멤버 자격 기준을 정의하여 하나 이상의 조건에 따라 NSX 그룹에 멤버를 동적으로 추가할 수 있습니다.

기준에는 하나 이상의 조건이 포함될 수 있습니다. 조건은 동일한 멤버 유형을 사용하거나 서로 다른 멤버 유형을 혼합하여 사용할 수 있습니다.

멤버 자격 기준에서 혼합된 NSX 멤버 유형이 있거나 혼합된 Kubernetes 멤버 유형이 있는 여러 조건을 추가하는 경우 몇 가지 제한 사항이 적용됩니다. 이 설명서의 뒷부분에 나오는 "NSX 멤버 유형이 혼합된 기준에 대한 제한 사항" 섹션 및 "멤버 유형이 혼합된 기준에 대한 제한 사항" 섹션을 참조하십시오.

기본적으로 NSX는 멤버 자격 기준의 각 조건 다음에 논리적 AND 연산자를 사용합니다. 다른 논리 연산자는 멤버 자격 기준의 조건을 결합하는 데 사용할 수 없습니다.

기준을 결합하려면 OR 및 AND 연산자를 사용할 수 있습니다. 기본적으로 시스템은 OR 연산자를 선택하여 두 조건을 결합합니다. AND 연산자는 다음과 같은 경우에만 두 조건 사이에서 지원됩니다.
  • 두 조건 모두 동일한 멤버 유형을 사용합니다.
  • 두 조건 모두 단일 조건을 사용합니다.
여러 조건을 추가할 때는 다음과 같은 제한 사항이 적용됩니다.
  • 단일 멤버 자격 기준에서 동일한 멤버 유형을 갖는 최대 5개의 조건이 지원됩니다. 예를 들어 기준에서 가상 시스템 멤버 유형을 사용하여 최대 5개의 조건을 추가할 수 있습니다.
  • 단일 멤버 자격 기준에서 멤버 유형이 혼합된 조건을 최대 15개까지 지원합니다. 예를 들어 기준에서 세그먼트 및 세그먼트 포트 멤버 유형을 혼합하여 최대 15가지 조건을 추가할 수 있습니다.
  • 일반 그룹에서는 멤버 유형이 혼합된 조건을 최대 35개까지 지원합니다.
그룹은 최대 5개의 멤버 자격 조건을 가질 수 있습니다. 그러나 그룹에 추가할 수 있는 총 조건 수는 각 기준의 조건 수에 따라 결정됩니다. 다음 예제를 참조하십시오.
예 1
3개의 멤버 자격 조건과 총 35개의 조건이 있는 그룹:
  • 기준 1에는 멤버 유형이 혼합된 15개 조건이 있습니다.
  • 기준 2에는 멤버 유형이 혼합된 15개 조건이 있습니다.
  • 기준 3에는 멤버 유형이 동일한 5개 조건이 있습니다.
예 2
4개의 멤버 자격 조건과 총 35개의 조건이 있는 그룹:
  • 기준 1에는 멤버 유형이 혼합된 15개 조건이 있습니다.
  • 기준 2에는 멤버 유형이 혼합된 14개 조건이 있습니다.
  • 기준 3에는 멤버 유형이 동일한 4개 조건이 있습니다.
  • 기준 4에는 멤버 유형이 동일한 2개 조건이 있습니다.
예 3
5개의 멤버 자격 조건과 총 22개의 조건이 있는 그룹:
  • 기준 1에는 멤버 유형이 혼합된 10개 조건이 있습니다.
  • 기준 2에는 멤버 유형이 동일한 3개 조건이 있습니다.
  • 기준 3에는 멤버 유형이 동일한 4개 조건이 있습니다.
  • 기준 4에는 멤버 유형이 동일한 3개 조건이 있습니다.
  • 기준 5에는 멤버 유형이 혼합된 2개 조건이 있습니다.
이 그룹이 5개의 조건 제한에 도달했기 때문에 다른 멤버 자격 기준을 추가할 수 없습니다. 그러나 필요에 따라 앞서 언급한 다음 상한을 초과하지 않는 한 5개의 기준에 조건을 추가할 수 있습니다.
  • 단일 기준에서 동일한 멤버 유형을 갖는 최대 5개 조건
  • 단일 기준에서 멤버 유형이 혼합된 최대 15개 조건
  • 일반 그룹의 총 35개 조건.

