使用注解为Pod绑定安全组

使用场景

云原生网络2.0网络模式下，Pod使用的是VPC的弹性网卡/辅助弹性网卡，可以通过配置Pod的annotation为Pod配置安全组。

支持两种方式的安全组配置：

• Pod的网卡使用annotation配置的安全组，对应annotation配置：yangtse.io/security-group-ids。
• Pod的网卡在使用已有安全组的基础上，额外再增加annotation配置的安全组，对应annotation配置：yangtse.io/additional-security-group-ids。

通过注解（yangtse.io/security-group-ids）为Pod绑定的安全组优先级高于使用安全组策略（SecurityGroup）和集群容器网络配置（NetworkAttachmentDefinition）中的安全组。

前提条件

通过kubectl命令行设置

• 创建一个配置安全组的工作负载，最终Pod关联安全组以annotation中的配置为准：
  

  如果Pod已绑定安全组，则会被覆盖。

  apiVersion: apps/v1
  kind: Deployment
  metadata:
    name: nginx
  spec:
    replicas: 3
    selector:
      matchLabels:
        app: nginx
    template:
      metadata:
        labels:
          app: nginx
        annotations:
          yangtse.io/security-group-ids: *****  # 安全组ID，多个安全组以逗号分隔
      spec:
        containers:
          - name: container-0
            image: nginx:alpine
            resources:
              limits:
                cpu: 100m
                memory: 200Mi
              requests:
                cpu: 100m
                memory: 200Mi
        imagePullSecrets:
          - name: default-secret

• 为工作负载额外增加一个安全组：

  apiVersion: apps/v1
  kind: Deployment
  metadata:
    name: nginx
  spec:
    replicas: 3
    selector:
      matchLabels:
        app: nginx
    template:
      metadata:
        labels:
          app: nginx
        annotations:
          yangtse.io/additional-security-group-ids: *****  # 安全组ID，多个安全组以逗号分隔
      spec:
        containers:
          - name: container-0
            image: nginx:alpine
            resources:
              limits:
                cpu: 100m
                memory: 200Mi
              requests:
                cpu: 100m
                memory: 200Mi
        imagePullSecrets:
          - name: default-secret