Container Service for Kubernetes:Pod への静的 IP、専用 vSwitch、セキュリティグループの設定

手順2：PodNetworking カスタムリソースの作成

Terway は PodNetworking カスタムリソース (CR) を使用してネットワーク設定を定義します。複数の PodNetworking オブジェクトを作成して、異なるネットワークプレーンを定義します。

1. ACKコンソールにログインします。 左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. クラスターリスト ページで対象クラスターの名前をクリックし、左側メニューで ワークロード > カスタムリソース の順に選択します。

3. カスタムリソース ページで、CRD タブをクリックし、YAML のリソースの作成 をクリックします。

   PodNetworking YAML の例：

   apiVersion: network.alibabacloud.com/v1beta1
   kind: PodNetworking
   metadata:
     name: example
   spec:
     allocationType:
       type: Fixed # Pod の IP アドレス割り当てポリシー。有効な値：Elastic、Fixed。
       releaseStrategy: TTL # type が Fixed の場合のみ有効。type が Elastic の場合、releaseStrategy と releaseAfter は不要。
       releaseAfter: "1h" # releaseStrategy が TTL の場合のみ有効。
     selector:
       podSelector:
         matchLabels:
           foo: bar
       namespaceSelector:
         matchLabels:
           foo: bar
     securityGroupIDs:
     - sg-bpxxxx
     vSwitchOptions:
     - vsw-bpxxxx
     eniOptions:
       eniType: Default

   パラメーターの説明：

   パラメーター		説明
   allocationType (Pod の IP アドレス割り当てポリシー)	type	有効な値は次のとおりです。 Elastic：Pod が削除された後に IP リソースが解放されます。 Fixed：静的 IP アドレスポリシー。 type が Fixed の場合、これは固定の名前を持つポッド (デフォルトでは StatefulSet および ownerReference のないポッド) に適用されます。カスタムワークロードの場合、アドオンページで terway-controlplane を設定します。 説明 静的 IP ポリシーを使用すると、再作成された Pod は元の Pod と同じゾーンに制約されます。
   	releaseStrategy	type が Fixed の場合にのみ有効です。有効な値: TTL：遅延解放。Pod の削除後、指定した時間が経過すると IP が解放されます。最小：5 分。 Never: IP アドレスは解放されません。不要になったら、PodENI リソースを手動で削除します。
   	releaseAfter	遅延リリース時間。 releaseStrategy が TTL の場合にのみ有効です。 Go time 型 形式を使用します。値は h および m の単位を使用し、2h45m や 5m0s のように指定します。
   selector (ラベルセレクター。一致した Pod はこのネットワーク設定を使用します。)	podSelector	Pod のラベルと照合します。一致した Pod はこのネットワーク設定を使用します。 podSelector と namespaceSelector の両方が設定されている場合、すべてのルールに一致するポッドがこの設定を使用します。 一意に一致するようにしてください。Pod が複数の PodNetworking 設定に一致する場合、いずれか 1 つが任意に適用されます。
   	namespaceSelector	Namespace を照合するラベル。一致した Namespace 内の Pod がこの設定を使用します。 podSelector と namespaceSelector の両方が設定されている場合、すべてのルールに一致するポッドはこの設定を使用します。 一意に一致するようにしてください。複数の一致がある場合、いずれか 1 つが任意に選択されます。
   vSwitchOptions	-	Pod 用の vSwitch です。指定された vSwitch ID は OR 関係にあります。各 Pod は 1 つの vSwitch のみを使用し、Terway は条件を満たすものを選択します。 Pod は、指定された vSwitch と同じゾーンに制約されます。 vSwitch のゾーンはターゲットノードのゾーンと一致する必要があり、十分な IP アドレスが利用可能である必要があります。そうでなければ、Pod の作成は失敗します。 説明 自動スケーリングが有効な場合、vSwitchOptions のゾーン制約により、ノードプールのスケールアウトが妨げられる可能性があります。詳細については、「自動スケーリングに関するよくある質問」をご参照ください。
   vSwitchSelectOptions (vSwitch 選択ポリシーを設定します)	vSwitchSelectionPolicy	有効な値は次のとおりです。 ordered (デフォルト): 入力された順序で選択します。 most: 利用可能な IP アドレスが最も多い vSwitch を優先します。 random: vSwitch をランダムに選択します。 説明 Terway v1.11.0 以降でサポートされています。
   securityGroupIDs	-	複数のセキュリティグループ ID をサポートします (すべてが有効になります)。最大 10 個です。 説明 Terway v1.13.6 以降は、最大 10 個のセキュリティグループをサポートします。
   eniOptions (Pod が使用する ENI タイプを設定します)	eniType	有効な値は次のとおりです。 デフォルト: 共有 ENI クラスターでは Trunk ENI、専用 ENI クラスターでは専用 ENI。 ENI：専用 ENI を使用します。 Trunk：Trunk ENI を使用します。 説明 Terway v1.11.0 以降でサポートされています。