NSX 멤버 유형이 혼합된 기준에 대한 제한 사항

멤버 유형 멤버 유형이 혼합된 기준 태그 연산자 범위 연산자
가상 시스템

지원되지 않음
  • 같음 - 하나의 태그를 선택할 수 있습니다.
  • 다음 포함
  • 다음으로 시작
  • 다음으로 끝남
  • 다음과 같음:
세그먼트

지원됨

세그먼트를 기준으로 하는 조건은 세그먼트 포트를 기준으로 하는 조건과 혼합할 수 있습니다.
  • 같음 - 하나의 태그를 선택할 수 있습니다.
  • 같지 않음 - 하나의 태그를 선택할 수 있습니다.
  • 다음과 같음:
  • 같지 않음 - 선택한 경우 태그 연산자가 제거됩니다.
세그먼트 포트

지원됨

세그먼트 포트를 기준으로 하는 조건은 NSX 세그먼트를 기준으로 하는 조건과 혼합할 수 있습니다.
  • 같음 - 하나의 태그를 선택할 수 있습니다.
  • 같지 않음 - 하나의 태그를 선택할 수 있습니다.
  • 포함 안 됨 - 최대 5개의 태그를 선택할 수 있습니다.
  • 다음과 같음:
  • 같지 않음 - 선택한 경우 태그 연산자가 제거됩니다.
분산 포트 그룹

지원됨

분산 포트 그룹 기반 조건은 분산 포트를 기준으로 하는 조건과 혼합할 수 있습니다.

  • 같음 - 하나의 태그를 선택할 수 있습니다.
  • 같지 않음 - 하나의 태그를 선택할 수 있습니다.
  • 다음과 같음:
  • 같지 않음 - 선택한 경우 태그 연산자가 제거됩니다.
분산 포트

지원됨

분산 포트 기준 조건은 분산 포트 그룹 기준 조건과 혼합할 수 있습니다.
  • 같음 - 하나의 태그를 선택할 수 있습니다.
  • 같지 않음 - 하나의 태그를 선택할 수 있습니다.
  • 포함 안 됨 - 최대 5개의 태그를 선택할 수 있습니다.
  • 다음과 같음:
  • 같지 않음 - 선택한 경우 태그 연산자가 제거됩니다.
IP 집합 - 이 멤버 유형은 나중에 더 이상 사용되지 않습니다. 현재 IP 집합 태그 기반 기준에 따라 기존 NSGroups 또는 Groups에 대해 이전 버전과의 호환성을 달성할 수 있습니다. 그룹을 멤버 유형으로 사용하고 멤버 자격 기준에 'IP 주소 전용' 유형의 태그 기반 그룹을 추가하는 것이 좋습니다.

지원되지 않음
  • 같음 - 하나의 태그를 선택할 수 있습니다.
  • 다음과 같음:
그룹 - 이 멤버 유형을 사용하여 멤버 자격 기준에 ‘IP 주소 전용' 유형의 태그 기반 그룹을 추가합니다.

지원되지 않음

 같음 - 하나의 태그를 선택할 수 있습니다. 다음과 같음:

Kubernetes 멤버 유형을 통한 멤버 자격 기준 개요

NSX 4.1부터 Antrea Kubernetes 클러스터로 들어오거나 나가는 트래픽과 일치시킬 동적 멤버 자격 조건의 Kubernetes 멤버 유형으로 일반 그룹을 생성할 수 있습니다.

