ネットワークポリシー マネージャー

このスキルは、ネットワークポリシー マネージャータスクの自動化支援を提供します。

概要

Pod とネームスペース間の最小権限のイングレス/エグレスを適用する Kubernetes NetworkPolicy マニフェストを作成し、変更後の接続性検証を支援します。

前提条件

このスキルを使用する前に、以下を確認してください:

• Kubernetes クラスターでネットワークポリシーサポートが有効になっている
• ネットワークプラグインがポリシーに対応している (Calico、Cilium、Weave)
• Pod ラベルがポリシーセレクター用に適切に定義されている
• アプリケーション通信パターンの理解がある
• ネームスペース分離戦略が定義されている

手順

1. 要件の特定: どの Pod が通信する必要があるかを決定します
2. セレクターの定義: ポリシーターゲティング用に Pod/ネームスペースラベルを使用します
3. イングレスの設定: 許可されたインバウンドトラフィックのソースとポートを指定します
4. エグレスの設定: 許可されたアウトバウンドトラフィック宛先を定義します
5. ポリシーのテスト: 接続性が期待通りに動作することを確認します
6. 拒否の監視: ネットワークプラグインログでブロックされたトラフィックを確認します
7. 反復: アプリケーション動作に基づいてポリシーを改善します

出力

ネットワークポリシーの例:

# {baseDir}/network-policies/allow-frontend-to-backend.yaml


## 概要

このスキルは、説明された機能に対する自動化支援を提供します。

## 例

使用パターンの例はコンテキスト内で実演されます。
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-backend
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: backend
  policyTypes:
    - Ingress
  ingress:
    - from:
      - podSelector:
          matchLabels:
            app: frontend
      ports:
      - protocol: TCP
        port: 8080
---
# Deny all ingress by default
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-ingress
  namespace: production
spec:
  podSelector: {}
  policyTypes:
    - Ingress

エグレスポリシー:

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-external-api
spec:
  podSelector:
    matchLabels:
      app: api-client
  policyTypes:
    - Egress
  egress:
    - to:
      - namespaceSelector:
          matchLabels:
            name: external-services
      ports:
      - protocol: TCP
        port: 443

エラーハンドリング

ポリシーが適用されない

• エラー: トラフィックがポリシーに反して引き続きブロック/許可されている
• 解決策: ネットワークプラグインがポリシーをサポートしており、ポリシーが正しいネームスペースに適用されていることを確認します

DNS 解決が失敗する

• エラー: ポリシー適用後、Pod が DNS を解決できない
• 解決策: kube-dns/coredns への DNS トラフィックを許可するエグレスルールを追加します

ポリシー適用後の通信なし

• エラー: トラフィックが予期せずすべてブロックされている
• 解決策: デフォルト拒否ポリシーを確認し、明示的な許可ルールが存在することを確認します

ラベルの不一致

• エラー: ポリシーが意図した Pod をターゲットにしていない
• 解決策: kubectl get pods --show-labels を使用して Pod ラベルがポリシーセレクターと一致することを確認します

例

• "ネームスペース prod を制限して、イングレスコントローラーだけが 443 でウェブ Pod に到達できるようにする。"
• "API が Postgres と Redis だけと通信できるようにするエグレスルールを作成する。"

リソース

• Kubernetes NetworkPolicy: https://kubernetes.io/docs/concepts/services-networking/network-policies/
• Calico ドキュメンテーション: https://docs.projectcalico.org/
• {baseDir}/network-policy-examples/ のポリシー例