Utiliser des tags réseau pour appliquer des règles de pare-feu aux nœuds

Autopilot Standard

---

Cette page vous explique comment appliquer dynamiquement des tags réseau aux nœuds de vos clusters Google Kubernetes Engine (GKE) Autopilot et Standard sans perturber les charges de travail en cours d'exécution.

À propos des tags réseau

Les tags réseau sont des métadonnées sur les machines virtuelles (VM) Compute Engine qui vous permettent de définir des règles de pare-feu et des routes applicables à des instances de VM spécifiques. Dans GKE, vous pouvez utiliser des tags réseau pour permettre l'application de règles de pare-feu VPC ou de routes aux nœuds de votre cluster.

L'API GKE vous permet d'appliquer et de mettre à jour des tags réseau sur vos clusters Autopilot et Standard sans perturber les charges de travail en cours d'exécution. Les tags réseau que vous spécifiez sont également appliqués à tous les nouveaux nœuds provisionnés par Autopilot et à ceux qui sont provisionnés automatiquement dans vos clusters Standard.

Utiliser des tags au lieu de tags réseau

Preview — Tags for firewall policies in GKE

Cette fonctionnalité est soumise aux "Conditions des offres de pré-DG" dans la section "Conditions d'utilisation générales" des Conditions spécifiques au service. Les fonctionnalités pré-DG sont disponibles "en l'état" et peuvent avoir une assistance limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

Les tags réseau sont des chaînes simples qui ne sont pas soumises aux contrôles d'accès Identity and Access Management. Toute personne ayant accès à vos nœuds dans l'API GKE peut ajouter des tags réseau à ces nœuds.

Si vous utilisez GKE 1.28 ou une version ultérieure, nous vous recommandons d'utiliser les Tags disposant d'une désignation de pare-feu pour appliquer les Stratégies de pare-feu réseaurégionales ou globales, ce qui améliore les capacités des règles de pare-feu VPC.

Les tags sont des paires clé/valeur que vous associez à des VM Compute Engine. IAM permet de contrôler qui peut interagir avec des tags spécifiques.

• Pour utiliser des tags afin d'appliquer des stratégies de pare-feu dans GKE, consultez la page Appliquer de manière sélective les stratégies de pare-feu réseau dans GKE.
• Pour plus d'avantages sur les tags, consultez la section Comparaison des tags et des tags réseau.
• Pour obtenir de l'aide sur la migration de vos règles de pare-feu vers les stratégies de pare-feu réseau, consultez le guide de migration des règles de pare-feu VPC Google Cloud vers les stratégies de pare-feu réseau (PDF).

Options de ligne de commande pour l'application de tags réseau

Le tableau suivant décrit les options que vous pouvez spécifier à l'aide de Google Cloud CLI pour appliquer des tags réseau à vos clusters, ainsi que leurs cas d'utilisation.

Option	Mode de fonctionnement	Niveau	Description
--autoprovisioning-network-tags	Autopilot Standard	Cluster	Applique les tags réseau spécifiés à tous les nœuds Autopilot et à tous les pools de nœuds Standard provisionnés automatiquement.
--tags	Standard	Pool de nœuds	Applique manuellement les tags réseau à des pools de nœuds Standard spécifiques. Remarque : Si vous avez utilisé --autoprovisioning-network-tags pour appliquer des tags réseau aux pools de nœuds provisionnés automatiquement, GKE vous empêche d'utiliser --tags pour ces pools de nœuds.

Exigences

Vos clusters doivent exécuter GKE version 1.23.2-gke.300 ou ultérieure pour appliquer des tags réseau aux clusters Autopilot ou à des pools de nœuds Standard provisionnés automatiquement à l'aide de --autoprovisioning-network-tags.

Limites

L'utilisation de --autoprovisioning-network-tags vous empêche d'utiliser --tags pour mettre à jour les tags réseau des pools de nœuds Standard provisionnés automatiquement.

