Pre-install Hook执行迁移失败，如何为其应用网络策略？

要让你的数据库迁移Pre-install Hook应用已配置的网络策略，核心是让Hook Pod被网络策略的规则匹配到，具体步骤如下：

1. 确认Hook Pod的标签 #

首先检查你的Pre-install Hook Pod（通常是Job资源）的标签配置，不管是Job的metadata.labels还是Pod模板里的labels，需要有一个明确的标识标签。比如在Hook的YAML里：

apiVersion: batch/v1
kind: Job
metadata:
  name: pre-install-migration
  annotations:
    "helm.sh/hook": pre-install
  labels:
    hook-type: pre-install-migration # 自定义标签，用于网络策略匹配
spec:
  template:
    metadata:
      labels:
        hook-type: pre-install-migration # Pod模板也要同步标签，确保Pod实际带有该标签
    spec:
      containers:
      - name: migration-container
        image: your-migration-image:latest
        command: ["run-migration-script.sh"]
      restartPolicy: OnFailure

2. 调整已有的网络策略 #

找到你已配置的网络策略，根据需求修改规则，让Hook Pod被包含在内：

场景1：现有策略允许特定Pod访问数据库 #

如果你的网络策略是允许某些Pod出站访问数据库，把Hook Pod的标签加入到podSelector.matchLabels中：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-db-egress
spec:
  podSelector:
    matchLabels:
      app: your-application # 原有应用标签
      hook-type: pre-install-migration # 添加Hook的标签
  policyTypes:
  - Egress
  egress:
  - to:
    - podSelector:
        matchLabels:
          app: database # 数据库Pod的标签
      ports:
      - protocol: TCP
        port: 5432 # 数据库端口

场景2：新建针对Hook的独立网络策略 #

如果不想修改现有策略，可以单独创建一个仅针对Hook Pod的网络策略，允许它访问数据库：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-migration-hook-db-access
spec:
  podSelector:
    matchLabels:
      hook-type: pre-install-migration # 匹配Hook Pod的标签
  policyTypes:
  - Egress
  egress:
  - to:
    - podSelector:
        matchLabels:
          app: database
      ports:
      - protocol: TCP
        port: 5432
  # 如果数据库在其他命名空间，需要添加namespaceSelector
  # - to:
  #   - namespaceSelector:
  #       matchLabels:
  #         name: db-namespace
  #     podSelector:
  #       matchLabels:
  #         app: database

3. 验证配置 #

• 应用修改后的网络策略：kubectl apply -f your-network-policy.yaml
• 触发Helm安装/升级，待Hook Pod启动后，测试数据库连接：

  kubectl exec -it <hook-pod-name> -- nc -zv <database-service-name> <database-port>
  

• 查看网络策略状态：kubectl describe networkpolicy <policy-name>，确认PodSelector正确匹配Hook Pod

注意事项 #

• 网络策略是命名空间级的，确保Hook Pod和数据库在同一命名空间，或者在策略中添加namespaceSelector跨命名空间匹配
• 若使用Calico等CNI插件，需确认插件已启用网络策略支持
• 检查Hook Pod的ServiceAccount是否有相关权限（部分场景下ServiceAccount会影响网络策略生效）

内容的提问来源于stack exchange，提问作者Shira Maximov