Container Service for Kubernetes:Alibaba Cloudサービスのポッドホワイトリストを動的に設定する

ack-kubernetes-webhook-injectorのインストール

1. ACKコンソールにログインします。 左側のナビゲーションウィンドウで、[Marketplace] > [Marketplace] を選択します。

2. ack-kubernetes-webhook-injectorを見つけてクリックします。 ページの右上隅にある [デプロイ] をクリックします。

3. 表示されるパネルで、コンポーネントのクラスターと名前空間を指定し、リリース名を入力して [次へ] をクリックします。

4. [パラメーター] ウィザードページで、openapiセクションのakとskをAccessKeyペアに設定し、[OK] をクリックします。

   AccessKeyペアを取得する方法の詳細については、「AccessKeyペアの取得」をご参照ください。

ack-kubernetes-webhook-injectorを使用してポッドのIPアドレスをApsaraDB RDSホワイトリストに動的に追加する方法の例

ReplicationControllerの [Pod Spec] セクションで、ポッドのIPアドレスを追加するApsaraDB RDSホワイトリストの名前とApsaraDB RDSインスタンスのIDを指定するためのアノテーションを追加できます。 ack-kubernetes-webhook-injectorは、ポッドの作成時にポッドのIPアドレスをホワイトリストに自動的に追加し、ポッドの削除時にホワイトリストから削除します。

このトピックでは、ack-kubernetes-webhook-injectorを使用してポッドホワイトリストを動的に構成する方法を示すための例として、ApsaraDB RDSホワイトリストを使用します。

1. 次のYAMLテンプレートを使用してデプロイを作成し、注釈を追加してApsaraDB RDSホワイトリストの名前とApsaraDB RDSインスタンスのIDを指定します。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     labels:
       app: inject-test
     name: inject-test
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: inject-test
     template:
       metadata:
         annotations:
           ack.aliyun.com/rds_id: <rm-wz9nanjcud75b****>
           ack.aliyun.com/white_list_name: <rds_group>
         labels:
           app: inject-test
       spec:
         containers:
         - command:
           - sleep
           - "3600"
           image: alpine:latest
           name: inject-test

2. 次のコマンドを実行して、ポッドのIPアドレスを照会します。

   kubectl --kubeconfig .kube/config_sts_test -n inject-test get pod -o wide

   期待される出力:

   NAME                           READY           STATUS        RESTARTS    AGE    IP                NODE
   inject-test-68cc8f9bbf-gj86n    1/1            Running         0        22s   172.25.0.28    cn-hangzhou.xxx

   出力は、ポッドのIPアドレスが172.25.0.28であることを示します。

3. ApsaraDB RDSコンソールにログインし、指定されたApsaraDB RDSインスタンスのホワイトリストを確認します。 ApsaraDB RDSホワイトリストを表示する方法の詳細については、「拡張IPアドレスホワイトリストの設定」をご参照ください。

4. 手順1で作成したデプロイのポッド数を0に設定し、ApsaraDB RDSホワイトリストを再度確認します。

   ポッドのIPアドレスがコンソールのApsaraDB RDSホワイトリストから削除されていることがわかります。

Alibaba Cloudサービスの内部エンドポイントへのアクセス

デフォルトでは、ack-kubernetes-webhook-injectorはAlibaba Cloudサービスのパブリックエンドポイントを使用してサービスにアクセスします。 クラスターのパブリックアクセスが無効になっている場合、サービスの内部エンドポイントを使用するようにack-kubernetes-webhook-injectorを設定できます。

1. ACKコンソールにログインします。 左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理するクラスターの名前をクリックします。 左側のウィンドウで、[ワークロード] > [デプロイ] を選択します。

3. 上部のナビゲーションバーで、名前空間ドロップダウンリストからkube-systemを選択し、kubernetes-webhook-injectorのデプロイを見つけ、デプロイのアクションで詳細> YAMLで表示を選択します。

4. [の追加- '-- intranet-access'] [spec.template.spec.containers.comコマンド] をクリックし、[更新] をクリックします。

その他のアクセス制御ポリシー

ack-kubernetes-webhook-injectorのアンインストール

kubectl -n kube-system delete secret kubernetes-webhook-injector-certs
kubectl delete mutatingwebhookconfigurations.admissionregistration.k8s.io kubernetes-webhook-injector