호스팅된 컨트롤 플레인

프로세스

1. 다음 명령을 실행하여 ConfigMap 리소스를 만듭니다.

   $ oc create -f <your-config-map-file.yaml>

   Copy to Clipboard Toggle word wrap

   <your-config-map-file.yaml>을 hcp-sizing-baseline 구성 맵이 포함된 YAML 파일 이름으로 바꾸세요.

2. 로컬 클러스터 네임스페이스에 hcp-sizing-baseline 구성 맵을 만들어 재정의하려는 측정값을 지정합니다. 구성 맵은 다음 YAML 파일과 유사할 수 있습니다.

   kind: ConfigMap
   apiVersion: v1
   metadata:
     name: hcp-sizing-baseline
     namespace: local-cluster
   data:
     incrementalCPUUsagePer1KQPS: "9.0"
     memoryRequestPerHCP: "18"
     minimumQPSPerHCP: "50.0"

   Copy to Clipboard Toggle word wrap

3. 다음 명령을 실행하여 hypershift-addon-agent 배포를 삭제하고 hypershift-addon-agent 포드를 다시 시작합니다.

   $ oc delete deployment hypershift-addon-agent \
     -n open-cluster-management-agent-addon

   Copy to Clipboard Toggle word wrap

1. 다음 명령을 실행하여 허브 클러스터에 로그인하세요.

   $ oc login

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 hypershift-addon-deploy-config 애드온 배포 구성 사양을 편집합니다.

   $ oc edit addondeploymentconfig hypershift-addon-deploy-config \
     -n multicluster-engine

   Copy to Clipboard Toggle word wrap

3. 다음 예와 같이 disableMetrics=true 사용자 정의 변수를 사양에 추가합니다.

   apiVersion: addon.open-cluster-management.io/v1alpha1
   kind: AddOnDeploymentConfig
   metadata:
     name: hypershift-addon-deploy-config
     namespace: multicluster-engine
   spec:
     customizedVariables:
     - name: hcMaxNumber
       value: "80"
     - name: hcThresholdNumber
       value: "60"
     - name: disableMetrics 

   1

   
       value: "true"

   Copy to Clipboard Toggle word wrap

   1

   disableMetrics=true 사용자 정의 변수는 새 HyperShift-Addon 관리 클러스터 애드온과 기존 HyperShift-Addon 관리 클러스터 애드온 모두에 대한 메트릭 서비스 모니터링을 비활성화합니다.

4. 다음 명령을 실행하여 구성 사양에 변경 사항을 적용합니다.

   $ oc apply -f <filename>.yaml

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 실행하여 hcp 바이너리를 다운로드할 수 있는 URL을 얻으세요.

   $ oc get ConsoleCLIDownload hcp-cli-download -o json | jq -r ".spec"

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 hcp 바이너리를 다운로드하세요.

   $ wget <hcp_cli_download_url> 

   1

   Copy to Clipboard Toggle word wrap

   1

   hcp_cli_download_url을 이전 단계에서 얻은 URL로 바꾸세요.

3. 다음 명령을 실행하여 다운로드한 아카이브의 압축을 풉니다.

   $ tar xvzf hcp.tar.gz

   Copy to Clipboard Toggle word wrap

4. 다음 명령을 실행하여 hcp 바이너리 파일을 실행 가능하게 만듭니다.

   $ chmod +x hcp

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 hcp 바이너리 파일을 경로의 디렉토리로 이동합니다.

   $ sudo mv hcp /usr/local/bin/.

   Copy to Clipboard Toggle word wrap

프로세스

1. OpenShift Container Platform 웹 콘솔에서 도움말 아이콘 → 명령줄 도구를 클릭합니다.
2. 플랫폼에 맞는 hcp CLI 다운로드를 클릭하세요.

3. 다음 명령을 실행하여 다운로드한 아카이브의 압축을 풉니다.

   $ tar xvzf hcp.tar.gz

   Copy to Clipboard Toggle word wrap

4. 다음 명령을 실행하여 바이너리 파일을 실행 가능하게 만듭니다.

   $ chmod +x hcp

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 바이너리 파일을 경로에 있는 디렉토리로 이동합니다.

   $ sudo mv hcp /usr/local/bin/.

   Copy to Clipboard Toggle word wrap

프로세스

1. 콘텐츠 게이트웨이 로 이동하여 hcp 바이너리를 다운로드합니다.

2. 다음 명령을 실행하여 다운로드한 아카이브의 압축을 풉니다.

