azure - 强制执行 NetworkPolicies 以控制对 Azure ACS 集群中 pod 的访问

Question

我正在尝试设置 NetworkPolicy 来控制对在 acs 集群中运行的 pod 的访问。集群是使用 acs-engine 和 networkPolicy=azure 创建的。

用于创建集群的 json 文件的内容：

{
  "apiVersion": "vlabs",
  "properties": {
    "orchestratorProfile": {
      "orchestratorType": "Kubernetes",
      "kubernetesConfig": {
        "networkPolicy": "azure"
      },
      "orchestratorRelease": "1.9"
    },
    ...
}

我正在应用的网络策略是拒绝所有进入我的命名空间中的 Pod 的流量：

 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
 metadata:
   name: default-deny
 spec:
   podSelector: {}
   policyTypes:
   - Ingress

所需的限制不受此 NetworkPolicy 的影响。

如果这甚至可能与“networkPolicy”：“azure”？

有人可以指出正确的方向来实现这一目标吗？

Answer 1

探索后发现 Azure CNI 策略不支持 Kubernetes 网络策略。解决方案是使用支持它的 CNI，例如 Calico。

Azure CNI 的容器网络功能