如何将Kubernetes容器IP暴露到其所属命名空间之外

认知澄清 #

你的推测仅在集群配置了对应网络隔离策略时成立：

• Kubernetes默认的Pod网络是扁平连通的，没有额外配置NetworkPolicy的前提下，全集群所有命名空间下的Pod都可以直接通过Pod IP 10.1.0.34 访问该数据库，不会被命名空间天然隔离。
• 只有当dbns命名空间下配置了限制该数据库Pod访问的NetworkPolicy，且准入规则仅放行同命名空间的流量时，才会出现仅dbns内部可访问的情况。

跨命名空间访问配置方案 #

优先推荐用Service而非固定Pod IP访问数据库，避免Pod重建/漂移导致IP变化引发连接故障，完整配置流程如下：

1. 为数据库创建ClusterIP类型Service

编写Service配置文件db-svc.yaml：

apiVersion: v1
kind: Service
metadata:
  name: mysql-svc
  namespace: dbns
spec:
  type: ClusterIP
  selector:
    # 替换为你实际数据库Pod/StatefulSet的标签键值对，用于匹配数据库实例
    app: mysql
  ports:
    - port: 3306 # 服务暴露的端口
      targetPort: 3306 # 数据库容器实际监听的端口

执行创建命令：
kubectl apply -f db-svc.yaml

创建完成后，jobland命名空间下的Job可以直接通过域名 mysql-svc.dbns.svc.cluster.local 访问数据库，无需依赖固定Pod IP。

2. 调整NetworkPolicy（如果存在访问限制）

如果确认现有NetworkPolicy阻止了跨命名空间访问，新增网络策略放行jobland命名空间的访问请求，编写allow-db-access.yaml：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-jobland-access-db
  namespace: dbns
spec:
  podSelector:
    matchLabels:
      # 替换为你实际数据库Pod的标签键值对
      app: mysql
  policyTypes:
    - Ingress
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: jobland
      ports:
        - protocol: TCP
          port: 3306 # 替换为实际数据库端口

执行生效命令：
kubectl apply -f allow-db-access.yaml

如果需要更细粒度的权限控制，可以额外添加podSelector规则，仅放行jobland下对应Job的Pod访问，无需放开整个命名空间权限。

内容的提问来源于stack exchange，提问作者simplezarg