api 버전: 네트워킹.k8s.io/v1
종류: 네트워크 정책
메타데이터:
이름: 네트워크 정책
투기:
podSelector: {} #배포된 네임스페이스의 모든 포드를 선택합니다.
정책 유형:
- 진입
입구:
- 포트: #in 80 포트를 통해서만 허용되는 입력 트래픽
- 프로토콜: TCP
포트: 80

[master@cli] $ cd /etc/Kubernetes/config
1. 명시적으로 거부하도록 kubeconfig 편집
[master@cli] $ vim kubeconfig.json
"defaultAllow": false # false로 변경
2. ~/.kube/config에서 값을 가져와 서버 매개변수를 수정합니다.
[master@cli] $cat /etc/kubernetes/config/kubeconfig.yaml | 그렙 서버
섬기는 사람:
3. ImagePolicyWebhook 활성화
[master@cli] $ vim /etc/kubernetes/manifests/kube-apiserver.yaml
- --enable-admission-plugins=NodeRestriction,ImagePolicyWebhook # 이것을 추가
- --admission-control-config-file=/etc/kubernetes/config/kubeconfig.json # 이 설명 추가
[desk@cli] $ ssh 마스터
[master@cli] $ cd /etc/Kubernetes/config
[master@cli] $ vim kubeconfig.json
{
"이미지 정책": {
"kubeConfigFile": "/etc/kubernetes/config/kubeconfig.yaml",
"허용 TTL": 50,
"거부TTL": 50,
"재시도백오프": 500,
"defaultAllow": true # 삭제
"defaultAllow": false # 이것을 추가
}
}

참고: 여기에서 누락된 값을 볼 수 있으므로 이 값을 어디서 얻을 수 있습니까?
[master@cli] $cat ~/.kube/config | 그렙 서버
또는
[master@cli] $cat /etc/kubernetes/manifests/kube-apiserver.yaml

[master@cli] $vim /etc/kubernetes/config/kubeconfig.yaml

[master@cli] $ vim /etc/kubernetes/manifests/kube-apiserver.yaml - --enable-admission-plugins=NodeRestriction # 삭제 - --enable-admission-plugins=NodeRestriction,ImagePolicyWebhook # 추가 - -- Admission-control-config-file=/etc/kubernetes/config/kubeconfig.json # 이 참조 추가: https://kubernetes.io/docs/reference/access-authn-authz/admission-controllers/
- --enable-admission-plugins=NodeRestriction # 삭제
- --enable-admission-plugins=NodeRestriction,ImagePolicyWebhook # 이것을 추가
- --admission-control-config-file=/etc/kubernetes/config/kubeconfig.json # 추가
[master@cli] $ vim /etc/kubernetes/manifests/kube-apiserver.yaml - --enable-admission-plugins=NodeRestriction # 삭제 - --enable-admission-plugins=NodeRestriction,ImagePolicyWebhook # 추가 - -- Admission-control-config-file=/etc/kubernetes/config/kubeconfig.json # 이 참조 추가: https://kubernetes.io/docs/reference/access-authn-authz/admission-controllers/

2. 제어 구성을 확인하고 암시적 거부로 변경합니다.
마지막으로 이미지 태그가 최신인 포드를 배포하여 구성을 테스트합니다.

모든 포드를 선택하지만 해당 포드에 대한 수신 트래픽을 허용하지 않는 NetworkPolicy를 생성하여 네임스페이스에 대한 "기본" 격리 정책을 생성할 수 있습니다.
---
api 버전: 네트워킹.k8s.io/v1
종류: 네트워크 정책
메타데이터:
이름: 기본 거부 수신
투기:
포드 선택기: {}
정책 유형:
- 진입
모든 팟(Pod)을 선택하지만 해당 팟(Pod)의 송신 트래픽을 허용하지 않는 NetworkPolicy를 작성하여 네임스페이스에 대한 "기본" 송신 격리 정책을 작성할 수 있습니다.
---
api 버전: 네트워킹.k8s.io/v1
종류: 네트워크 정책
메타데이터:
이름: 모든 송신 허용
투기:
포드 선택기: {}
출구:
- {}
정책 유형:
- 탈출
기본적으로 모든 수신 및 모든 송신 트래픽 거부
해당 네임스페이스에 다음 NetworkPolicy를 생성하여 모든 수신 및 송신 트래픽을 방지하는 네임스페이스에 대한 "기본" 정책을 생성할 수 있습니다.
---
api 버전: 네트워킹.k8s.io/v1
종류: 네트워크 정책
메타데이터:
이름: default-deny-all
투기:
포드 선택기: {}
정책 유형:
- 진입
- 탈출
이렇게 하면 다른 NetworkPolicy에서 선택하지 않은 포드라도 수신 또는 송신 트래픽이 허용되지 않습니다.