4. 作成する をクリックします。

   PodNetworking リソースを作成すると、Terway はネットワーク設定を同期します。PodNetworking は、そのステータスが Ready になった後に有効化されます。status が Ready になります。

   リソースのステータスが ready であるかどうかを確認します：

   kubectl describe PodNetworking example # example をカスタムリソースの名前に置き換えます。

(オプション) 手順3：Namespace への一致するラベルの追加

ラベル照合によって PodNetworking ルールを適用するには、対応するラベルをターゲットの Namespace に追加します。

1. example という名前のテスト Namespace を作成します。

   kubectl create ns example

2. ネームスペースに foo=bar ラベルを追加します:

   kubectl label namespaces example foo=bar  # example をターゲットの Namespace 名に置き換えます。

3. Namespace のラベルを表示します。

   kubectl get namespace example --show-labels  # example をターゲットの Namespace 名に置き換えます。

   期待される出力：

    NAME      STATUS   AGE   LABELS
   example   Active   24s   foo=bar,kubernetes.io/metadata.name=example

(オプション) 手順4：アプリケーション Pod の作成

Pod が作成されると、システムはそのラベルを PodNetworking リソースと照合します。一致した Pod には、一致した設定に従って ENI が割り当てられます。一致しない Pod は、デフォルトの ENI を使用します。

Terway は、一致した各ポッドのネットワークリソースを追跡するために PodENI カスタムリソースを作成します。詳細については、「ラベルとセレクター」をご参照ください。

1. 次の YAML コンテンツで my-nginx.yaml という名前のファイルを作成します。

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: my-nginx    # サンプルアプリケーションの名前。
     namespace: example   # Namespace を example に指定します。
     labels:
       app: nginx
   spec:
     serviceName: "nginx-service"  
     replicas: 1    
     selector:
       matchLabels:
         app: nginx 
     template:
       metadata:
         labels:
           app: nginx
           foo: bar  # Pod に foo:bar ラベルを追加します。
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80  
   
   # StatefulSet が永続ストレージを必要とする場合は、volumeClaimTemplates を定義する必要があります。
   # 例：
   #  volumeClaimTemplates:
   #  - metadata:
   #      name: nginx-storage
   #    spec:
   #      accessModes: ["ReadWriteOnce"]
   #      storageClassName: "my-storage-class"
   #      resources:
   #        requests:
   #          storage: 1Gi

2. my-nginx サンプルアプリケーションをデプロイします。デプロイ後、「PodNetworking の使用状況の確認」を参照してネットワーク設定を確認します。

   kubectl apply -f my-nginx.yaml

PodNetworking の使用状況の確認

1. 作成後、 Pod の annotations には、PodNetworking の使用を示す k8s.aliyun.com/pod-networking が含まれます。

   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.aliyun.com/pod-eni: "true"
       k8s.aliyun.com/pod-networking: podnetworking
     labels:
       app: example
       pod-ip: elastic

2. Terway は、そのネットワーク設定を記録するために PodENI リソース (Pod と同じ名前/Namespace) を作成します。

   kubectl get podenis.network.alibabacloud.com <my-nginx-0> -n <example> -o yaml # <my-nginx-0> を Pod 名に、<example> を Pod の Namespace に置き換えます。

   PodNetworking が使用中であることを示す期待される出力：

   apiVersion: network.alibabacloud.com/v1beta1
   kind: PodENI
   metadata:
     finalizers:
     - pod-eni
     generation: 1
     name: <my-nginx-0>
     namespace: default
   spec:
     allocations:
     - allocationType:
         type: Elastic
       eni:
         id: eni-bp1xxxx
         mac: 00:16:xx:xx:xx:xx
         securityGroupIDs:
         - sg-bp1xxxx
         vSwitchID: vsw-bp1xxxx
         zone: cn-hangzhou-h
       ipv4: 192.168.x.x
       ipv4CIDR: 192.168.x.x/19
       ipv6: 2408:x:x:x:x:x:x:x
       ipv6CIDR: 2408:x:x:x::/64
     zone: cn-hangzhou-h
   status:
     eniInfos:
       eni-bp1xxxx:
         id: eni-bp1xxxx
         status: Bind
         vid: 1001
     instanceID: i-bp1xxxx
     phase: Bind
     podLastSeen: "2021-xx-xxT00:00:00Z"
     trunkENIID: eni-bp1xxxx

Pod が PodNetworking 設定を使用しない場合

1. PodNetworking のステータスが Ready であることを確認します。

2. Pod のラベルが PodNetworking のセレクターと一意に一致することを確認します。

3. 静的 IP ポリシーは、StatefulSet で管理される Pod にのみ適用されます。