Container Service for Kubernetes:Configure a static IP, dedicated vSwitch, and security group for a pod

Etapa 2: Criar um recurso personalizado PodNetworking

O Terway usa um recurso personalizado (CR) PodNetworking para descrever configurações de rede. Crie múltiplos objetos PodNetworking para definir diferentes planos de rede.

1. Faça login no ACK console. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do cluster e escolha Workloads > Custom Resources no painel de navegação à esquerda.

3. Na página Custom Resources, clique na aba CRDs e clique em Create from YAML.

   Exemplo de YAML para PodNetworking:

   apiVersion: network.alibabacloud.com/v1beta1
   kind: PodNetworking
   metadata:
     name: example
   spec:
     allocationType:
       type: Fixed # The pod IP address allocation policy. Valid values: Elastic and Fixed.
       releaseStrategy: TTL # This parameter is valid only when type is set to Fixed. If type is set to Elastic, you do not need to configure releaseStrategy and releaseAfter.
       releaseAfter: "1h" # This parameter is valid only when releaseStrategy is set to TTL.
     selector:
       podSelector:
         matchLabels:
           foo: bar
       namespaceSelector:
         matchLabels:
           foo: bar
     securityGroupIDs:
     - sg-bpxxxx
     vSwitchOptions:
     - vsw-bpxxxx
     eniOptions:
       eniType: Default

   Descrição dos parâmetros:

   Parâmetro		Descrição
   allocationType (Política de alocação de endereço IP do pod)	type	Valores válidos: Elastic: Os recursos de IP são liberados após a exclusão do pod. Fixed: Política de endereço IP estático. Quando type é Fixed, aplica-se a pods com nomes fixos (StatefulSets e pods sem ownerReferences por padrão). Para workloads personalizados, configure o terway-controlplane na página Add-ons. Nota Com a política de IP estático, os pods recriados ficam restritos à mesma zona do original.
   	releaseStrategy	Válido apenas quando type é Fixed. Valores válidos: TTL: Liberação atrasada. O IP é liberado após um tempo especificado da exclusão do pod. Mínimo: 5 minutos. Never: O IP nunca é liberado. Exclua manualmente o recurso PodENI quando não for mais necessário.
   	releaseAfter	Tempo de liberação atrasada. Válido apenas quando releaseStrategy é TTL. Usa o formato de tipo de tempo Go com unidades h e m, como 2h45m ou 5m0s.
   selector (Seletor de rótulos. Pods correspondentes usam esta configuração de rede.)	podSelector	Corresponde aos rótulos do pod. Os pods correspondentes usam esta configuração de rede. Se podSelector e namespaceSelector estiverem configurados, os pods que corresponderem a todas as regras usarão esta configuração. Garanta uma correspondência única. Se um pod corresponder a múltiplas configurações PodNetworking, o sistema aplicará uma arbitrariamente.
   	namespaceSelector	Rótulos para corresponder a um Namespace. Pods nos Namespaces correspondentes usam esta configuração. Se podSelector e namespaceSelector estiverem configurados, os pods que corresponderem a todas as regras usarão esta configuração. Garanta uma correspondência única. Múltiplas correspondências resultam em seleção arbitrária.
   vSwitchOptions	-	Os vSwitches para os pods. Os IDs de vSwitch especificados têm relação OR; cada pod usa apenas um vSwitch, e o Terway seleciona aquele que atende às condições. Os pods ficam restritos às mesmas zonas dos vSwitches especificados. As zonas dos vSwitches devem corresponder às zonas dos nós de destino e deve haver endereços IP suficientes disponíveis. Caso contrário, a criação do pod falhará. Nota Com o auto scaling ativado, as restrições de zona do vSwitchOptions podem impedir o scale-out do node pool. Consulte Auto scaling FAQ.
   vSwitchSelectOptions (Configura a política de seleção de vSwitch)	vSwitchSelectionPolicy	Valores válidos: ordered (padrão): Seleciona na ordem inserida. most: Prioriza o vSwitch com mais IPs disponíveis. random: Seleciona aleatoriamente um vSwitch. Nota Suportado no Terway v1.11.0 e posteriores.
   securityGroupIDs	-	Suporta múltiplos IDs de grupo de segurança (todos entram em vigor). Máximo: 10. Nota O Terway v1.13.6 e posteriores suportam até 10 grupos de segurança.
   eniOptions (Configura o tipo de ENI usado pelo pod)	eniType	Valores válidos: Default: Trunk ENI para clusters com ENI compartilhada, ENI exclusiva para clusters com ENI exclusiva. ENI: Usa uma ENI exclusiva. Trunk: Usa uma Trunk ENI. Nota Suportado no Terway v1.11.0 e posteriores.

