .kube/config_sts_test -n inject-test get pod -o wide

   予期される出力:

   NAME                           READY           STATUS        RESTARTS    AGE    IP                NODE
   inject-test-68cc8f9bbf-gj86n    1/1            Running         0        22s   172.25.0.28    cn-hangzhou.xxx

   出力は、Pod の IP アドレスが 172.25.0.28 であることを示しています。

3. ApsaraDB RDS コンソール にログインし、指定した ApsaraDB RDS インスタンスのホワイトリストを確認します。ApsaraDB RDS ホワイトリストを表示する方法の詳細については、「拡張 IP アドレスホワイトリストを構成する」をご参照ください。

4. 手順 1 で作成したデプロイメントの Pod 数を 0 に設定し、ApsaraDB RDS ホワイトリストを再度確認します。

   コンソールで、Pod の IP アドレスが ApsaraDB RDS ホワイトリストから削除されていることがわかります。

Alibaba Cloud サービスの内部エンドポイントにアクセスする

デフォルトでは、ack-kubernetes-webhook-injector は Alibaba Cloud サービスのパブリックエンドポイントを使用してサービスにアクセスします。クラスターのパブリックアクセスが無効になっている場合は、サービスの内部エンドポイントを使用するように ack-kubernetes-webhook-injector を構成できます。

1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理するクラスターを見つけて、その名前をクリックします。左側のウィンドウで、[ワークロード] > [デプロイメント] を選択します。

3. 上部のナビゲーションバーで、[kube-system] を [名前空間] ドロップダウンリストから選択し、kubernetes-webhook-injector のデプロイメントを見つけて、デプロイメントの [アクション] で [詳細 > YAML で表示] を選択します。

4. 追加 - '--intranet-access' 下 spec.template.spec.containers.command更新

その他のアクセス制御ポリシー

ack-kubernetes-webhook-injector をアンインストールする

kubectl -n kube-system delete secret kubernetes-webhook-injector-certs
kubectl delete mutatingwebhookconfigurations.admissionregistration.k8s.io kubernetes-webhook-injector