Настройка групп безопасности

Пусть планируется создать кластер Kubernetes, в котором:

• Используется следующая конфигурация:

  • Высокодоступный мастер, размещенный в зонах доступности kz1-a, kz1-b и kz1-d.
  • Группа узлов worker-nodes-a, размещенная в зоне доступности kz1-a.
  • CIDR кластера — 10.96.0.0/16, CIDR сервисов — 10.112.0.0/16.

• Применяются следующие политики по обмену трафиком:

  • Проверка работоспособности узлов с помощью ICMP-запросов разрешена из следующих подсетей внутри Yandex Cloud:

    • 10.0.0.0/8,
    • 172.16.0.0/12,
    • 192.168.0.0/16.

  • Подключение к сервисам из интернета разрешено с любых адресов — 0.0.0.0/0.

  • Подключение к узлам по SSH разрешено только с одного адреса — 85.32.32.22/32.

  • Доступ к API Kubernetes разрешен из одной подсети — 203.0.113.0/24.

Чтобы создать такой кластер:

1. Создайте группы безопасности с необходимыми правилами.

   Конфигурационный файл с группами безопасности

   resource "yandex_vpc_security_group" "k8s-cluster-nodegroup-traffic" {
     name        = "k8s-cluster-nodegroup-traffic"
     description = "Правила группы разрешают служебный трафик для кластера и групп узлов. Примените ее к кластеру и группам узлов."
     network_id  = "<идентификатор_облачной_сети>"
     ingress {
       description       = "Правило для проверок состояния сетевого балансировщика нагрузки."
       from_port         = 0
       to_port           = 65535
       protocol          = "TCP"
       predefined_target = "loadbalancer_healthchecks"
     }
     ingress {
       description       = "Правило для входящего служебного трафика между мастером и узлами."
       from_port         = 0
       to_port           = 65535
       protocol          = "ANY"
       predefined_target = "self_security_group"
     }
     ingress {
       description    = "Правило для проверки работоспособности узлов с помощью ICMP-запросов из подсетей внутри Yandex Cloud."
       protocol       = "ICMP"
       v4_cidr_blocks = ["10.0.0.0/8", "172.16.0.0/12", "192.168.0.0/16"]
     }
     egress {
       description       = "Правило для исходящего служебного трафика между мастером и узлами."
       from_port         = 0
       to_port           = 65535
       protocol          = "ANY"
       predefined_target = "self_security_group"
     }
   }
   
   resource "yandex_vpc_security_group" "k8s-nodegroup-traffic" {
     name        = "k8s-nodegroup-traffic"
     description = "Правила группы разрешают служебный трафик для групп узлов. Примените ее к группам узлов."
     network_id  = "<идентификатор_облачной_сети>"
     ingress {
       description    = "Правило для входящего трафика, разрешающее передачу трафика между подами и сервисами."
       from_port      = 0
       to_port        = 65535
       protocol       = "ANY"
       v4_cidr_blocks = ["10.96.0.0/16", "10.112.0.0/16"]
     }
     egress {
       description    = "Правило для исходящего трафика, разрешающее узлам в группе узлов подключаться к внешним ресурсам."
       from_port      = 0
       to_port        = 65535
       protocol       = "ANY"
       v4_cidr_blocks = ["0.0.0.0/0"]
     }
   }
   
   resource "yandex_vpc_security_group" "k8s-services-access" {
     name        = "k8s-services-access"
     description = "Правила группы разрешают подключение к сервисам из интернета. Примените ее к группам узлов."
     network_id  = "<идентификатор_облачной_сети>"
     ingress {
       description    = "Правило для входящего трафика, разрешающее подключение к сервисам."
       from_port      = 30000
       to_port        = 32767
       protocol       = "TCP"
       v4_cidr_blocks = ["0.0.0.0/0"]
     }
   }
   
   resource "yandex_vpc_security_group" "k8s-ssh-access" {
     name        = "k8s-ssh-access"
     description = "Правила группы разрешают подключение к узлам по SSH. Примените ее к группам узлов."
     network_id  = "<идентификатор_облачной_сети>"
     ingress {
       description    = "Правило для входящего трафика, разрешающее подключение к узлам по SSH."
       port           = 22
       protocol       = "TCP"
       v4_cidr_blocks = ["85.32.32.22/32"]
     }
   }
   
   resource "yandex_vpc_security_group" "k8s-cluster-traffic" {
     name        = "k8s-cluster-traffic"
     description = "Правила группы разрешают трафик для кластера. Примените ее к кластеру."
     network_id  = "<идентификатор_облачной_сети>"
     ingress {
       description    = "Правило для входящего трафика, разрешающее доступ к API Kubernetes (порт 443)."
       port           = 443
       protocol       = "TCP"
       v4_cidr_blocks = ["203.0.113.0/24"]
     }
     ingress {
       description    = "Правило для входящего трафика, разрешающее доступ к API Kubernetes (порт 6443)."
       port           = 6443
       protocol       = "TCP"
       v4_cidr_blocks = ["203.0.113.0/24"]
     }
     egress {
       description    = "Правило для исходящего трафика, разрешающее передачу трафика между мастером и подами metric-server."
       port           = 4443
       protocol       = "TCP"
       v4_cidr_blocks = ["10.96.0.0/16"]
     }
   }
   

2. Создайте кластер и группу узлов.

   Примените группы безопасности с правилами следующим образом:

   resource "yandex_kubernetes_cluster" "k8s-cluster" {
     name = "k8s-cluster"
     service_account_id = "<идентификатор_сервисного_аккаунта_для_кластера>"
     node_service_account_id = "<идентификатор_сервисного_аккаунта_для_групп_узлов>"
     cluster_ipv4_range = "10.96.0.0/16"
     service_ipv4_range = "10.112.0.0/16"
     network_id = "<идентификатор_облачной_сети>"
     master {
       master_location {
         zone      = "kz1-a"
         subnet_id = "<идентификатор_облачной_подсети_в_зоне>"
       }
       master_location {
         zone      = "kz1-b"
         subnet_id = "<идентификатор_облачной_подсети_в_зоне>"
       }
       master_location {
         zone      = "kz1-d"
         subnet_id = "<идентификатор_облачной_подсети_в_зоне>"
       }
       security_group_ids = [
         yandex_vpc_security_group.k8s-cluster-nodegroup-traffic.id,
         yandex_vpc_security_group.k8s-cluster-traffic.id
       ]
       public_ip = true
     }
   }
   
   resource "yandex_kubernetes_node_group" "worker-nodes-a" {
     cluster_id = yandex_kubernetes_cluster.k8s-cluster.id
     name       = "worker-nodes-a"
     allocation_policy {
       location {
         zone = "kz1-a"
       }
     }
     scale_policy {
       fixed_scale {
         size = 1
       }
     }
     instance_template {
       network_interface {
         nat                = true
         subnet_ids         = [<идентификатор_облачной_подсети>]
         security_group_ids = [
           yandex_vpc_security_group.k8s-cluster-nodegroup-traffic.id,
           yandex_vpc_security_group.k8s-nodegroup-traffic.id,
           yandex_vpc_security_group.k8s-services-access.id,
           yandex_vpc_security_group.k8s-ssh-access.id
         ]
       }
     }
   }