Weave Net Policy Controller (s390x架构)

镜像概述

Weave Net Policy Controller Docker镜像是针对s390x架构优化的网络策略管理组件，作为Weave Net网络解决方案的核心部分，用于在Kubernetes集群中实施和强制执行网络访问策略。该镜像提供了对Kubernetes NetworkPolicy API的完整支持，能够精确控制Pod间的网络通信，增强容器环境的网络安全性。

核心功能和特性

• 网络策略执行：全面支持Kubernetes NetworkPolicy API，实现基于标签、命名空间、IP地址段和端口的细粒度通信控制
• s390x架构优化：针对s390x硬件架构进行编译和性能调优，确保在大型机等s390x环境中稳定运行
• Weave Net集成：与Weave Net网络插件无缝协同，利用其覆盖网络技术实现策略规则的高效分发与执行
• 动态策略更新：实时监控Kubernetes集群中NetworkPolicy资源的变化，自动更新策略执行规则，无需重启服务
• 多模式支持：支持入站（Ingress）和出站（Egress）流量控制，满足不同场景下的网络隔离需求
• 轻量级设计：精简镜像体积，降低资源占用，适合在资源受限的s390x环境中部署

使用场景和适用范围

• s390x架构Kubernetes集群：部署于基于s390x处理器的物理服务器或虚拟机的Kubernetes环境
• 企业级容器部署：适用于对网络安全要求严格的***、***、制造业等企业级容器化应用
• 多租户隔离：在共享Kubernetes集群中实现不同租户、团队或应用间的网络隔离
• 合规性场景：满足数据安全合规要求，需对应用间通信进行审计和严格控制的部署环境
• 混合架构集群：作为跨架构Kubernetes集群（包含s390x节点）的统一网络策略控制组件

使用方法和配置说明

前提条件

• 运行在s390x架构的主机环境，已安装兼容的Docker引擎（19.03+）
• Kubernetes集群版本1.16+，且已部署Weave Net网络插件（2.8.0+）
• 集群节点已配置正确的网络策略支持（确保kube-proxy或等效组件正常运行）

镜像拉取

bash
docker pull weaveworks/net-policy-controller:s390x-latest

Kubernetes部署示例

在s390x架构Kubernetes集群中，推荐通过DaemonSet方式部署：

yaml
apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: weave-net-policy-controller
  namespace: kube-system
  labels:
    name: weave-net-policy-controller
spec:
  selector:
    matchLabels:
      name: weave-net-policy-controller
  template:
    metadata:
      labels:
        name: weave-net-policy-controller
    spec:
      hostNetwork: true
      tolerations:
      - effect: NoSchedule
        operator: Exists
      containers:
      - name: policy-controller
        image: weaveworks/net-policy-controller:s390x-latest
        command:
        - /weave-npc
        args:
        - --kubeconfig=/etc/kubernetes/kubeconfig
        - --weave-endpoint=unix:///var/run/weave/weave.sock
        - --log-level=info
        volumeMounts:
        - name: kubeconfig
          mountPath: /etc/kubernetes/kubeconfig
          readOnly: true
        - name: weave-sock
          mountPath: /var/run/weave
          readOnly: false
        - name: xtables-lock
          mountPath: /run/xtables.lock
          readOnly: false
      volumes:
      - name: kubeconfig
        hostPath:
          path: /etc/kubernetes/kubeconfig
      - name: weave-sock
        hostPath:
          path: /var/run/weave
      - name: xtables-lock
        hostPath:
          path: /run/xtables.lock
          type: FileOrCreate

核心配置参数

环境变量配置

注意事项

• 兼容性要求：确保Weave Net网络插件版本与Policy Controller匹配（建议使用相同版本系列）
• 权限配置：控制器需要足够的Kubernetes RBAC权限（如networkpolicies的get/list/watch权限）
• 性能优化：在大规模集群中，建议调整--policy-sync-interval参数平衡实时性与资源消耗
• 故障排查：通过--log-level=debug开启调试日志，结合weave report命令分析网络策略生效状态
• 架构依赖：该镜像仅支持s390x架构，不兼容x86_64等其他架构节点