使用容器网络配置为命名空间/工作负载绑定子网及安全组

1. 登录CCE控制台。
2. 单击集群名称进入集群，在左侧选择“配置中心”，选择“网络配置”页签。
3. 查看“自定义容器网络配置”，单击“添加自定义容器网络配置”，在弹窗中配置容器子网和安全组等信息。
   • 名称：自定义容器网络配置名称，最长支持63个字符。default-network、default、mgnt0、mgnt1四个名称为系统预留，请勿使用。
   • 关联资源类型：自定义容器网络配置关联的资源类型，详情请参见表1。创建命名空间类型的容器网络配置请选择“命名空间”类型。
   • 命名空间：请选择您需要关联的命名空间。不同容器网络配置之间关联的命名空间不可重复。若无命名空间可选请单击后方的“创建命名空间”进行创建。
   • 容器子网：请选择子网。若无子网可选请单击后方的“创建子网”进行创建，创建完成后单击刷新按钮。
   • 关联安全组：默认为容器ENI安全组，您也可以选择单击后方的“创建安全组”进行创建，创建完成后单击刷新按钮。最多可选择5个安全组。
   图2 创建命名空间类型的容器网络配置
   

4. 完成基本配置后单击“确定”，创建完成后页面自动返回到自定义容器网络配置列表，可以看到新创建的容器网络配置已在列表中。
   图3 容器网络配置列表
   

本节说明通过kubectl命令创建命名空间类型的NetworkAttachmentDefinition的方法。

1. 请参见通过kubectl连接集群，使用kubectl连接集群。
2. 修改networkattachment-test.yaml。

   vi networkattachment-test.yaml

   文件内容如下：

   apiVersion: k8s.cni.cncf.io/v1
   kind: NetworkAttachmentDefinition
   metadata:
     annotations:
       yangtse.io/project-id: 05e38**
     name: example
     namespace: kube-system
   spec:
     config: |
      {
       "type":"eni-neutron",
       "args":{
         "securityGroups":"41891**",
         "subnets":[
           {
             "subnetID":"27d95**"
           }
         ]
       },
       "selector":{
         "namespaceSelector":{
           "matchLabels":{
             "kubernetes.io/metadata.name":"default"
           }
         }
       }
      }

   表2 关键参数说明

   参数	是否必填	参数类型	描述
   apiVersion	是	String	表示API的版本号。固定为 k8s.cni.cncf.io/v1。
   kind	是	String	创建的对象类别。固定为 NetworkAttachmentDefinition。
   yangtse.io/project-id	是	String	当前所在Region的项目ID，获取方式请参见获取项目ID。
   name	是	String	配置名称。
   namespace	是	String	配置资源所在命名空间，固定为 kube-system。
   config	是	表2 config字段数据结构说明Object	配置内容，为json格式的字符串。

   表3 config字段数据结构说明

   参数	是否必填	参数类型	描述
   type	是	String	固定为eni-neutron。
   args	否	表3 args字段数据结构说明 Object	配置参数。
   selector	否	表5Object	选择该配置所作用的命名空间。

   表4 args字段数据结构说明

   参数	是否必填	参数类型	描述
   securityGroups	否	String	安全组ID。如果没有对安全组进行规划，请和default-network中的安全组保持一致。 获取方式： 登录虚拟私有云控制台，在左侧导航栏选择“访问控制 > 安全组”，单击安全组名称，在“基本信息”页签下找到“ID”字段复制即可。
   subnets	是	Array of subnetID Objects	容器子网ID列表，至少需填写一个，不可以为空，格式如下： [{"subnetID":"27d95**"},{"subnetID":"827bb**"},{"subnetID":"bdd6b**"}] 同一VPC下非集群的子网ID。 获取方式： 登录虚拟私有云控制台，在左侧导航栏选择“虚拟私有云 > 子网”，单击子网名称，在“基本信息”页签下找到“子网ID”字段复制即可。

   表5 selector字段数据结构说明

   参数	是否必填	参数类型	描述
   namespaceSelector	否	matchLabels Object	该选择器为Kubernetes标准的选择器，需填写命名空间标签，格式如下： "matchLabels":{ "kubernetes.io/metadata.name":"default" } 不同配置之间的命名空间不可重合。

3. 创建NetworkAttachmentDefinition。

   kubectl create -f networkattachment-test.yaml

   回显如下，表示NetworkAttachmentDefinition已创建。

   networkattachmentdefinition.k8s.cni.cncf.io/example created

1. 登录CCE控制台。
2. 单击集群名称进入集群，在左侧选择“配置中心”，选择“网络配置”页签。
3. 查看“自定义容器网络配置”，单击“添加自定义容器网络配置”，在弹窗中配置容器子网和安全组等信息。
   • 名称：自定义容器网络配置名称，最长支持63个字符。default-network、default、mgnt0、mgnt1四个名称为系统预留，请勿使用。
   • 关联资源类型：自定义容器网络配置关联的资源类型，详情请参见表1。创建工作负载类型的容器网络配置请选择“工作负载”类型。
   • 容器子网：请选择子网。若无子网可选请单击后方的“创建子网”进行创建，创建完成后单击刷新按钮。
   • 关联安全组：默认为容器ENI安全组，您也可以选择单击后方的“创建安全组”进行创建，创建完成后单击刷新按钮。最多可选择5个安全组。
   图4 创建工作负载类型的容器网络配置
   