   $ tar xvzf hcp.tar.gz

   Copy to Clipboard Toggle word wrap

3. 다음 명령을 실행하여 hcp 바이너리 파일을 실행 가능하게 만듭니다.

   $ chmod +x hcp

   Copy to Clipboard Toggle word wrap

4. 다음 명령을 실행하여 hcp 바이너리 파일을 경로의 디렉토리로 이동합니다.

   $ sudo mv hcp /usr/local/bin/.

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 실행하여 기능을 활성화합니다.

   $ oc patch mce multiclusterengine --type=merge -p \
     '{"spec":{"overrides":{"components":[{"name":"hypershift","enabled": true}]}}}' 

   1

   Copy to Clipboard Toggle word wrap

   1

   기본 MultiClusterEngine 리소스 인스턴스 이름은 multiclusterengine 이지만 다음 명령을 실행하여 클러스터에서 MultiClusterEngine 이름을 가져올 수 있습니다. $ oc get mce.

2. 다음 명령을 실행하여 MultiClusterEngine 사용자 정의 리소스에서 hypershift 및 hypershift-local-hosting 기능이 활성화되어 있는지 확인합니다.

   $ oc get mce multiclusterengine -o yaml 

   1

   Copy to Clipboard Toggle word wrap

   1

   기본 MultiClusterEngine 리소스 인스턴스 이름은 multiclusterengine 이지만 다음 명령을 실행하여 클러스터에서 MultiClusterEngine 이름을 가져올 수 있습니다. $ oc get mce.

   출력 예

   apiVersion: multicluster.openshift.io/v1
   kind: MultiClusterEngine
   metadata:
     name: multiclusterengine
   spec:
     overrides:
       components:
       - name: hypershift
         enabled: true
       - name: hypershift-local-hosting
         enabled: true

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 실행하여 클러스터의 호스트 OIDC 검색 문서에 액세스할 수 있는 S3 버킷을 생성합니다.

   $ aws s3api create-bucket --bucket <bucket_name> \

   1

   
     --create-bucket-configuration LocationConstraint=<region> \

   2

   
     --region <region> 

   3

   Copy to Clipboard Toggle word wrap

   1

   & lt;bucket_name >을 생성 중인 S3 버킷의 이름으로 바꿉니다.

   2 3

   us-east-1 리전 이외의 리전에서 버킷을 생성하려면 이 행을 포함하고 < region >을 사용하려는 리전으로 교체합니다. us-east-1 리전에 버킷을 생성하려면 이 행을 생략합니다.

   $ aws s3api delete-public-access-block --bucket <bucket_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   & lt;bucket_name >을 생성 중인 S3 버킷의 이름으로 바꿉니다.

   $ echo '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": "*",
               "Action": "s3:GetObject",
               "Resource": "arn:aws:s3:::<bucket_name>/*" 

   1

   
           }
       ]
   }' | envsubst > policy.json

   Copy to Clipboard Toggle word wrap

   1

   & lt;bucket_name >을 생성 중인 S3 버킷의 이름으로 바꿉니다.

   $ aws s3api put-bucket-policy --bucket <bucket_name> \

   1

   
     --policy file://policy.json

   Copy to Clipboard Toggle word wrap

   1

   & lt;bucket_name >을 생성 중인 S3 버킷의 이름으로 바꿉니다.

   참고

   Mac 컴퓨터를 사용하는 경우 정책이 작동하려면 버킷 이름을 내보내야 합니다.

2. HyperShift Operator에 대해 hypershift-operator-oidc-provider-s3-credentials 라는 OIDC S3 시크릿을 생성합니다.
3. 로컬 클러스터 네임스페이스에 시크릿을 저장합니다.

4. 다음 표를 참조하여 보안에 다음 필드가 포함되어 있는지 확인합니다.

   Expand

   표 4.1. AWS 시크릿의 필수 필드

   필드 이름	설명
   bucket	호스팅된 클러스터에 대한 호스트 OIDC 검색 문서에 대한 공용 액세스 권한이 있는 S3 버킷이 포함되어 있습니다.
   credentials	버킷에 액세스할 수 있는 기본 프로필의 자격 증명이 포함된 파일에 대한 참조입니다. 기본적으로 HyperShift는 기본 프로필만 사용하여 버킷 을 작동합니다.
   region	S3 버킷의 리전을 지정합니다.