Nous vous recommandons d'utiliser --autoprovisioning-network-tags pour les pools de nœuds provisionnés automatiquement, et --tags uniquement pour les pools de nœuds créés manuellement.

Avant de commencer

Avant de commencer, effectuez les tâches suivantes :

• Activez l'API Google Kubernetes Engine.
Activer l'API Google Kubernetes Engine
• Si vous souhaitez utiliser Google Cloud CLI pour cette tâche, installez puis initialisez gcloud CLI. Si vous avez déjà installé gcloud CLI, assurez-vous de disposer de la dernière version en exécutant la commande gcloud components update.
  Remarque : Pour les installations de gcloud CLI existantes, veillez à définir les propriétés compute/region et compute/zone. En définissant des emplacements par défaut, vous pouvez éviter les erreurs gcloud CLI telles que celle-ci : One of [--zone, --region] must be supplied: Please specify location.

Ajouter des tags réseau à de nouveaux clusters

Vous pouvez ajouter des tags réseau lorsque vous créez un nouveau cluster Autopilot ou un nouveau cluster Standard. Pour un cluster Standard, vous pouvez également spécifier des tags réseau spécifiquement pour le provisionnement automatique des nœuds.

Autopilot

Exécutez la commande suivante :

gcloud container clusters create-auto CLUSTER_NAME \
    --region=COMPUTE_REGION \
    --autoprovisioning-network-tags=TAG1,TAG2,...

Remplacez les éléments suivants :

• CLUSTER_NAME : nom de votre nouveau cluster Autopilot.
• COMPUTE_REGION : région Compute Engine du nouveau cluster.
• TAG1,TAG2, ... : liste des tags réseau à appliquer, séparés par une virgule.

Standard

Appliquer des tags réseau au pool de nœuds par défaut

Exécutez la commande suivante pour créer un nouveau cluster Standard et appliquer des tags réseau au pool de nœuds par défaut :

gcloud container clusters create CLUSTER_NAME \
    --region=COMPUTE_REGION \
    --tags=NETWORK_TAG1,NETWORK_TAG2,...

Remplacez les éléments suivants :

• CLUSTER_NAME : nom de votre nouveau cluster Standard.
• COMPUTE_REGION : région Compute Engine du nouveau cluster.
• NETWORK_TAG1,NETWORK_TAG2, ... : liste des tags réseau à appliquer, séparés par une virgule.

Appliquer des tags réseau à des pools de nœuds provisionnés automatiquement

Vous pouvez appliquer automatiquement des tags réseau à tous les pools de nœuds créés par le provisionnement automatique des nœuds.

Exécutez la commande suivante :

gcloud container clusters create CLUSTER_NAME \
    --region=COMPUTE_REGION \
    --enable-autoprovisioning \
    --autoprovisioning-network-tags=TAG1,TAG2,...

Remplacez TAG1,TAG2,... par une liste de tags réseau, séparés par une virgule, que vous souhaitez appliquer à tous les pools de nœuds provisionnés automatiquement.

Remarque : L'utilisation de --autoprovisioning-network-tags vous empêche d'utiliser --tags ultérieurement pour mettre à jour manuellement les tags réseau sur des pools de nœuds provisionnés automatiquement.

Mettre à jour les tags réseau sur des clusters existants

Vous pouvez mettre à jour les tags réseau sur les clusters Autopilot et Standard existants.

Attention : Cette opération remplace les valeurs précédemment spécifiées pour les tags réseau.

Autopilot

Exécutez la commande suivante :

gcloud container clusters update CLUSTER_NAME \
    --autoprovisioning-network-tags=TAG1,TAG2,...

Standard

Mettre à jour les tags réseau sur des pools de nœuds spécifiques

Exécutez la commande suivante pour mettre à jour les tags réseau sur un pool de nœuds Standard spécifique. Vous ne pouvez pas utiliser cette commande pour mettre à jour les pools de nœuds provisionnés automatiquement si vous avez utilisé --autoprovisioning-network-tags.

gcloud container node-pools update NODE_POOL_NAME \
    --cluster=CLUSTER_NAME \
    --tags=NETWORK_TAG1,NETWORK_TAG2,...