그런 다음, 분산 방화벽 규칙 또는 게이트웨이 방화벽 규칙에서 이러한 일반 그룹을 사용하여 NSX 환경의 VM과 Antrea Kubernetes 클러스터의 포드 간의 트래픽을 보호할 수 있습니다.

이 기능을 사용하려면 VMware Container Networking™ with Antrea™ 1.6.0 이상에서 사용할 수 있는 Antrea-NSX 상호 작업 버전이 필요합니다. 1.6.0 릴리스 정보를 참조하십시오.

일반 그룹에서 Kubernetes 멤버 유형은 하나 이상의 Antrea Kubernetes 클러스터가 NSX 환경에 등록된 경우에만 멤버 자격 조건 페이지에서 사용할 수 있습니다.

참고: 다중 테넌트 NSX 환경에서 Kubernetes 클러스터 리소스는 프로젝트 인벤토리에 노출되지 않습니다. 따라서 프로젝트 내에서는 동적 멤버 자격 조건의 Kubernetes 멤버 유형으로 일반 그룹을 생성할 수 없습니다.

다음 표에는 일반 그룹에서 동적 멤버 자격 조건을 추가하기 위해 NSX 4.1 이상의 기본 보기에서 사용할 수 있는 Kubernetes 멤버 유형이 나열되어 있습니다. 각 Kubernetes 멤버 유형은 클러스터 범위 또는 네임스페이스 범위에 속합니다.

멤버 유형 범위

Kubernetes 클러스터

클러스터

Kubernetes 네임스페이스

네임스페이스

Kubernetes 노드

클러스터

Kubernetes 서비스

네임스페이스

Kubernetes 수신

네임스페이스

Kubernetes 게이트웨이

네임스페이스

Antrea 송신

클러스터

Antrea IP 풀

클러스터

Kubernetes 멤버 유형이 있는 조건에 사용되는 이름 지정 규칙

다음 표에서는 Kubernetes 멤버 유형을 기준으로 동적 멤버 자격 조건에 추가할 수 있는 다양한 조건을 나타내기 위해 이 설명서에서 사용되는 이름 지정 규칙을 설명합니다.

조건에 대한 이름 지정 규칙 의미

Kubernetes 클러스터 조건

동적 멤버 자격 기준의 조건은 Kubernetes 클러스터 멤버 유형을 기준으로 합니다.

Kubernetes 네임스페이스 조건

동적 멤버 자격 기준의 조건은 Kubernetes 네임스페이스 멤버 유형을 기준으로 합니다.

리소스 조건
동적 멤버 자격 기준의 조건은 다음과 같은 Kubernetes 멤버 유형을 기준으로 합니다.
  • Kubernetes 서비스
  • Kubernetes 수신
  • Kubernetes 게이트웨이
  • Antrea 송신
  • Antrea IP 풀
  • Kubernetes 노드

클러스터 범위 리소스 조건
동적 멤버 자격 기준의 조건은 다음과 같은 Kubernetes 멤버 유형을 기준으로 합니다.
  • Antrea 송신
  • Antrea IP 풀
  • Kubernetes 노드

네임스페이스 범위 리소스 조건
동적 멤버 자격 기준의 조건은 다음과 같은 Kubernetes 멤버 유형을 기준으로 합니다.
  • Kubernetes 서비스
  • Kubernetes 수신
  • Kubernetes 게이트웨이

Kubernetes 멤버 유형이 혼합된 기준에 대한 제한 사항

다음 표에는 단일 멤버 자격 기준에서 Kubernetes 멤버 유형을 사용할 때 적용되는 제한 사항 또는 유효성 검사에 대한 개괄적인 요약을 제공합니다. 유효성 검사의 예는 이 설명서의 "Kubernetes 멤버 유형을 통한 동적 그룹화 유효성 검사" 섹션을 참조하십시오.

