配置安全组

安全组是一种虚拟防火墙,具备状态检测和数据包过滤能力,用于在云端划分安全域。通过添加安全组规则,您可以控制安全组内ECI Pod(即ECI实例)的入流量和出流量。

安全组介绍

安全组是一个逻辑上的分组,由同一VPC内具有相同安全保护需求并相互信任的实例组成。通过添加安全组规则,安全组可以允许或拒绝安全组内ECI实例对公网或者私网的访问,以及管理是否放行来自公网或私网的访问请求。更多信息,请参见安全组概述

重要
  • 一个安全组可以管理同一个VPC内的多个ECI实例。

  • 一个ECI实例必须属于一个安全组。

安全组分为普通安全组和企业安全组。如果您对整体规模和运维效率有较高需求,建议您使用企业安全组。相比普通安全组,企业安全组大幅提升了组内支持容纳的实例数量,简化了规则配置方式。更多关于两种安全组的差异信息,请参见普通安全组与企业级安全组

指定安全组

自建Kubernetes集群通过对接VNode来使用ECI时,ECI Pod默认采用所属VNode配置的安全组。如果有特殊需求,您也可以为某些ECI Pod指定其他安全组。

集群配置

  • 新建VNode配置

    创建VNode时,您可以指定安全组。具体操作,请参见创建虚拟节点

  • 已有Vnode配置

    对于已有VNode,您可以调用UpdateVirtualNode接口更新VNode信息,在SecurityGroupId字段中可以更新安全组ID。更多信息,请参见UpdateVirtualNode

ECI Pod配置

对于有特殊需求的某些ECI Pod,可以添加k8s.aliyun.com/eci-security-group的Annotation来指定安全组。配置要求如下:

  • 支持指定一个或多个安全组,最多可以指定5个安全组。

  • 指定的安全组必须属于同一VPC。

  • 指定的安全组的类型必须相同。

重要
  • Annotation请添加在Pod的metadata下,例如:创建Deployment时,Annotation需添加在spec>template>metadata下。

  • 仅支持在创建ECI Pod时添加ECI相关Annotation来生效ECI功能,更新ECI Pod时添加或者修改ECI相关Annotation均不会生效。

配置示例如下:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: test
  labels:
    app: test
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      name: nginx-test
      labels:
        app: nginx
        alibabacloud.com/eci: "true" 
      annotations:
        k8s.aliyun.com/eci-security-group: "sg-bp1dktddjsg5nktv****,sg-2ze0b9o8pjjzts4h****"      #指定安全组
    spec:
      containers:
      - name: nginx
        image: registry.cn-shanghai.aliyuncs.com/eci_open/nginx:1.14.2
        ports:
        - containerPort: 80

添加安全组规则

对于安全组内的ECI实例,您可以添加安全组规则来控制其出入流量。例如:

  • 当ECI实例需要与所在安全组之外的网络进行通信时,您可以添加允许访问的安全组规则,实现网络互通。

  • 在运行ECI实例的过程中,发现部分请求来源有恶意攻击行为时,您可以添加拒绝访问的安全组规则,实现网络隔离。

关于如何添加安全组规则,请参见添加安全组规则