Elastic Container Instance:Atribuir grupos de segurança a um pod

Antes de começar

Antes de atribuir grupos de segurança, verifique se você tem:

• Um cluster ACK com o componente Virtual Node (Virtual Kubelet) instalado

• Pelo menos um grupo de segurança criado na mesma Virtual Private Cloud (VPC) do cluster. Para criar um, consulte Criar um grupo de segurança

• Virtual Kubelet v2.0.0.90-15deb126e-aliyun ou posterior, caso precise aplicar alterações de configuração no nível do cluster sem reiniciar os pods (atualização a quente). Para verificar a versão e atualizar se necessário, consulte as notas de lançamento do Virtual Kubelet

Limitações

Analise estas restrições antes de prosseguir:

Tipos de grupo de segurança

O ECI oferece suporte a dois tipos de grupo de segurança:

Todas as instâncias em um grupo de segurança têm confiança mútua e proteção sob as mesmas regras. Essas regras controlam o acesso de ou para a Internet e a rede interna das elastic container instances associadas ao grupo.

Para uma comparação detalhada, consulte Grupos de segurança básicos e avançados.

Atribuir um grupo de segurança no nível do cluster

Por padrão, todos os pods baseados em ECI em um cluster ACK usam o grupo de segurança especificado no ConfigMap eci-profile. Para alterar o grupo de segurança padrão de todos os pods no cluster, edite este ConfigMap.

1. Abra o ConfigMap eci-profile para edição:

   kubectl edit configmap eci-profile -n kube-system

2. Atualize securityGroupId na seção data com o ID do seu grupo de segurança. O nível do cluster aceita apenas um ID de grupo de segurança.

   data:
     enableClusterIp: "true"
     enableHybridMode: "false"
     enablePrivateZone: "false"
     resourceGroupId: ""
     securityGroupId: sg-2ze0b9o8pjjzts4h****  # Specify a single security group ID.
     selectors: ""
     vSwitchIds: vsw-2zeet2ksvw7f14ryz****,vsw-2ze94pjtfuj9vaymf****
     vpcId: vpc-2zeghwzptn5zii0w7****

3. Salve o arquivo. Se o Virtual Kubelet for da versão v2.0.0.90-15deb126e-aliyun ou posterior, a alteração entrará em vigor imediatamente, sem necessidade de reiniciar os pods existentes.

Atribuir grupos de segurança a um pod específico

Para substituir o padrão do cluster para pods individuais, adicione a anotação k8s.aliyun.com/eci-security-group à especificação do pod. Esse recurso é útil quando cargas de trabalho específicas exigem políticas de rede mais restritivas ou permissivas.

O exemplo a seguir atribui dois grupos de segurança a todos os pods criados pelo Deployment test:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: test
  labels:
    app: test
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      name: nginx-test
      labels:
        app: nginx
        alibabacloud.com/eci: "true"
      annotations:
        k8s.aliyun.com/eci-security-group: "sg-bp1dktddjsg5nktv****,sg-2ze0b9o8pjjzts4h****"  # Up to 5 IDs, comma-separated.
    spec:
      containers:
      - name: nginx
        image: registry.cn-shanghai.aliyuncs.com/eci_open/nginx:1.14.2
        ports:
        - containerPort: 80

Adicionar uma regra de grupo de segurança

As regras de grupo de segurança determinam qual tráfego pode alcançar seus pods. Casos de uso comuns:

• Habilitar comunicação entre grupos de segurança: Adicione uma regra para permitir tráfego de serviços externos ao grupo de segurança do pod.

• Bloquear origens maliciosas: Adicione uma regra para impedir acessos de fontes específicas ao detectar ataques.

Para adicionar uma regra, consulte Adicionar uma regra de grupo de segurança.

Próximos passos

• Visão geral dos grupos de segurança — Entenda o funcionamento dos grupos de segurança e a avaliação das regras

• Grupos de segurança básicos e avançados — Compare os dois tipos para escolher a opção ideal para sua carga de trabalho