멤버 유형 기준의 멤버 유형 사용 제한 사항 지원되는 특성 태그 연산자 범위 연산자

Kubernetes 클러스터

기준에서 단독으로 사용할 수 없습니다.

기준에서 하나의 클러스터 조건만 허용합니다.

하나 이상의 Kubernetes 리소스 조건과 혼합해야 합니다.

필요한 경우 Kubernetes 네임스페이스 조건 및 Kubernetes 리소스 조건과 혼합할 수 있습니다.

이름

지원되지 않음

지원되지 않음

Kubernetes 네임스페이스

기준에서 단독으로 사용할 수 없습니다.

클러스터 범위 리소스 조건과 혼합할 수 없습니다.

네임스페이스 범위의 리소스 조건과 혼합해야 합니다.

필요한 경우 Kubernetes 클러스터 조건과 혼합할 수 있습니다.

이름

태그

같음 - 하나의 태그를 선택할 수 있습니다.

다음과 같음:

Antrea 송신

기준에서 단독으로 사용할 수 있습니다.

필요한 경우 Kubernetes 클러스터 조건과 혼합할 수 있습니다.

이름

태그

같음 - 하나의 태그를 선택할 수 있습니다.

다음과 같음:

Antrea IP 풀

기준에서 단독으로 사용할 수 있습니다.

필요한 경우 Kubernetes 클러스터 조건과 혼합할 수 있습니다.

이름

태그

같음 - 하나의 태그를 선택할 수 있습니다.

다음과 같음:

Kubernetes 수신

기준에서 단독으로 사용할 수 있습니다.

필요한 경우 Kubernetes 네임스페이스 조건 또는 Kubernetes 클러스터 조건과만 혼합하거나 둘 다와 혼합할 수 있습니다.

이름

태그

같음 - 하나의 태그를 선택할 수 있습니다.

다음과 같음:

Kubernetes 게이트웨이

기준에서 단독으로 사용할 수 있습니다.

필요한 경우 Kubernetes 네임스페이스 조건 또는 Kubernetes 클러스터 조건과만 혼합하거나 둘 다와 혼합할 수 있습니다.

이름

태그

같음 - 하나의 태그를 선택할 수 있습니다.

다음과 같음:

Kubernetes 서비스

기준에서 단독으로 사용할 수 있습니다.

필요한 경우 Kubernetes 네임스페이스 조건 또는 Kubernetes 클러스터 조건과만 혼합하거나 둘 다와 혼합할 수 있습니다.

이름

태그

같음 - 하나의 태그를 선택할 수 있습니다.

다음과 같음:

Kubernetes 노드

기준에서 단독으로 사용할 수 있습니다.

단일 노드 조건만 허용합니다.

필요한 경우 Kubernetes 클러스터 조건과 혼합할 수 있습니다.

Kubernetes 네임스페이스 조건 또는 Kubernetes 리소스 조건과 혼합할 수 없습니다.

IP 주소

포드 CIDR

지원되지 않음

이 표 다음에 나오는 참고 사항을 참조하십시오.

지원되지 않음
참고: API를 사용하여 Kubernetes 노드 멤버 유형으로 일반 그룹을 생성하는 경우 일치 연산자만 허용됩니다. 이 연산자는 * 값만 사용할 수 있습니다. * 와일드카드 문자는 K8s 클러스터의 모든 노드를 일치시키거나(Kubernetes 노드 조건이 Kubernetes 클러스터 조건과 혼합된 경우), 모든 클러스터의 노드를 일치시킵니다(Kubernetes 노드 조건이 단독으로 사용되는 경우).