4. Clique em Create.

   Após criar um recurso PodNetworking, o Terway sincroniza a configuração de rede. O PodNetworking entra em vigor somente depois que seu status se tornar Ready.

   Verifique se o status do recurso é ready:

   kubectl describe PodNetworking example # Replace example with the name of your custom resource.

(Opcional) Etapa 3: Adicionar rótulos correspondentes a um namespace

Para aplicar regras PodNetworking via correspondência de rótulos, adicione os rótulos correspondentes ao namespace de destino.

1. Crie um namespace de teste chamado example:

   kubectl create ns example

2. Adicione o rótulo foo=bar ao namespace:

   kubectl label namespaces example foo=bar  # Replace example with your target namespace name.

3. Visualize os rótulos do namespace:

   kubectl get namespace example --show-labels  # Replace example with your target namespace name.

   Saída esperada:

    NAME      STATUS   AGE   LABELS
   example   Active   24s   foo=bar,kubernetes.io/metadata.name=example

(Opcional) Etapa 4: Criar um pod de aplicação

Quando um pod é criado, o sistema compara seus rótulos com os recursos PodNetworking. Os pods correspondentes recebem uma ENI conforme a configuração encontrada; os demais usam a ENI padrão.

O Terway cria um recurso personalizado PodENI para rastrear os recursos de rede de cada pod correspondente. Consulte Labels and Selectors.

1. Crie um arquivo chamado my-nginx.yaml com o seguinte conteúdo YAML:

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: my-nginx    # The name of the sample application.
     namespace: example   # Specify the namespace as example.
     labels:
       app: nginx
   spec:
     serviceName: "nginx-service"  
     replicas: 1    
     selector:
       matchLabels:
         app: nginx 
     template:
       metadata:
         labels:
           app: nginx
           foo: bar  # Add the foo:bar label to the pod.
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80  
   
   #  If the StatefulSet requires persistent storage, you must define volumeClaimTemplates.
   #  Example:
   #  volumeClaimTemplates:
   #  - metadata:
   #      name: nginx-storage
   #    spec:
   #      accessModes: ["ReadWriteOnce"]
   #      storageClassName: "my-storage-class"
   #      resources:
   #        requests:
   #          storage: 1Gi

2. Implante a aplicação de exemplo my-nginx. Após a implantação, consulte Verify PodNetworking usage para verificar a configuração de rede.

   kubectl apply -f my-nginx.yaml

Verificar uso do PodNetworking

1. Após a criação, as annotations do pod incluem k8s.aliyun.com/pod-networking para indicar o uso do PodNetworking.

   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.aliyun.com/pod-eni: "true"
       k8s.aliyun.com/pod-networking: podnetworking
     labels:
       app: example
       pod-ip: elastic

2. O Terway cria um recurso PodENI (mesmo nome/namespace do pod) para registrar sua configuração de rede.

   kubectl get podenis.network.alibabacloud.com <my-nginx-0> -n <example> -o yaml # Replace <my-nginx-0> with the pod name and <example> with the pod's namespace.

   Saída esperada mostrando o PodNetworking em uso:

   apiVersion: network.alibabacloud.com/v1beta1
   kind: PodENI
   metadata:
     finalizers:
     - pod-eni
     generation: 1
     name: <my-nginx-0>
     namespace: default
   spec:
     allocations:
     - allocationType:
         type: Elastic
       eni:
         id: eni-bp1xxxx
         mac: 00:16:xx:xx:xx:xx
         securityGroupIDs:
         - sg-bp1xxxx
         vSwitchID: vsw-bp1xxxx
         zone: cn-hangzhou-h
       ipv4: 192.168.x.x
       ipv4CIDR: 192.168.x.x/19
       ipv6: 2408:x:x:x:x:x:x:x
       ipv6CIDR: 2408:x:x:x::/64
     zone: cn-hangzhou-h
   status:
     eniInfos:
       eni-bp1xxxx:
         id: eni-bp1xxxx
         status: Bind
         vid: 1001
     instanceID: i-bp1xxxx
     phase: Bind
     podLastSeen: "2021-xx-xxT00:00:00Z"
     trunkENIID: eni-bp1xxxx

O pod não usa a configuração PodNetworking

1. Verifique se o status do PodNetworking é Ready.

2. Confirme se os rótulos do pod correspondem unicamente ao seletor PodNetworking.

3. A política de IP estático aplica-se apenas a pods gerenciados por StatefulSet.