如何在Golang中配置容器网络策略_Golang容器网络管理与优化-Golang

Go程序无法直接配置NetworkPolicy，但可通过client-go操作Kubernetes API创建/更新/删除；需满足CNI支持、控制器就绪、命名空间启用等前提条件才能生效。

Go 语言本身不提供容器网络策略（NetworkPolicy）的配置能力——那是 Kubernetes 的 API 资源，由 kube-controller-manager 和 CNI 插件协同执行。你在 Go 程序里无法“配置 NetworkPolicy”本身，但可以用 Go 操作 Kubernetes API 来创建、更新或删除它。

用 client-go 创建 NetworkPolicy 对象

核心是构造一个符合 networking.k8s.io/v1 规范的 NetworkPolicy 结构体，并通过 client-go 提交到集群。

• 确保已安装 k8s.io/client-go v0.28+（适配你集群的 Kubernetes 版本）
• 使用 rest.InClusterConfig()（Pod 内）或 clientcmd.BuildConfigFromFlags()（本地调试）获取 config
• 用 networkingv1.NewForConfig(config) 获取 network policy client
• 注意 PolicyTypes 必须显式指定，比如 []networkingv1.PolicyType{networkingv1.PolicyTypeIngress}，空 slice 不被接受

示例关键字段：

policy := &networkingv1.NetworkPolicy{
    ObjectMeta: metav1.ObjectMeta{
        Name:      "allow-redis-only",
        Namespace: "default",
    },
    Spec: networkingv1.NetworkPolicySpec{
        PodSelector: metav1.LabelSelector{
            MatchLabels: map[string]string{"app": "web"},
        },
        PolicyTypes: []networkingv1.PolicyType{networkingv1.PolicyTypeIngress},
        Ingress: []networkingv1.NetworkPolicyIngressRule{{
            From: []networkingv1.NetworkPolicyPeer{{
                PodSelector: &metav1.LabelSelector{
                    MatchLabels: map[string]string{"app": "redis"},
                },
            }},
            Ports: []networkingv1.NetworkPolicyPort{{
                Protocol: &protocolTCP,
                Port:     &intstr.IntOrString{IntVal: 6379},
            }},
        }},
    },
}

NetworkPolicy 生效的前提条件

即使 Go 程序成功提交了资源，策略也不会生效，除非满足以下全部条件：