Kubernetes 멤버 유형을 통한 동적 그룹화 유효성 검사

유효성 검사 1
멤버 자격 기준에는 최대 하나의 Kubernetes 클러스터 조건이 있을 수 있습니다. 단일 Kubernetes 클러스터를 이름으로 일치시키려면 같음 연산자를 사용하고 클러스터 이름을 입력합니다.
참고: Kubernetes 클러스터 이름은 고유해야 합니다.
단일 Kubernetes 클러스터 조건에서 여러 클러스터를 일치시킬 경우 다음 연산자 중 하나를 사용할 수 있습니다.
  • 수신
  • 다음으로 시작
  • 다음으로 끝남

예:

단일 K8s 클러스터와 일치 여러 K8s 클러스터와 일치
기준:

Kubernetes 클러스터 이름이 ClusterA와 같음

 기준:

ClusterA,ClusterB,ClusterC의 Kubernetes 클러스터 이름

최대 5개의 쉼표로 구분된 값이 허용됩니다. 값은 공백으로 구분하면 안 됩니다.
유효성 검사 2

Kubernetes 클러스터 조건이 있는 멤버 자격 기준은 Kubernetes 리소스 조건 중 하나와 혼합할 수 있습니다. Kubernetes 네임스페이스 조건을 동일한 기준에도 추가하는 경우 리소스 조건은 네임스페이스 범위의 리소스 조건으로만 제한되어야 합니다.

예:
  • 1개의 Kubernetes 클러스터 조건과 3개의 Kubernetes 수신 조건이 있는 멤버 자격 기준이 유효합니다.
  • 1개의 Kubernetes 클러스터 조건과 2개의 Antrea 송신 조건이 있는 멤버 자격 기준이 유효합니다.
  • 1개의 Kubernetes 클러스터 조건과 3개의 Antrea IP 풀 조건이 있는 멤버 자격 기준이 유효합니다.
  • 1개의 Kubernetes 클러스터 조건, 1개의 Kubernetes 네임스페이스 조건 및 3개의 Kubernetes 게이트웨이 조건이 있는 멤버 자격 기준이 유효합니다.
유효성 검사 3
멤버 자격 기준에는 하나 이상의 Kubernetes 리소스 조건이 포함되어야 합니다. 멤버 자격 기준이 다음을 포함하는 경우 유효하지 않습니다.
  • Kubernetes 클러스터 조건만
  • Kubernetes 네임스페이스 조건만
  • Kubernetes 클러스터 조건 및 Kubernetes 네임스페이스 조건만
예:
  • 1개의 Kubernetes 클러스터 조건, 1개의 Kubernetes 네임스페이스 조건 및 1개의 Kubernetes 수신 조건이 있는 멤버 자격 기준이 유효합니다.
  • 1개의 Kubernetes 클러스터 조건, 2개의 Kubernetes 네임스페이스 조건 및 3개의 Kubernetes 수신 조건이 있는 멤버 자격 기준이 유효합니다.
유효성 검사 4

멤버 자격 기준에는 하나의 Kubernetes 노드 조건만 포함될 수 있습니다. 필요한 경우 Kubernetes 노드 조건은 Kubernetes 클러스터 조건과만 혼합할 수 있습니다.

Kubernetes 노드 조건은 Kubernetes 네임스페이스 조건 또는 Kubernetes 리소스 조건과 혼합할 수 없습니다.

Kubernetes 노드 조건만 있는 멤버 자격 조건은 독립형일 수 있습니다. 그러나 Kubernetes 노드 조건만 있는 그룹은 NSX에 등록된 모든 Antrea Kubernetes 클러스터의 노드와 일치합니다.

태그 연산자 및 범위 연산자는 현재 Kubernetes 노드 조건에 대해 지원되지 않습니다.

Kubernetes 노드 조건은 다음 두 가지 속성을 지원합니다.

속성 설명

IP 주소

지정된 Antrea Kubernetes 클러스터의 모든 노드에 대한 내부 IP 주소와 일치합니다.

