Prérequis Étape 1 : configurer l'application des politiques au démarrage du Pod Étape 2 : activer le paramètre de politique réseau pour le module complémentaire Étape 3 : monter le système de fichiers Berkeley Packet Filter (BPF) sur vos nœuds Étape 4 : configurer votre cluster pour utiliser les politiques réseau Kubernetes Étape 5. Étapes suivantes

Aidez à améliorer cette page

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Pour contribuer à ce guide de l'utilisateur, cliquez sur le GitHub lien Modifier cette page sur qui se trouve dans le volet droit de chaque page.

Limitez le trafic réseau des Pod grâce aux politiques réseau de Kubernetes

Vous pouvez utiliser une politique réseau Kubernetes pour restreindre le trafic réseau à destination et en provenance de vos pods. Pour plus d'informations, consultez la section Politiques réseau dans la documentation de Kubernetes.

Pour utiliser cette fonctionnalité, vous devez configurer les éléments suivants :

Configurez l'application des politiques au démarrage du Pod. Vous le faites dans le aws-node conteneur du VPC CNI. DaemonSet
Activez le paramètre de politique réseau pour le module complémentaire.
Configurez votre cluster pour utiliser la politique réseau Kubernetes

Avant de commencer, passez en revue les considérations. Pour de plus amples informations, veuillez consulter Considérations.

Prérequis

Les conditions requises pour cette fonctionnalité sont les suivantes :

Version minimale du cluster

Un cluster Amazon EKS existant. Pour en déployer un, consultez Mise en route avec Amazon EKS. Le cluster doit exécuter l'une des versions de Kubernetes et de la plateforme répertoriées dans le tableau suivant. Notez que toutes les versions de Kubernetes et de plate-forme ultérieures à celles répertoriées sont également prises en charge. Vous pouvez vérifier votre version actuelle de Kubernetes my-cluster en remplaçant la commande suivante par le nom de votre cluster, puis en exécutant la commande modifiée :


aws eks describe-cluster
              --name my-cluster --query cluster.version --output
              text

Version de Kubernetes	Version de la plateforme
`1.27.4`	`eks.5`
`1.26.7`	`eks.6`

Version minimale du VPC CNI

Version 1.14 ou version ultérieure du plugin Amazon VPC CNI pour Kubernetes sur votre cluster. Vous pouvez voir la version que vous utilisez actuellement à l'aide de la commande suivante.


kubectl describe daemonset aws-node --namespace kube-system | grep amazon-k8s-cni: | cut -d : -f 3

Si votre version est antérieure à 1.14, consultez la section Mettre à jour le Amazon VPC CNI (module complémentaire Amazon EKS) pour mettre à jour vers la version 1.14 ou ultérieure.

Version minimale du noyau Linux

Vos nœuds doivent avoir la version du noyau Linux 5.10 ou ultérieure. Vous pouvez vérifier votre version du noyau avec uname -r. Si vous utilisez les dernières versions d'Amazon Linux optimisé pour Amazon EKS, d'Amazon Linux accéléré optimisé pour Amazon EKS et de Bottlerocket AMIs, ils disposent déjà de la version de noyau requise. AMIs

La version v20231116 ou ultérieure de l'AMI Amazon Linux accélérée et optimisée pour Amazon EKS dispose de la version 5.10 du noyau.

Étape 1 : configurer l'application des politiques au démarrage du Pod

Le plug-in Amazon VPC CNI pour Kubernetes configure les politiques réseau pour les pods en parallèle avec le provisionnement des pods. Jusqu'à ce que toutes les politiques soient configurées pour le nouveau pod, les conteneurs du nouveau pod commenceront par une politique d'autorisation par défaut. C'est ce qu'on appelle le mode standard. Une politique d'autorisation par défaut signifie que tout le trafic entrant et sortant est autorisé à destination et en provenance des nouveaux modules. Par exemple, aucune règle de pare-feu ne sera appliquée aux pods (tout le trafic est autorisé) tant que le nouveau pod ne sera pas mis à jour avec les politiques actives.

Lorsque la NETWORK_POLICY_ENFORCING_MODE variable est définie surstrict, les pods qui utilisent le VPC CNI commencent par une politique de refus par défaut, puis les politiques sont configurées. C'est ce qu'on appelle le mode strict. En mode strict, vous devez disposer d'une politique réseau pour chaque point de terminaison auquel vos pods doivent accéder dans votre cluster. Notez que cette exigence s'applique aux pods CoreDNS. La politique de refus par défaut n'est pas configurée pour les pods dotés d'un réseau hôte.

