47 lines
1.8 KiB
YAML
47 lines
1.8 KiB
YAML
# Installation de Calico (CNI qui applique réellement les NetworkPolicy) —
|
|
# nécessaire pour que deploy/chart-gestion/network-policy soit autre chose
|
|
# qu'une déclaration ignorée par le cluster.
|
|
#
|
|
# ⚠️ Si le cluster a déjà un CNI actif (flannel, etc.), installer Calico en
|
|
# remplacement est disruptif : tous les pods doivent être recréés pour
|
|
# obtenir une IP du nouveau CNI. À faire lors d'une fenêtre de maintenance,
|
|
# pas à chaud sur un cluster avec des démos clients actives. Si vous voulez
|
|
# juste ajouter l'enforcement de policy SANS remplacer le CNI existant, dites-
|
|
# le : Calico peut aussi tourner en mode "policy-only" au-dessus de flannel
|
|
# (Canal), c'est un manifeste différent de celui-ci.
|
|
#
|
|
# Étape 1 (à lancer manuellement, pas inclus ici : c'est un manifeste upstream
|
|
# de plusieurs milliers de lignes, à récupérer directement depuis le projet) :
|
|
#
|
|
# kubectl create -f https://raw.githubusercontent.com/projectcalico/calico/v3.32.1/manifests/tigera-operator.yaml
|
|
#
|
|
# Étape 2 : une fois l'operator up (kubectl get pods -n tigera-operator),
|
|
# appliquer ce fichier :
|
|
#
|
|
# kubectl apply -f deploy/cni/calico-install.yml
|
|
#
|
|
# Étape 3 : vérifier l'enforcement avec deploy/cni/network-policy-test.yml.
|
|
|
|
apiVersion: operator.tigera.io/v1
|
|
kind: Installation
|
|
metadata:
|
|
name: default
|
|
spec:
|
|
calicoNetwork:
|
|
ipPools:
|
|
# ⚠️ Ce CIDR doit correspondre au pod CIDR réellement utilisé par le
|
|
# cluster (ou être libre s'il s'agit d'une installation neuve). Ne pas
|
|
# appliquer tel quel sans vérifier qu'il ne chevauche pas l'existant.
|
|
- name: default-ipv4-ippool
|
|
cidr: 192.168.0.0/16
|
|
encapsulation: VXLAN
|
|
natOutgoing: Enabled
|
|
nodeSelector: all()
|
|
|
|
---
|
|
apiVersion: operator.tigera.io/v1
|
|
kind: APIServer
|
|
metadata:
|
|
name: default
|
|
spec: {}
|