   Show more

5. AWS 시크릿을 생성하려면 다음 명령을 실행합니다.

   $ oc create secret generic <secret_name> \
     --from-file=credentials=<path>/.aws/credentials \
     --from-literal=bucket=<s3_bucket> \
     --from-literal=region=<region> \
     -n local-cluster

   Copy to Clipboard Toggle word wrap
   참고

   보안에 대한 재해 복구 백업은 자동으로 활성화되지 않습니다. 재해 복구를 위해 hypershift-operator-oidc-provider-s3-credentials 시크릿을 백업할 수 있는 레이블을 추가하려면 다음 명령을 실행합니다.

   $ oc label secret hypershift-operator-oidc-provider-s3-credentials \
     -n local-cluster cluster.open-cluster-management.io/backup=true

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 실행하여 사용자의 Amazon 리소스 이름(ARN)을 가져옵니다.

   $ aws sts get-caller-identity --query "Arn" --output text

   Copy to Clipboard Toggle word wrap

   출력 예

   arn:aws:iam::1234567890:user/<aws_username>

   Copy to Clipboard Toggle word wrap

   다음 단계에서 이 출력을 < arn&gt;의 값으로 사용합니다.

2. 역할에 대한 신뢰 관계 구성이 포함된 JSON 파일을 생성합니다. 다음 예제를 참조하십시오.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<arn>" 

   1

   
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

   1

   & lt;arn >을 이전 단계에서 언급한 사용자의 ARN으로 바꿉니다.

3. 다음 명령을 실행하여 IAM(Identity and Access Management) 역할을 생성합니다.

   $ aws iam create-role \
     --role-name <name> \

   1

   
     --assume-role-policy-document file://<file_name>.json \

   2

   
     --query "Role.Arn"

   Copy to Clipboard Toggle word wrap

   1

   &lt ;name& gt;을 역할 이름(예: hcp-cli-role )으로 바꿉니다.

   2

   & lt;file_name >을 이전 단계에서 생성한 JSON 파일의 이름으로 바꿉니다.

   출력 예

   arn:aws:iam::820196288204:role/myrole

   Copy to Clipboard Toggle word wrap

4. 역할에 대한 다음 권한 정책이 포함된 policy.json 이라는 JSON 파일을 생성합니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "EC2",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateDhcpOptions",
                   "ec2:DeleteSubnet",
                   "ec2:ReplaceRouteTableAssociation",
                   "ec2:DescribeAddresses",
                   "ec2:DescribeInstances",
                   "ec2:DeleteVpcEndpoints",
                   "ec2:CreateNatGateway",
                   "ec2:CreateVpc",
                   "ec2:DescribeDhcpOptions",
                   "ec2:AttachInternetGateway",
                   "ec2:DeleteVpcEndpointServiceConfigurations",
                   "ec2:DeleteRouteTable",
                   "ec2:AssociateRouteTable",
                   "ec2:DescribeInternetGateways",
                   "ec2:DescribeAvailabilityZones",
                   "ec2:CreateRoute",
                   "ec2:CreateInternetGateway",
                   "ec2:RevokeSecurityGroupEgress",
                   "ec2:ModifyVpcAttribute",
                   "ec2:DeleteInternetGateway",
                   "ec2:DescribeVpcEndpointConnections",
                   "ec2:RejectVpcEndpointConnections",
                   "ec2:DescribeRouteTables",
                   "ec2:ReleaseAddress",
                   "ec2:AssociateDhcpOptions",
                   "ec2:TerminateInstances",
                   "ec2:CreateTags",
                   "ec2:DeleteRoute",
                   "ec2:CreateRouteTable",
                   "ec2:DetachInternetGateway",
                   "ec2:DescribeVpcEndpointServiceConfigurations",
                   "ec2:DescribeNatGateways",
                   "ec2:DisassociateRouteTable",
                   "ec2:AllocateAddress",
                   "ec2:DescribeSecurityGroups",
                   "ec2:RevokeSecurityGroupIngress",
                   "ec2:CreateVpcEndpoint",
                   "ec2:DescribeVpcs",
                   "ec2:DeleteSecurityGroup",
                   "ec2:DeleteDhcpOptions",
                   "ec2:DeleteNatGateway",
                   "ec2:DescribeVpcEndpoints",
                   "ec2:DeleteVpc",
                   "ec2:CreateSubnet",
                   "ec2:DescribeSubnets"
               ],
               "Resource": "*"
           },
           {
               "Sid": "ELB",
               "Effect": "Allow",
               "Action": [
                   "elasticloadbalancing:DeleteLoadBalancer",
                   "elasticloadbalancing:DescribeLoadBalancers",
                   "elasticloadbalancing:DescribeTargetGroups",
                   "elasticloadbalancing:DeleteTargetGroup"
               ],
               "Resource": "*"
           },
           {
               "Sid": "IAMPassRole",
               "Effect": "Allow",
               "Action": "iam:PassRole",
               "Resource": "arn:*:iam::*:role/*-worker-role",
               "Condition": {
                   "ForAnyValue:StringEqualsIfExists": {
                       "iam:PassedToService": "ec2.amazonaws.com"
                   }
               }
           },
           {
               "Sid": "IAM",
               "Effect": "Allow",
               "Action": [
                   "iam:CreateInstanceProfile",
                   "iam:DeleteInstanceProfile",
                   "iam:GetRole",
                   "iam:UpdateAssumeRolePolicy",
                   "iam:GetInstanceProfile",
                   "iam:TagRole",
                   "iam:RemoveRoleFromInstanceProfile",
                   "iam:CreateRole",
                   "iam:DeleteRole",
                   "iam:PutRolePolicy",
                   "iam:AddRoleToInstanceProfile",
                   "iam:CreateOpenIDConnectProvider",
                   "iam:ListOpenIDConnectProviders",
                   "iam:DeleteRolePolicy",
                   "iam:UpdateRole",
                   "iam:DeleteOpenIDConnectProvider",
                   "iam:GetRolePolicy"
               ],
               "Resource": "*"
           },
           {
               "Sid": "Route53",
               "Effect": "Allow",
               "Action": [
                   "route53:ListHostedZonesByVPC",
                   "route53:CreateHostedZone",
                   "route53:ListHostedZones",
                   "route53:ChangeResourceRecordSets",
                   "route53:ListResourceRecordSets",
                   "route53:DeleteHostedZone",
                   "route53:AssociateVPCWithHostedZone",
                   "route53:ListHostedZonesByName"
               ],
               "Resource": "*"
           },
           {
               "Sid": "S3",
               "Effect": "Allow",
               "Action": [
                   "s3:ListAllMyBuckets",
                   "s3:ListBucket",
                   "s3:DeleteObject",
                   "s3:DeleteBucket"
               ],
               "Resource": "*"
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 policy.json 파일을 역할에 연결합니다.

