apiVersion: networking.k8s.io/v1
# <string>指定api资源版本,格式group/version
kind: NetworkPolicy
# <string>指定资源类别
metadata:
# <Object>指定元数据,内嵌字段
  name: deny-all-ingress
  # <string>指定资源名称
  namespace: default
  # <string>指定名称空间,默认为default
spec:
# <Object>指定期望状态
  egress:
  # <[]Object> 定义出站规则- {}表示允许所有
  # 如果定义代表拒绝所有
  - to:
  # <[]Object> 对方目标地址,一般三选一，如果配置了3个则满足其一就会生效
    - namespaceSelector：
    # <Object> 名称空间选择器
      matchLabels:
      # <map[string]string> 支持给定多个键值对,格式如下
        app: myapp
        release: canary
      matchExpressions:
      # <[]Object>基于给的表达式来定义使用标签选择器,格式如下
        - {key: tier, operator: In, values: [cache]}
        # 支持一下操作符:
        # In,    NotIn:    字段的值必须非空列表
        # Exists, NotExists:    字段的值必须未空列表
    - ipBlock:
    # <Object> ip地址范围
      cidr: "192.168.1.0/24"
      # <string> -required- 指定ip地址,例如"192.168.1.0/24"
      except:
      # <[]string> 排除的ip地址,例如"192.168.1.1/24"
      - 192.168.1.1/24
    - podSelector:
    # <Object> 使用pod选择器匹配另外一组pod,二选一
      matchLabels:
      # <map[string]string> 支持给定多个键值对,格式如下
        app: myapp
        release: canary
      matchExpressions:
      # <[]Object>基于给的表达式来定义使用标签选择器,格式如下
        - {key: tier, operator: In, values: [cache]}
        # 支持一下操作符:
        # In,    NotIn:    字段的值必须非空列表
        # Exists, NotExists:    字段的值必须未空列表
    ports:
  # <[]Object> 对方目标定义端口
    - port: 80
    # <string> 端口
      protocol: TCP
    # <string> 端口协议TCP, UDP, or SCTP,默认TCP
  ingress:
  # <[]Object> 定义入站规则,如果设置- {}表示允许所有
  # 如果定义代表拒绝所有
  - from:
  # <[]Object> 对端pod目标地址，一般三选一，如果配置了3个则满足其一就会生效
    - namespaceSelector：
    # <Object> 名称空间选择器
      matchLabels:
      # <map[string]string> 支持给定多个键值对,格式如下
        app: myapp
        release: canary
      matchExpressions:
      # <[]Object>基于给的表达式来定义使用标签选择器,格式如下
        - {key: tier, operator: In, values: [cache]}
        # 支持一下操作符:
        # In,    NotIn:    字段的值必须非空列表
        # Exists, NotExists:    字段的值必须未空列表
    - ipBlock:
    # <Object> ip地址范围
      cidr: "192.168.1.0/24"
      # <string> -required- 指定ip地址,例如"192.168.1.0/24"
      except:
      # <[]string> 排除的ip地址,例如"192.168.1.1/24"
      - 192.168.1.1/24
    - podSelector:
    # <Object> 使用pod选择器匹配另外一组pod,二选一
      matchLabels:
      # <map[string]string> 支持给定多个键值对,格式如下
        app: myapp
        release: canary
      matchExpressions:
      # <[]Object>基于给的表达式来定义使用标签选择器,格式如下
        - {key: tier, operator: In, values: [cache]}
        # 支持一下操作符:
        # In,    NotIn:    字段的值必须非空列表
        # Exists, NotExists:    字段的值必须未空列表  
    ports:
  # <[]Object> 本地pod目标端口
    - port: 80
    # <string> 端口
      protocol: TCP
    # <string> 端口协议TCP, UDP, or SCTP,默认TCP    
  podSelector:
  # <Object> -required-应用在哪些pod对象
  # 设置{} 表示指定名称空间所有pod
    matchLabels:
    # <map[string]string> 支持给定多个键值对,格式如下
      app: myapp
      release: canary
    matchExpressions:
    # <[]Object>基于给的表达式来定义使用标签选择器,格式如下
      - {key: tier, operator: In, values: [cache]}
      # 支持一下操作符:
      # In,    NotIn:    字段的值必须非空列表
      # Exists, NotExists:    字段的值必须未空列表   
  policyTypes:
  - [Egress,Ingress]
  # <[]string> 策略类型,当入站与出站同时配置时只让其中之一生效
  # 一般情况下出入站规则不冲突,此项用于配置只让某个方向生效时使用
  # 默认Ingress生效
  # 如果指定Egress表示只有出站生效
  # 如果指定Ingress表示只有入站生效
  # 如果配置两个表示都生效