出站流量控制

准备工作

如需控制出站流量，您必须拥有必要的身份和访问角色：

  • 项目编辑者：有权管理和删除项目。请让您的 IAM 组织管理员为您授予 Project Editor (project-editor) 角色。

强制执行无出站流量政策

默认情况下，创建新项目时会强制执行无出站流量政策。您可以确保在创建项目时强制执行此政策。

控制台

如需强制执行无出站流量政策，请在创建项目时按照以下步骤操作：

  1. 在 GDC 控制台中，前往项目。
  2. 点击 添加项目按钮以创建项目。
  3. 在项目名称和附加集群页面上填写项目的必填信息。
  4. 在网络页面上的出站流量控制部分下，确保已选中强制执行无出站流量政策复选框。
  5. 点击下一步。
  6. 查看审核页面上的详细信息。
  7. 点击创建。

API

如需在使用 API 创建项目时明确强制执行无出站流量政策，请将该标签添加到项目元数据中，并将其设置为 "false"。

apiVersion: resourcemanager.global.gdc.goog/v1
kind: Project
metadata:
  name: PROJECT_NAME
  namespace: platform
  labels:
    networking.gdc.goog/enable-default-egress-allow-to-outside-the-org: "false"

允许出站流量

默认情况下，项目会强制执行无出站流量政策。以下是强制执行无出站流量政策的项目的默认政策：

  • 仅允许来自同一项目的入站流量。所有其他流量都会被拒绝。
  • 允许向同一组织内的所有目的地发送出站流量。所有其他流量都会被拒绝，这意味着组织外部的流量会被拒绝。

强制执行无出站流量政策后，系统会阻止从项目流向组织外部任何目的地的所有出站流量。这会覆盖任何可能允许出站流量的项目网络政策 (PNP)。

如果您在 GDC 控制台中为项目清除相应复选框，从而允许出站流量，则项目的默认政策如下：

  • 仅允许来自同一项目的入站流量。所有其他流量都会被拒绝。

  • 允许流向所有目的地（包括来自其他组织的外部项目）的出站流量。

控制台

请按照以下步骤允许项目的出站流量：

  1. 在 GDC 控制台中，前往导航菜单中的项目。
  2. 点击要允许出站流量的项目名称。
  3. 点击出站流量控制字段中的 修改。
  4. 在修改出站流量控制页面上，取消选中强制执行无出站流量政策复选框。
  5. 点击保存。出站流量控制字段反映了该政策已停用。

API

如需允许出站流量，请确保项目中存在 networking.gdc.goog/enable-default-egress-allow-to-outside-the-org 标签，并将其设置为 "true"。

apiVersion: resourcemanager.global.gdc.goog/v1
kind: Project
metadata:
  name: PROJECT_NAME
  namespace: platform
  labels:
    networking.gdc.goog/enable-default-egress-allow-to-outside-the-org: "true"

您必须为项目创建 ProjectNetworkPolicy 出站流量政策，以限制出站流量。如需了解详情，请参阅配置项目网络政策。