   $ aws iam put-role-policy \
     --role-name <role_name> \

   1

   
     --policy-name <policy_name> \

   2

   
     --policy-document file://policy.json 

   3

   Copy to Clipboard Toggle word wrap

   1

   & lt;role_name >을 역할 이름으로 바꿉니다.

   2

   &lt ;policy_name&gt;을 정책 이름으로 바꿉니다.

   3

   policy.json 파일에는 역할에 대한 권한 정책이 포함되어 있습니다.

6. 다음 명령을 실행하여 sts-creds.json 이라는 JSON 파일에서 STS 자격 증명을 검색합니다.

   $ aws sts get-session-token --output json > sts-creds.json

   Copy to Clipboard Toggle word wrap

   sts-creds.json 파일의 예

   {
       "Credentials": {
           "AccessKeyId": "<access_key_id",
           "SecretAccessKey": "<secret_access_key>”,
           "SessionToken": "<session_token>",
           "Expiration": "<time_stamp>"
       }
   }

   Copy to Clipboard Toggle word wrap

프로세스

1. HyperShift Operator에 대한 AWS 인증 정보 시크릿을 생성하고 hypershift-operator-private-link-credentials 로 이름을 지정합니다. 보안은 관리 클러스터로 사용 중인 관리 클러스터의 네임스페이스인 관리 클러스터 네임스페이스에 있어야 합니다. local-cluster 를 사용한 경우 local-cluster 네임스페이스에 시크릿을 생성합니다.
2. 다음 표를 참조하여 보안에 필수 필드가 포함되어 있는지 확인합니다.

프로세스

1. AWS에서 호스팅 클러스터를 만들려면 다음 명령을 실행하세요.

   $ hcp create cluster aws \
       --name <hosted_cluster_name> \

   1

   
       --infra-id <infra_id> \

   2

   
       --base-domain <basedomain> \

   3

   
       --sts-creds <path_to_sts_credential_file> \

   4

   
       --pull-secret <path_to_pull_secret> \

   5

   
       --region <region> \

   6

   
       --generate-ssh \
       --node-pool-replicas <node_pool_replica_count> \

   7

   
       --namespace <hosted_cluster_namespace> \

   8

   
       --role-arn <role_name> \

   9

   
       --render-into <file_name>.yaml 

   10

   Copy to Clipboard Toggle word wrap

   1

   호스팅된 클러스터의 이름을 지정합니다(예: ) .

