建立組織外部網路政策

本頁面說明如何在 Google Distributed Cloud (GDC) 實體隔離方案中，設定組織外部流量網路政策。

組織外部流量是指不同組織和外部端點之間的服務和工作負載通訊。

事前準備

如要設定組織外部流量網路政策，您必須具備下列條件：

• 必要的身分和存取權角色。詳情請參閱「準備預先定義的角色和存取權」。
• 現有專案。詳情請參閱「建立專案」一文。
• 停用資料竊取防護功能。
• 下列其中一種網路設定：
  • 使用共同互連網路連結群組的組織。
  • 透過各自的外部對等互連網路連線的組織。

建立組織外部政策

您可以定義輸入或輸出組織外部流量政策，管理不同組織和外部端點的服務與工作負載之間的通訊。

您可以建立全域組織外部流量專案網路政策，套用至組織中所有可用區的流量。如要進一步瞭解 GDC 宇宙中的全域資源，請參閱「多可用區總覽」。

如要將服務和工作負載連至其他組織中專案以外的目的地，必須取得明確核准。您必須停用資料竊取防護功能，才能允許組織外部流量。

建立全域輸入防火牆規則，允許組織外部流量

使用外部負載平衡器公開專案中的工作負載時，您也必須建立 ProjectNetworkPolicy 輸入政策，允許外部用戶端 IP 位址存取工作負載。

這項全域輸入政策適用於貴組織的所有可用區。

請按照下列步驟建立新的防火牆規則，並允許來自其他組織專案中工作負載的傳入流量：

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT
  name: allow-inbound-traffic-from-external
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - ipBlock:
        cidr: CIDR
EOF

建立組織外部流量的全域輸出防火牆規則

如要將資料轉移至組織外部的服務，請先停用資料竊取防護功能。接著，您必須設定輸出防火牆規則，允許專案工作負載或服務的輸出流量。

本節說明如何在專案層級啟用傳出流量。如要瞭解如何在工作負載層級管理輸出連線能力，請參閱「NAT 總覽」。

這項全域輸出防火牆規則適用於貴組織的所有可用區。

請按照下列步驟建立新的防火牆規則，允許專案工作負載或服務的傳出流量，傳送至其他組織的工作負載：

為標準叢集建立組織外部政策

標準叢集是專案範圍的 Kubernetes 叢集，可提供更強大的控制力、彈性和叢集管理員權限。

為標準叢集建立輸入組織外部政策

1. 如要為標準叢集建立 ingress 組織外部政策，請建立並套用下列自訂資源：

   kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
   apiVersion: networking.global.gdc.goog/v1
   kind: ProjectNetworkPolicy
   metadata:
     namespace: STANDARD_CLUSTER_PROJECT
     name: allow-ingress-from-external-endpoint-to-standard-cluster-pod
   spec:
     policyType: Ingress
     subject:
       subjectType: UserWorkload
       userWorkloadSelector:
         labelSelector:
           clusters:
             matchLabels:
               kubernetes.io/metadata.name: STANDARD_CLUSTER_NAME
           namespaces:
             matchLabels:
               kubernetes.io/metadata.name: SUBJECT_NAMESPACE
           workloads:
             matchLabels:
               SUBJECT_LABEL_KEY: SUBJECT_LABEL_VALUE
     ingress:
     - from:
       - ipBlocks:
         - cidr: EXTERNAL_IP
       ports:
       - protocol: TCP
         port: PORT
   EOF
   

   更改下列內容：

   • GLOBAL_API_SERVER：全域 API 伺服器的 kubeconfig 路徑。詳情請參閱「全域和可用區 API 伺服器」。 如果您尚未為 API 伺服器產生 kubeconfig 檔案，請參閱「登入」一節。
   • STANDARD_CLUSTER_PROJECT：標準叢集專案的名稱。
   • STANDARD_CLUSTER_NAME：標準叢集的名稱。
   • SUBJECT_LABEL_KEY：用於選取主體工作負載的標籤鍵。例如：app、tier 或 role。
   • SUBJECT_LABEL_VALUE：與 SUBJECT_LABEL_KEY 相關聯的值。舉例來說，如果 SUBJECT_LABEL_KEY 為 app，SUBJECT_LABEL_VALUE 為 backend，則標籤為 app: backend 的工作負載會接收流量。
   • EXTERNAL_IP：外部端點的 IP 位址。
   • PORT：主體工作負載上允許流量的通訊埠。

為標準叢集建立輸出組織外部政策

1. 如要為標準叢集建立輸出組織外部政策，請建立並套用下列自訂資源：

   kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
   apiVersion: networking.global.gdc.goog/v1
   kind: ProjectNetworkPolicy
   metadata:
     namespace: STANDARD_CLUSTER_PROJECT
     name: allow-egress-from-standard-cluster-pod-to-external-endpoint
   spec:
     policyType: Egress
     subject:
       subjectType: UserWorkload
       userWorkloadSelector:
         labelSelector:
           clusters:
             matchLabels:
               kubernetes.io/metadata.name: STANDARD_CLUSTER_NAME
           namespaces:
             matchLabels:
               kubernetes.io/metadata.name: SUBJECT_NAMESPACE
           workloads:
             matchLabels:
               SUBJECT_LABEL_KEY: SUBJECT_LABEL_VALUE
     egress:
     - to:
       - ipBlocks:
         - cidr: EXTERNAL_IP
       ports:
       - protocol: TCP
         port: PORT
   EOF
   

   更改下列內容：

   • GLOBAL_API_SERVER：全域 API 伺服器的 kubeconfig 路徑。詳情請參閱「全域和可用區 API 伺服器」。 如果您尚未為 API 伺服器產生 kubeconfig 檔案，請參閱「登入」一節。
   • STANDARD_CLUSTER_PROJECT：標準叢集專案的名稱。
   • STANDARD_CLUSTER_NAME：標準叢集的名稱。
   • SUBJECT_LABEL_KEY：用於選取主體工作負載的標籤鍵。例如：app、tier 或 role。
   • SUBJECT_LABEL_VALUE：與 SUBJECT_LABEL_KEY 相關聯的值。舉例來說，如果 SUBJECT_LABEL_KEY 為 app，SUBJECT_LABEL_VALUE 為 backend，則標籤為 app: backend 的工作負載會傳送流量。
   • EXTERNAL_IP：外部端點的 IP 位址。
   • PORT：外部端點上允許流量的通訊埠。