Container Service for Kubernetes:Pod に静的 IP、専用 vSwitch、セキュリティグループを設定する

ステップ 2: PodNetworking カスタムリソースを作成する

Terway は、PodNetworking カスタムリソース (CR) を使用してネットワーク設定を記述します。複数の PodNetworking オブジェクトを作成して、異なるネットワークプレーンを定義します。

1. ACKコンソールにログインします。 左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. クラスターリスト ページで、クラスター名をクリックし、左側のナビゲーションペインで ワークロード > カスタムリソース を選択します。

3. カスタムリソース ページで、CRD タブをクリックし、YAML のリソースの作成 をクリックします。

   PodNetworking YAML の例:

   apiVersion: network.alibabacloud.com/v1beta1
   kind: PodNetworking
   metadata:
     name: example
   spec:
     allocationType:
       type: Fixed # Pod IP アドレス割り当てポリシー。有効な値: Elastic および Fixed。
       releaseStrategy: TTL # このパラメータは、type が Fixed に設定されている場合にのみ有効です。type が Elastic に設定されている場合、releaseStrategy と releaseAfter を設定する必要はありません。
       releaseAfter: "1h" # このパラメータは、releaseStrategy が TTL に設定されている場合にのみ有効です。
     selector:
       podSelector:
         matchLabels:
           foo: bar
       namespaceSelector:
         matchLabels:
           foo: bar
     securityGroupIDs:
     - sg-bpxxxx
     vSwitchOptions:
     - vsw-bpxxxx
     eniOptions:
       eniType: Default

   パラメータの説明：

   パラメータ		説明
   allocationType (Pod IP アドレス割り当てポリシー)	type	有効な値: Elastic: Pod が削除された後、IP リソースが解放されます。 Fixed: 静的 IP アドレスポリシー。 type が Fixed の場合、このポリシーは固定名を持つ Pod (デフォルトでは、StatefulSet および ownerReferences がない Pod) に適用されます。カスタムワークロードの場合は、[アドオン] ページで terway-controlplane を設定してください。 説明 静的 IP ポリシーを使用すると、再作成された Pod は元の Pod と同じゾーンに制約されます。
   	releaseStrategy	type が Fixed の場合にのみ有効です。有効な値: TTL: 遅延リリース。Pod 削除後、指定された時間が経過した後に IP が解放されます。最小値: 5 分。 Never: IP アドレスは自動的に解放されません。不要になったら、PodENI リソースを手動で削除してください。
   	releaseAfter	遅延リリース時間。releaseStrategy が TTL の場合にのみ有効で、Go の時間型形式で h や m などの単位 (2h45m や 5m0s など) を使用します。
   selector (ラベルセレクター。一致した Pod がこのネットワーク設定を使用します。)	podSelector	Pod のラベルと照合します。一致した Pod がこのネットワーク設定を使用します。 podSelector と namespaceSelector の両方が設定されている場合、すべてのルールに一致する Pod がこの設定を使用します。 一意の一致を確保してください。Pod が複数の PodNetworking 設定に一致する場合、いずれか 1 つが任意に適用されます。
   	namespaceSelector	名前空間のラベルと照合します。一致した名前空間内の Pod がこの設定を使用します。 podSelector と namespaceSelector の両方が設定されている場合、すべてのルールに一致する Pod がこの設定を使用します。 一意の一致を確保してください。複数の一致がある場合、いずれかが任意に選択されます。
   vSwitchOptions	-	Pod 用の vSwitch。複数の ID が指定されている場合、Terway は条件を満たすものを 1 つ選択します。 Pod は、指定された vSwitch と同じゾーンに制約されます。 vSwitch のゾーンは、ターゲットノードのゾーンと一致する必要があり、十分な空き IP アドレスが必要です。そうでない場合、Pod の作成は失敗します。 説明 オートスケーリングが有効になっている場合、vSwitchOptions ゾーンの制約により、ノードプールのスケールアウトが妨げられる可能性があります。詳細については、「オートスケーリング FAQ」をご参照ください。
   vSwitchSelectOptions (vSwitch 選択ポリシーを設定します)	vSwitchSelectionPolicy	有効な値: ordered (デフォルト): 入力された順序で選択します。 most: 利用可能な IP が最も多い vSwitch を優先します。 random: vSwitch をランダムに選択します。 説明 Terway v1.11.0 以降でサポートされています。
   securityGroupIDs	-	複数のセキュリティグループ ID をサポートします (すべて有効)。最大: 10。 説明 Terway v1.13.6 以降は、最大 10 個のセキュリティグループをサポートしています。
   eniOptions (Pod が使用する ENI タイプを設定します)	eniType	有効な値: Default: 共有 ENI クラスターの場合は Trunk ENI、専用 ENI クラスターの場合は専用 ENI。 ENI: 専用 ENI を使用します。 Trunk: Trunk ENI を使用します。 説明 Terway v1.11.0 以降でサポートされています。

