組織間のトラフィック ネットワーク ポリシーを作成する

コンソール

1. 構成するプロジェクトの GDC コンソールで、ナビゲーション メニューの [ネットワーキング] > [ファイアウォール] に移動して、[ファイアウォール] ページを開きます。
2. アクションバーの [作成] をクリックして、新しいファイアウォール ルールの作成を開始します。

3. [ファイアウォール ルールの詳細] ページで、次の情報を入力します。

   1. [名前] フィールドに、ファイアウォール ルールの有効な名前を入力します。
   2. [トラフィックの方向] セクションで、[上り（内向き）] を選択して、他の組織のワークロードからの上り（内向き）トラフィックを許可します。
   3. [ターゲット] セクションで、次のいずれかのオプションを選択します。
      • すべてのユーザー ワークロード: 構成しているプロジェクトのワークロードへの接続を許可します。
      • Service: このファイアウォール ルールが、構成しているプロジェクト内の特定のサービスをターゲットにしていることを示します。
   4. ターゲットがプロジェクト サービスの場合は、[サービス] プルダウン メニューの利用可能なサービスのリストからサービスの名前を選択します。
   5. [送信元] セクションで、[組織外] を選択し、[CIDR] フィールドに別の組織の CIDR ブロックを入力して、その組織のネットワークからの接続を許可します。
   6. ターゲットがすべてのユーザー ワークロードである場合は、[プロトコルとポート] セクションで次のいずれかのオプションを選択します。
      • すべて許可: 任意のプロトコルまたはポートを使用した接続を許可します。
      • 指定したプロトコルとポート: 上り（内向き）ファイアウォール ルールの対応するフィールドで指定したプロトコルとポートのみを使用する接続を許可します。

4. [ファイアウォール ルールの詳細] ページで、[作成] をクリックします。

これで、別の組織のプロジェクト ワークロードからの接続が許可されました。ファイアウォール ルールを作成すると、[ファイアウォール] ページの表にルールが表示されます。

API

独自のカスタマイズされた ProjectNetworkPolicy 上り（内向き）ポリシーを構成して適用します。

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT
  name: allow-inbound-traffic-from-external
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - ipBlock:
        cidr: CIDR
EOF

次のように置き換えます。

• GLOBAL_API_SERVER: グローバル API サーバーの kubeconfig パス。詳細については、グローバル API サーバーとゾーン API サーバーをご覧ください。API サーバーの kubeconfig ファイルをまだ生成していない場合は、ログインをご覧ください。
• PROJECT: GDC プロジェクトの名前。
• CIDR: 別の組織の CIDR ブロック。

このポリシーは、外部ロードバランサが Direct Server Return（DSR）を使用し、送信元外部 IP アドレスを保持して、戻りパスでロードバランサをバイパスするため、必要です。

コンソール

1. 構成するプロジェクトの GDC コンソールで、ナビゲーション メニューの [ネットワーキング] > [ファイアウォール] に移動して、[ファイアウォール] ページを開きます。
2. アクションバーの [作成] をクリックして、新しいファイアウォール ルールの作成を開始します。

3. [ファイアウォール ルールの詳細] ページで、次の情報を入力します。

   1. [名前] フィールドに、ファイアウォール ルールの有効な名前を入力します。
   2. [トラフィックの方向] セクションで、[下り（外向き）] を選択して、このファイアウォール ルールがアウトバウンド トラフィックを制御していることを示します。
   3. [ターゲット] セクションで、次のいずれかのオプションを選択します。
      • すべてのユーザー ワークロード: 構成しているプロジェクトのワークロードからの接続を許可します。
      • Service: このファイアウォール ルールが、構成しているプロジェクト内の特定のサービスをターゲットにしていることを示します。
   4. ターゲットがプロジェクト サービスの場合は、[サービス] プルダウン メニューの利用可能なサービスのリストからサービスの名前を選択します。
   5. [宛先] セクションで [組織外] を選択し、[CIDR] フィールドに別の組織の CIDR ブロックを入力して、その組織のネットワークへの接続を許可します。
   6. ターゲットがすべてのユーザー ワークロードである場合は、[プロトコルとポート] セクションで次のいずれかのオプションを選択します。
      • すべて許可: 任意のプロトコルまたはポートを使用した接続を許可します。
      • 指定したプロトコルとポート: 下り（外向き）ファイアウォール ルールの対応するフィールドで指定したプロトコルとポートのみを使用する接続を許可します。

4. [ファイアウォール ルールの詳細] ページで、[作成] をクリックします。

これで、別の組織への接続が許可されました。ファイアウォール ルールを作成すると、[ファイアウォール] ページの表にルールが表示されます。

API

組織外のサービスへのアウトバウンド トラフィックを有効にするには、ProjectNetworkPolicy リソースをカスタマイズします。ただし、データ漏洩防止はデフォルトで有効になっているため、カスタマイズされた ProjectNetworkPolicy 下り（外向き）ポリシーのステータス フィールドに検証エラーが表示され、データプレーンはそれを無視します。この動作は仕様によるものです。

特定のプロジェクトのデータ流出を許可すると、そのプロジェクトからワークロードを転送できます。許可するアウトバウンド トラフィックは、プロジェクトに割り当てられた既知の IP アドレスを使用する送信元ネットワーク アドレス変換（NAT）です。

カスタマイズした下り（外向き）ポリシーを有効にする手順は次のとおりです。

1. プロジェクト内のすべてのユーザー ワークロードに、独自のカスタマイズされた ProjectNetworkPolicy 下り（外向き）ポリシーを構成して適用します。

   次の例を使用します。

   kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
   apiVersion: networking.global.gdc.goog/v1
   kind: ProjectNetworkPolicy
   metadata:
     namespace: PROJECT
     name: allow-outbound-traffic-to-external
   spec:
     subject:
       subjectType: UserWorkload
     egress:
     - to:
       - ipBlock:
           cidr: CIDR
   EOF
   

   このポリシーでは、組織外にある CIDR ブロック内のすべてのホストへの送信トラフィックが許可されます。最初の試行では、意図的で必要なステータス エラーが発生する必要があります。

2. ステータスに検証エラーが表示されていることを確認します。

3. 組織の IAM 管理者に、データ漏洩防止を無効にするよう依頼します。このアクションにより、構成が有効になり、他のすべてのアウトバウンド トラフィックがブロックされます。

4. 作成した ProjectNetworkPolicy を確認し、検証ステータス フィールドのエラーが消え、ステータス Ready が True になっていることを確認します。これは、ポリシーが有効であることを示しています。

   kubectl --kubeconfig GLOBAL_API_SERVER \
       get projectnetworkpolicy allow-outbound-traffic-to-external \
       -n PROJECT -o yaml
   

   次のように置き換えます。

   • GLOBAL_API_SERVER: グローバル API サーバーの kubeconfig パス。詳細については、グローバル API サーバーとゾーン API サーバーをご覧ください。API サーバーの kubeconfig ファイルをまだ生成していない場合は、ログインをご覧ください。

   • PROJECT: GDC プロジェクトの名前。

このポリシーを適用し、他の下り（外向き）ポリシーを定義していない場合、PROJECT の他のすべてのアウトバウンド トラフィックは拒否されます。