隔离pod 的网络

vi np.yaml
  apiVersion: networking.k8s.io/v1
  kind: NetworkPolicy
  metadata:
    name: default-deny　　　　　　　　　　　　#这个名字不可变，只有这个名字有限制入站访问的功能
  spec:
    podSelector:
      matchLabels: {}　　　　　　　　　　　　 #不指定标签，标识对此命名空间下所有的pod 都生效

kubectl  create  -f  np.yaml  -n  kzf 　　#指定命名空间下创建

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-allow
spec:
  podSelector:
    matchLabels:
      app : centos-lb                #此策略确保了标签app:centos-lb 的pod 的安全性
  ingress:
  - from：
    - podSelector：                  #只是允许标签app:webserver pod 的访问
        matchLabels:
          app: webserver
    ports:
    - port: 5432                    #只能访问此端口