Vous pouvez modifier la politique réseau par défaut en définissant la variable NETWORK_POLICY_ENFORCING_MODE d'environnement sur strict dans le aws-node conteneur du VPC CNI. DaemonSet


env:
  - name: NETWORK_POLICY_ENFORCING_MODE
    value: "strict"

Étape 2 : activer le paramètre de politique réseau pour le module complémentaire

La fonctionnalité de politique réseau utilise le port 8162 du nœud pour les métriques par défaut. En outre, la fonctionnalité utilisait le port 8163 pour les sondes d'intégrité. Si vous exécutez une autre application sur les nœuds ou dans les pods qui doivent utiliser ces ports, l'application ne s'exécutera pas. Dans la version VPC CNI v1.14.1 ou ultérieure, vous pouvez modifier ces ports.

Utilisez la procédure suivante pour activer le paramètre de politique réseau pour le module complémentaire.

AWS Management Console

Ouvrez la console Amazon EKS.
Dans le panneau de navigation de gauche, sélectionnez Clusters, puis sélectionnez le nom du cluster pour lequel vous souhaitez configurer le module complémentaire Amazon VPC CNI.
Choisissez l'onglet Modules complémentaires.
Cochez la case en haut à droite de la zone du module complémentaire, puis sélectionnez Edit (Modifier).
Sur la Amazon VPC CNI page de configuration :
1. Sélectionnez une version v1.14.0-eksbuild.3 ou une version ultérieure dans la liste des versions.
2. Sélectionnez Paramètres de configuration facultatifs.
3. Saisissez la clé JSON "enableNetworkPolicy": et valeur "true" dans Valeurs de configuration. Le texte obtenu doit être un objet JSON valide. Si cette clé et cette valeur sont les seules données de la zone de texte, entourez-les d'accolades { }.
  
  Dans l'exemple suivant, la fonctionnalité de politique réseau est activée et les métriques et les sondes de santé sont définies sur les numéros de port par défaut :
```
{
    "enableNetworkPolicy": "true",
    "nodeAgent": {
        "healthProbeBindAddr": "8163",
        "metricsBindAddr": "8162"
    }
}
```

Helm

Si vous avez installé le plug-in Amazon VPC CNI pour Kubernetes viahelm, vous pouvez mettre à jour la configuration pour modifier les ports.

Exécutez la commande suivante pour modifier les ports. Définissez le numéro de port dans la valeur de la clé nodeAgent.metricsBindAddr ou de la clé nodeAgent.healthProbeBindAddr.
```
helm upgrade --set nodeAgent.metricsBindAddr=8162 --set nodeAgent.healthProbeBindAddr=8163 aws-vpc-cni --namespace kube-system eks/aws-vpc-cni
```

kubectl

Ouvrez le aws-node DaemonSet dans votre éditeur.


kubectl edit daemonset -n kube-system aws-node

Remplacez les numéros de port dans les arguments de commande suivants pour le args: du conteneur aws-network-policy-agent dans le manifeste daemonset aws-node du VPC CNI.
```
    - args:
            - --metrics-bind-addr=:8162
            - --health-probe-bind-addr=:8163
```

Étape 3 : monter le système de fichiers Berkeley Packet Filter (BPF) sur vos nœuds

Vous devez monter le système de fichiers Berkeley Packet Filter (BPF) sur chacun de vos nœuds.

Note

Si votre cluster est une version 1.27 ou une version ultérieure, vous pouvez ignorer cette étape car tous les appareils Amazon Linux et Bottlerocket optimisés AMIs pour Amazon EKS 1.27 ou ultérieurs disposent déjà de cette fonctionnalité.

Pour toutes les autres versions de cluster, si vous mettez à niveau Amazon Linux optimisé pour Amazon EKS vers la version v20230703 ou ultérieure ou vous mettez à niveau l'AMI Bottlerocket vers la version v1.0.2 ou ultérieure, vous pouvez ignorer cette étape.

Montez le système de fichiers Berkeley Packet Filter (BPF) sur chacun de vos nœuds.
```
sudo mount -t bpf bpffs /sys/fs/bpf
```
Ajoutez ensuite la même commande à vos données utilisateur dans votre modèle de lancement pour vos groupes Amazon EC2 Auto Scaling.

Étape 4 : configurer votre cluster pour utiliser les politiques réseau Kubernetes

Vous pouvez le définir pour un module complémentaire Amazon EKS ou un module complémentaire autogéré.