4. 作成する をクリックします。

   PodNetworking は、その status が Ready になって初めて有効になります。

   リソースのステータスが ready かどうかを確認します。

   kubectl describe PodNetworking example # example をカスタムリソースの名前に置き換えてください。

(オプション) ステップ 3: 名前空間に一致するラベルを追加する

ラベルマッチングによって PodNetworking ルールを適用するには、対応するラベルをターゲット名前空間に追加します。

1. example という名前のテスト名前空間を作成します。

   kubectl create ns example

2. foo=bar ラベルを名前空間に追加します。

   kubectl label namespaces example foo=bar  # example をターゲット名前空間の名前に置き換えてください。

3. 名前空間のラベルを表示します。

   kubectl get namespace example --show-labels  # example をターゲット名前空間の名前に置き換えてください。

   出力例:

    NAME      STATUS   AGE   LABELS
   example   Active   24s   foo=bar,kubernetes.io/metadata.name=example

(オプション) ステップ 4: アプリケーション Pod を作成する

Pod が作成されると、システムはそのラベルを PodNetworking リソースと照合します。一致した Pod には、一致した設定に従って ENI が割り当てられます。一致しない Pod は、デフォルトの ENI を使用します。

Terway は、一致した各 Pod のネットワークリソースを追跡するために、PodENI カスタムリソースを作成します。詳細については、「ラベルとセレクター」をご参照ください。

1. my-nginx.yaml という名前のファイルを作成し、次の YAML コンテンツを記述します。

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: my-nginx    # サンプルアプリケーションの名前。
     namespace: example   # 名前空間を example として指定します。
     labels:
       app: nginx
   spec:
     serviceName: "nginx-service"  
     replicas: 1    
     selector:
       matchLabels:
         app: nginx 
     template:
       metadata:
         labels:
           app: nginx
           foo: bar  # Pod に foo:bar ラベルを追加します。
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80  
   
   #  StatefulSet に永続ストレージが必要な場合は、volumeClaimTemplates を定義する必要があります。
   #  例：
   #  volumeClaimTemplates:
   #  - metadata:
   #      name: nginx-storage
   #    spec:
   #      accessModes: ["ReadWriteOnce"]
   #      storageClassName: "my-storage-class"
   #      resources:
   #        requests:
   #          storage: 1Gi

2. my-nginx サンプルアプリケーションをデプロイします。デプロイ後、ネットワーク設定を確認するには、「PodNetworking の使用状況の確認」をご参照ください。

   kubectl apply -f my-nginx.yaml

PodNetworking の使用状況の確認

1. 作成後、ポッドの annotations には、 PodNetworking の使用を示す k8s.aliyun.com/pod-networking が含まれます。

   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.aliyun.com/pod-eni: "true"
       k8s.aliyun.com/pod-networking: podnetworking
     labels:
       app: example
       pod-ip: elastic

2. Terway は、Pod と同じ名前/名前空間の PodENI リソースを作成し、そのネットワーク設定を記録します。

   kubectl get podenis.network.alibabacloud.com <my-nginx-0> -n <example> -o yaml # <my-nginx-0> を Pod 名に、<example> を Pod の名前空間に置き換えてください。

   PodNetworking が使用されていることを示す出力例:

   apiVersion: network.alibabacloud.com/v1beta1
   kind: PodENI
   metadata:
     finalizers:
     - pod-eni
     generation: 1
     name: <my-nginx-0>
     namespace: default
   spec:
     allocations:
     - allocationType:
         type: Elastic
       eni:
         id: eni-bp1xxxx
         mac: 00:16:xx:xx:xx:xx
         securityGroupIDs:
         - sg-bp1xxxx
         vSwitchID: vsw-bp1xxxx
         zone: cn-hangzhou-h
       ipv4: 192.168.x.x
       ipv4CIDR: 192.168.x.x/19
       ipv6: 2408:x:x:x:x:x:x:x
       ipv6CIDR: 2408:x:x:x::/64
     zone: cn-hangzhou-h
   status:
     eniInfos:
       eni-bp1xxxx:
         id: eni-bp1xxxx
         status: Bind
         vid: 1001
     instanceID: i-bp1xxxx
     phase: Bind
     podLastSeen: "2021-xx-xxT00:00:00Z"
     trunkENIID: eni-bp1xxxx

Pod に PodNetworking 設定が適用されない場合

1. PodNetworking のステータスが Ready であることを確認します。

2. Pod のラベルが PodNetworking セレクターと一意に一致することを確認します。

3. 静的 IP ポリシーは、固定名を持つ Pod (デフォルトでは、StatefulSet および ownerReferences がない Pod) に適用されます。