   2

   인프라 이름을 지정하세요. <hosted_cluster_name> 과 <infra_id> 에 동일한 값을 제공해야 합니다. 그렇지 않으면 클러스터가 Kubernetes Operator 콘솔의 멀티클러스터 엔진에 올바르게 나타나지 않을 수 있습니다.

   3

   기본 도메인을 지정하세요(예: example.com ).

   4

   AWS STS 자격 증명 파일의 경로를 지정합니다(예: /home/user/sts-creds/sts-creds.json ).

   5

   예를 들어 /user/name/pullsecret 과 같이 풀 시크릿의 경로를 지정합니다.

   6

   AWS 지역 이름을 지정합니다(예: us-east-1) .

   7

   노드 풀 복제본 수를 지정합니다(예: 3 ).

   8

   기본적으로 모든 HostedCluster 및 NodePool 사용자 정의 리소스는 클러스터 네임스페이스에 생성됩니다. --namespace <네임스페이스> 매개변수를 사용하면 특정 네임스페이스에 HostedCluster 및 NodePool 사용자 정의 리소스를 만들 수 있습니다.

   9

   Amazon 리소스 이름(ARN)을 지정합니다(예: arn:aws:iam::820196288204:role/myrole ).

   10

   EC2 인스턴스가 공유 또는 단일 테넌트 하드웨어에서 실행되는지 여부를 표시하려면 이 필드를 포함합니다. --render-into 플래그는 이 필드에 지정한 YAML 파일에 Kubernetes 리소스를 렌더링합니다. 그런 다음 다음 단계로 진행하여 YAML 파일을 편집합니다.

2. 이전 명령에 --render-into 플래그를 포함한 경우 지정된 YAML 파일을 편집합니다. 다음 예와 유사하게 EC2 인스턴스를 공유 또는 단일 테넌트 하드웨어에서 실행해야 하는지 여부를 나타내기 위해 YAML 파일에서 NodePool 사양을 편집합니다.

   YAML 파일 예시

   apiVersion: hypershift.openshift.io/v1beta1
   kind: NodePool
   metadata:
     name: <nodepool_name> 

   1

   
   spec:
     platform:
       aws:
         placement:
           tenancy: "default" 

   2

   Copy to Clipboard Toggle word wrap

   1

   NodePool 리소스의 이름을 지정합니다.

   2

   테넌시에 유효한 값을 지정하세요: "기본" , "전용" 또는 "호스트" . 노드 풀 인스턴스가 공유 하드웨어에서 실행되는 경우 "기본값"을 사용합니다. 각 노드 풀 인스턴스가 단일 테넌트 하드웨어에서 실행되는 경우 "전용"을 사용합니다. 노드 풀 인스턴스가 사전 할당된 전용 호스트에서 실행되는 경우 "호스트"를 사용합니다.

검증

1. 호스팅된 클러스터의 상태를 확인하여 AVAILABLE 값이 True 인지 확인하세요. 다음 명령을 실행합니다.

   $ oc get hostedclusters -n <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 노드 풀 목록을 가져옵니다.

   $ oc get nodepools --namespace <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 입력하여 사용자 지정 인증서로 비밀을 만듭니다.

   $ oc create secret tls sample-hosted-kas-custom-cert \
     --cert=path/to/cert.crt \
     --key=path/to/key.key \
     -n <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

2. 다음 예와 같이 사용자 지정 인증서 세부 정보로 HostedCluster 구성을 업데이트합니다.

   spec:
     configuration:
       apiServer:
         servingCerts:
           namedCertificates:
           - names: 

   1

   
             - api-custom-cert-sample-hosted.sample-hosted.example.com
             servingCertificate: 

   2

   
               name: sample-hosted-kas-custom-cert

   Copy to Clipboard Toggle word wrap

   1

   인증서가 유효한 DNS 이름 목록입니다.

   2

   사용자 지정 인증서가 포함된 비밀의 이름입니다.

3. 다음 명령을 입력하여 HostedCluster 구성에 변경 사항을 적용합니다.

   $ oc apply -f <hosted_cluster_config>.yaml

   Copy to Clipboard Toggle word wrap