포드 CIDR

지정된 Antrea Kubernetes 클러스터의 모든 노드에 대한 포드 CIDR과 일치합니다.
유효성 검사 5
멤버 자격 기준에 Kubernetes 클러스터 조건 및 Kubernetes 네임스페이스 조건이 포함된 경우 네임스페이스 범위의 Kubernetes 리소스 조건을 하나 이상 포함해야 합니다. 동일한 기준에서 다음과 같은 클러스터 범위 Kubernetes 리소스 조건을 혼합할 수 없습니다.
  • Antrea 송신
  • Antrea IP 풀
  • Kubernetes 노드
예:
  • 1개의 Kubernetes 클러스터 조건, 2개의 Kubernetes 네임스페이스 조건 및 Kubernetes 게이트웨이 조건이 있는 멤버 자격 기준이 유효합니다.
  • 1개의 Kubernetes 클러스터 조건, 4개의 Kubernetes 네임스페이스 조건 및 3개의 Kubernetes 서비스 조건이 있는 멤버 자격 기준이 유효합니다.
  • Antrea 송신이 클러스터 범위의 리소스이기 때문에 1개의 Kubernetes 클러스터 조건, 1개의 Kubernetes 네임스페이스 조건 및 1개의 Antrea 송신 조건이 있는 멤버 자격 기준은 유효하지 않습니다.
유효성 검사 6
멤버 자격 기준에는 하나 이상의 Kubernetes 리소스 조건이 포함되어야 합니다. 리소스 조건은 기준에서 단독으로 실행 가능할 수 있습니다. 그러나 기준에 여러 리소스 조건을 추가하는 경우 모든 리소스 조건이 동일한 멤버 유형이어야 합니다.
참고: Kubernetes 클러스터 조건 및 Kubernetes 네임스페이스 조건은 기준의 범위를 정의하는 데 사용됩니다. Kubernetes 리소스 조건이 아니므로 이 유효성 검사 규칙에 의해 제한되지 않습니다.
예:
  • 5개의 Kubernetes 서비스 조건이 있는 멤버 자격 기준이 유효합니다.
  • 1개의 Kubernetes 클러스터 조건, 3개의 Kubernetes 네임스페이스 조건 및 4개의 Kubernetes 서비스 조건이 있는 멤버 자격 기준이 유효합니다.
  • 1개의 Kubernetes 클러스터 조건, 3개의 Kubernetes 네임스페이스 조건, 4개의 Kubernetes 서비스 조건, 3개의 Kubernetes 수신 조건이 있는 멤버 자격 기준은 유효하지 않습니다. 그 이유는 동일한 기준에서 서로 다른 두 멤버 유형(Kubernetes 서비스 및 Kubernetes 수신)의 리소스 조건을 혼합하기 때문입니다.

    아래와 같이 단일 멤버 유형을 기준으로 하는 리소스 조건으로 별도의 조건을 생성한 다음, 두 조건을 OR 연산자로 결합할 수 있습니다.

    기준 1:

    1개의 Kubernetes 클러스터 조건 + 3개의 Kubernetes 네임스페이스 조건 + 4개의 Kubernetes 서비스 조건

    또는

    기준 2:

    1개의 Kubernetes 클러스터 조건 + 3개의 Kubernetes 네임스페이스 조건 + 3개의 Kubernetes 수신 조건

유효성 검사 7

단일 멤버 자격 기준에서 NSX 멤버 유형을 기준으로 하는 조건은 Kubernetes 멤버 유형을 기준으로 하는 조건과 혼합할 수 없습니다. 그렇지만 NSX 멤버 유형만을 기준으로 하는 1개의 기준과 Kubernetes 멤버 유형만을 기준으로 하는 다른 기준을 OR 연산자로 결합하여 그룹화할 수 있습니다.

예:

유효함 잘못됨

기준 1:

가상 시스템 조건

또는

기준 2:

Kubernetes 클러스터 조건 + Kubernetes 게이트웨이 조건

기준:

NSX 세그먼트 조건 + 세그먼트 포트 조건

및

Kubernetes 클러스터 조건 + Kubernetes 게이트웨이 조건