4. 完成基本配置后单击“确定”，创建完成后页面自动返回到自定义容器网络配置列表，可以看到新创建的容器网络配置已在列表中。
   图5 容器网络配置列表
   

5. 在创建工作负载时，可选择自定义的容器网络配置。
   1. 在左侧导航栏中选择“工作负载”，在右侧选择“无状态负载”页签。
   2. 单击页面右上角“创建工作负载”，在“高级配置”中选择“网络配置”页签，并选择是否开启指定容器网络配置。
   3. 选择一个已有的容器网络配置。如果没有可用的网络配置，可单击“添加自定义容器网络配置”进行创建。
      图6 选择容器网络配置
      
   4. 工作负载其余信息都配置完成后，单击“创建工作负载”。

      返回到“配置中心”，在容器网络配置列表里可以看到创建的容器网络配置关联的资源名称。

      图7 查看容器网络配置关联的资源
      

本节说明通过kubectl命令创建工作负载类型的NetworkAttachmentDefinition的方法。

1. 请参见通过kubectl连接集群，使用kubectl连接集群。
2. 修改networkattachment-test.yaml。

   vi networkattachment-test.yaml

   文件内容如下：

   apiVersion: k8s.cni.cncf.io/v1
   kind: NetworkAttachmentDefinition
   metadata:
     annotations:
       yangtse.io/project-id: 80d5a**
     name: example
     namespace: kube-system
   spec:
     config: |
      {
       "type":"eni-neutron",
       "args":{
         "securityGroups":"f4983**",
         "subnets":[
           {
             "subnetID":"5594b**"
           }
         ]
       }
      }

   表6 关键参数说明

   参数	是否必填	参数类型	描述
   apiVersion	是	String	表示API的版本号。固定为 k8s.cni.cncf.io/v1。
   kind	是	String	创建的对象类别。固定为 NetworkAttachmentDefinition。
   yangtse.io/project-id	是	String	当前所在Region的项目ID，获取方式请参见获取项目ID。
   name	是	String	配置名称。
   namespace	是	String	配置资源所在命名空间，固定为 kube-system。
   config	是	表2 config字段数据结构说明Object	配置内容，为json格式的字符串。

   表7 config字段数据结构说明

   参数	是否必填	参数类型	描述
   type	是	String	固定为eni-neutron。
   args	否	表3 args字段数据结构说明 Object	配置参数。

   表8 args字段数据结构说明

   参数	是否必填	参数类型	描述
   securityGroups	否	String	安全组ID。如果没有对安全组进行规划，请和default-network中的安全组保持一致。 获取方式： 登录虚拟私有云控制台，在左侧导航栏选择“访问控制 > 安全组”，单击安全组名称，在“基本信息”页签下找到“ID”字段复制即可。
   subnets	是	Array of subnetID Objects	容器子网ID列表，至少需填写一个，不可以为空，格式如下： [{"subnetID":"27d95**"},{"subnetID":"827bb**"},{"subnetID":"bdd6b**"}] 同一VPC下非集群的子网ID。 获取方式： 登录虚拟私有云控制台，在左侧导航栏选择“虚拟私有云 > 子网”，单击子网名称，在“基本信息”页签下找到“子网ID”字段复制即可。

3. 创建NetworkAttachmentDefinition。

   kubectl create -f networkattachment-test.yaml

   回显如下，表示NetworkAttachmentDefinition已创建。

   networkattachmentdefinition.k8s.cni.cncf.io/example created

4. 创建工作负载（此处创建Deployment类型的工作负载），并关联刚创建的容器网络配置。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: nginx
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
           yangtse.io/network: "example"  # 自定义容器网络配置名称，便于通过label查找所有关联此容器网络配置的Pod        
         annotations:
           yangtse.io/network: "example"  # 自定义容器网络配置名称
       spec:
         containers:
           - name: container-0
             image: nginx:alpine
             resources:
               limits:
                 cpu: 100m
                 memory: 200Mi
               requests:
                 cpu: 100m
                 memory: 200Mi
         imagePullSecrets:
           - name: default-secret

   • yangtse.io/network：指定的自定义容器网络配置名称，只能指定未关联命名空间的容器网络配置。请在label上同时添加此参数，便于通过label查找所有关联此容器网络配置的Pod。