chore: update

2026-07-31 13:25:03 +02:00
parent ac8bdbcab7
commit dce80908e3
31 changed files with 740 additions and 155 deletions
@@ -0,0 +1,46 @@
+# Installation de Calico (CNI qui applique réellement les NetworkPolicy) —
+# nécessaire pour que deploy/chart-gestion/network-policy soit autre chose
+# qu'une déclaration ignorée par le cluster.
+#
+# ⚠️ Si le cluster a déjà un CNI actif (flannel, etc.), installer Calico en
+# remplacement est disruptif : tous les pods doivent être recréés pour
+# obtenir une IP du nouveau CNI. À faire lors d'une fenêtre de maintenance,
+# pas à chaud sur un cluster avec des démos clients actives. Si vous voulez
+# juste ajouter l'enforcement de policy SANS remplacer le CNI existant, dites-
+# le : Calico peut aussi tourner en mode "policy-only" au-dessus de flannel
+# (Canal), c'est un manifeste différent de celui-ci.
+#
+# Étape 1 (à lancer manuellement, pas inclus ici : c'est un manifeste upstream
+# de plusieurs milliers de lignes, à récupérer directement depuis le projet) :
+#
+#   kubectl create -f https://raw.githubusercontent.com/projectcalico/calico/v3.32.1/manifests/tigera-operator.yaml
+#
+# Étape 2 : une fois l'operator up (kubectl get pods -n tigera-operator),
+# appliquer ce fichier :
+#
+#   kubectl apply -f deploy/cni/calico-install.yml
+#
+# Étape 3 : vérifier l'enforcement avec deploy/cni/network-policy-test.yml.
+
+apiVersion: operator.tigera.io/v1
+kind: Installation
+metadata:
+  name: default
+spec:
+  calicoNetwork:
+    ipPools:
+      # ⚠️ Ce CIDR doit correspondre au pod CIDR réellement utilisé par le
+      # cluster (ou être libre s'il s'agit d'une installation neuve). Ne pas
+      # appliquer tel quel sans vérifier qu'il ne chevauche pas l'existant.
+      - name: default-ipv4-ippool
+        cidr: 192.168.0.0/16
+        encapsulation: VXLAN
+        natOutgoing: Enabled
+        nodeSelector: all()
+
+---
+apiVersion: operator.tigera.io/v1
+kind: APIServer
+metadata:
+  name: default
+spec: {}