Si --autoprovisioning-network-tags est défini pour le cluster, cette commande renvoie une erreur.

Remarque : Nous vous recommandons d'utiliser --autoprovisioning-network-tags pour spécifier les tags réseau des pools de nœuds provisionnés automatiquement. Si vous souhaitez mettre à jour manuellement les tags réseau de ces pools de nœuds, vous devez d'abord supprimer les tags réseau de provisionnement automatique existants.

Mettre à jour les tags réseau pour des pools de nœuds provisionnés automatiquement

Vous pouvez mettre à jour les tags réseau que le provisionnement automatique des nœuds applique aux pools de nœuds provisionnés automatiquement, nouveaux et existants.

Exécutez la commande suivante :

gcloud container clusters update CLUSTER_NAME \
    --autoprovisioning-network-tags=TAG1,TAG2,...

Remarque : L'utilisation de --autoprovisioning-network-tags vous empêche d'utiliser --tags ultérieurement pour mettre à jour les tags réseau sur des pools de nœuds provisionnés automatiquement.

Ajouter des tags réseau à de nouveaux pools de nœuds Standard

Pour créer un nouveau pool de nœuds dans des clusters Standard avec des tags réseau spécifiques, exécutez la commande suivante :

gcloud container node-pools create NODE_POOL_NAME \
    --cluster=CLUSTER_NAME \
    --tags=NETWORK_TAG1,NETWORK_TAG2,...

Remplacez NODE_POOL_NAME par le nom du nouveau pool de nœuds.

Afficher les tags réseau existants sur les clusters et les pools de nœuds

Vous pouvez afficher les tags réseau existants sur les clusters Autopilot et sur les pools de nœuds standards avec ou sans provisionnement automatique de nœuds.

Pools de nœuds standards Autopilot et provisionnés automatiquement

• Exécutez la commande suivante :

  gcloud container clusters describe CLUSTER_NAME \
      --flatten=nodePoolAutoConfig.networkTags
  

  Si le cluster comporte des tags réseau, le résultat ressemble à ce qui suit:

  ---
  tags:
  - example-tag
  

Pools de nœuds standards sans provisionnement automatique de nœuds

• Pour afficher les tags réseau d'un pool de nœuds Standard spécifique dans lequel vous avez appliqué les tags à l'aide de l'option --tags, exécutez la commande suivante:

  gcloud container node-pools describe NODE_POOL_NAME\
      --cluster=CLUSTER_NAME \
      --format='value(config.tags)'
  

  Remplacez NODE_POOL_NAME par le nom du pool de nœuds.

  Si le pool de nœuds comporte des tags, le résultat ressemble à ce qui suit:

  example-tag
  

Supprimer des tags réseau des clusters et des pools de nœuds

Vous pouvez supprimer les tags réseau des clusters GKE Autopilot et Standard.

Autopilot

Exécutez la commande suivante :

gcloud container clusters update CLUSTER_NAME \
    --autoprovisioning-network-tags=""

Standard

Supprimer des tags réseau de pools de nœuds provisionnés automatiquement

Pour supprimer les tags réseau de tous les pools de nœuds provisionnés automatiquement, exécutez la commande suivante :

gcloud container clusters update CLUSTER_NAME \
    --autoprovisioning-network-tags=""

Cette commande restaure également votre capacité à utiliser l'option --tags pour spécifier manuellement des tags réseau pour les pools de nœuds provisionnés automatiquement.

Supprimer des tags réseau de pools de nœuds spécifiques

Pour supprimer des tags réseau de pools de nœuds spécifiques, exécutez la commande suivante :

gcloud container node-pools update NODE_POOL_NAME \
    --cluster=CLUSTER_NAME \
    --tags=""

Étape suivante

• Apprenez-en plus sur les tags réseau.
• Découvrez comment appliquer des libellés de cluster pour une meilleure gestion des clusters.