Google容器引擎子网

我试图从另一个隔离服务。Google容器引擎子网

假设OPS人有一堆关于谷歌集装箱引擎运行MySQL的商店，并DEV-人有一堆相同的群集上运行的应用程序节点的。我不希望dev-human能够以任何方式访问任何ops-human的 mysql实例。

最简单的解决方案：把它们放在不同的子网中。我该如何做这样的事情？我也接受其他实现。

2016-06-21 Peter Klipfel

如果您将它们放在不同的[名称空间]（http://kubernetes.io/docs/admin/namespaces/）中，问题是否解决？ – caesarxuchao

@caesarxuchao命名空间可以防止用户错误（或只是简单的配置），例如命名每个数据库只是“db”。然后将找到该名称空间中的本地“db”。但是，如果您使用FQDN并且拥有像Kubernetes一样使用的平面网络，则可以在名称空间之外访问其他资源。最好不要让dev和ops在同一个集群上运行：如果dev产生一些推出ops所需资源的新代码，该怎么办？ –

Kubernetes Network-SIG团队一直在研究网络隔离问题，并且在kubernetes 1.2中有一个实验性的API来支持这个问题。基本思想是在每个名称空间的基础上提供网络策略。第三方网络控制器可以对资源的变化做出反应并执行策略。有关详细信息，请参阅最后的blog post关于此主题。

编辑：这个答案更多的是关于开源kubernetes，不是专门针对GKE。

来源

2016-06-24 17:37:16

NetworkPolicy资源现在在Alpha群集中的GKE中可用（see latest blog post）。

来源

2017-09-19 09:06:54 Perspectivus

Google容器引擎子网

回答

相关问题