À l'aide de la AWS CLI, vous pouvez configurer le cluster pour utiliser les politiques réseau Kubernetes en exécutant la commande suivante. Remplacez my-cluster par le nom de votre cluster et l'ARN du rôle IAM par le rôle que vous utilisez.


aws eks update-addon --cluster-name my-cluster --addon-name vpc-cni --addon-version v1.14.0-eksbuild.3 \
    --service-account-role-arn arn:aws: iam::123456789012:role/AmazonEKSVPCCNIRole \
    --resolve-conflicts PRESERVE --configuration-values '{"enableNetworkPolicy": "true"}'

Pour le configurer à l'aide AWS de la console de gestion, suivez les étapes ci-dessous :

Ouvrez la console Amazon EKS.
Dans le panneau de navigation de gauche, sélectionnez Clusters, puis sélectionnez le nom du cluster pour lequel vous souhaitez configurer le module complémentaire Amazon VPC CNI.
Choisissez l'onglet Modules complémentaires.
Cochez la case en haut à droite de la zone du module complémentaire, puis sélectionnez Edit (Modifier).
Sur la Amazon VPC CNI page de configuration :
1. Sélectionnez une version v1.14.0-eksbuild.3 ou une version ultérieure dans la liste des versions.
2. Sélectionnez Paramètres de configuration facultatifs.
3. Saisissez la clé JSON "enableNetworkPolicy": et valeur "true" dans Valeurs de configuration. Le texte obtenu doit être un objet JSON valide. Si cette clé et cette valeur sont les seules données de la zone de texte, entourez-les d'accolades { }. L'exemple suivant montre que la politique réseau est activée :
```
{ "enableNetworkPolicy": "true" }
```
  La capture d'écran suivante montre un exemple de ce scénario.

Si vous avez installé le plug-in Amazon VPC CNI pour Kubernetes viahelm, vous pouvez mettre à jour la configuration pour activer la politique réseau.

Exécutez la commande suivante pour activer la stratégie réseau.


helm upgrade --set enableNetworkPolicy=true aws-vpc-cni --namespace kube-system eks/aws-vpc-cni

Ouvrez le amazon-vpc-cni ConfigMap dans votre éditeur.


kubectl edit configmap -n kube-system amazon-vpc-cni -o yaml

Ajoutez la ligne suivante dans les data de ConfigMap.


enable-network-policy-controller: "true"

Une fois que vous avez ajouté la ligne, vous ConfigMap devriez ressembler à l'exemple suivant.


apiVersion: v1
 kind: ConfigMap
 metadata:
  name: amazon-vpc-cni
  namespace: kube-system
 data:
  enable-network-policy-controller: "true"

Ouvrez le aws-node DaemonSet dans votre éditeur.
```
kubectl edit daemonset -n kube-system aws-node
```
1. Remplacez false par true dans l'argument de commande --enable-network-policy=false pour le args: du conteneur aws-network-policy-agent dans le manifeste daemonset du aws-node VPC CNI.
```
     - args:
        - --enable-network-policy=true
```

Étape 5. Étapes suivantes

Une fois la configuration terminée, vérifiez que les aws-node pods sont en cours d'exécution sur votre cluster.


kubectl get pods -n kube-system | grep 'aws-node\|amazon'

L'exemple qui suit illustre un résultat.


aws-node-gmqp7                                          2/2     Running   1 (24h ago)   24h
aws-node-prnsh                                          2/2     Running   1 (24h ago)   24h

Il y a 2 conteneurs dans les aws-node capsules dans les versions 1.14 et ultérieures. Dans les versions précédentes et si la stratégie réseau est désactivée, il n'y a qu'un seul conteneur dans les pods du aws-node.

Vous pouvez désormais déployer des politiques réseau Kubernetes sur votre cluster.

Pour implémenter les politiques réseau Kubernetes, vous devez créer des NetworkPolicy objets Kubernetes et les déployer sur votre cluster. NetworkPolicyles objets sont limités à un espace de noms. Vous implémentez des politiques pour autoriser ou refuser le trafic entre les pods en fonction des sélecteurs d'étiquettes, des espaces de noms et des plages d'adresses IP. Pour plus d'informations sur la création d'NetworkPolicyobjets, consultez la section Politiques réseau dans la documentation de Kubernetes.

L'application des NetworkPolicy objets Kubernetes est mise en œuvre à l'aide du filtre de paquets étendu de Berkeley (eBPF). Concernant les implémentations basées sur les iptables, il offre des caractéristiques de latence et de performance plus faibles, notamment une utilisation réduite du processeur et l'évitement des recherches séquentielles. En outre, les sondes eBPF permettent d'accéder à des données contextuelles qui aident à résoudre les problèmes complexes au niveau du noyau et à améliorer l'observabilité. Amazon EKS prend en charge un exportateur basé sur EBPF qui utilise les sondes pour enregistrer les résultats des politiques sur chaque nœud et exporter les données vers des collecteurs de journaux externes afin de faciliter le débogage. Pour plus d'informations, consultez la documentation eBPF.

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Politiques Kubernetes

Désactiver