호스팅된 컨트롤 플레인

프로세스

1. 다음 명령을 실행하여 ConfigMap 리소스를 생성합니다.

   $ oc create -f <your-config-map-file.yaml>

   Copy to Clipboard Toggle word wrap

   < your-config-map-file.yaml >을 hcp-sizing-baseline 구성 맵이 포함된 YAML 파일의 이름으로 바꿉니다.

2. local-cluster 네임스페이스에 hcp-sizing-baseline 구성 맵을 생성하여 덮어쓸 측정값을 지정합니다. 구성 맵은 다음 YAML 파일과 유사할 수 있습니다.

   kind: ConfigMap
   apiVersion: v1
   metadata:
     name: hcp-sizing-baseline
     namespace: local-cluster
   data:
     incrementalCPUUsagePer1KQPS: "9.0"
     memoryRequestPerHCP: "18"
     minimumQPSPerHCP: "50.0"

   Copy to Clipboard Toggle word wrap

3. 다음 명령을 실행하여 hypershift-addon-agent 배포를 삭제하여 hypershift-addon-agent Pod를 다시 시작합니다.

   $ oc delete deployment hypershift-addon-agent \
     -n open-cluster-management-agent-addon

   Copy to Clipboard Toggle word wrap

1. 다음 명령을 실행하여 허브 클러스터에 로그인합니다.

   $ oc login

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 hypershift-addon-deploy-config 배포 구성 사양을 편집합니다.

   $ oc edit addondeploymentconfig hypershift-addon-deploy-config \
     -n multicluster-engine

   Copy to Clipboard Toggle word wrap

3. 다음 예와 같이 disableMetrics=true 사용자 지정 변수를 사양에 추가합니다.

   apiVersion: addon.open-cluster-management.io/v1alpha1
   kind: AddOnDeploymentConfig
   metadata:
     name: hypershift-addon-deploy-config
     namespace: multicluster-engine
   spec:
     customizedVariables:
     - name: hcMaxNumber
       value: "80"
     - name: hcThresholdNumber
       value: "60"
     - name: disableMetrics 

   1

   
       value: "true"

   Copy to Clipboard Toggle word wrap

   1

   disableMetrics=true 사용자 지정 변수는 신규 및 기존 hypershift-addon 관리 클러스터 애드온 모두에 대한 메트릭 서비스 모니터링을 비활성화합니다.

4. 다음 명령을 실행하여 구성 사양에 변경 사항을 적용합니다.

   $ oc apply -f <filename>.yaml

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 실행하여 hcp 바이너리를 다운로드하려면 URL을 가져옵니다.

   $ oc get ConsoleCLIDownload hcp-cli-download -o json | jq -r ".spec"

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 hcp 바이너리를 다운로드합니다.

   $ wget <hcp_cli_download_url> 

   1

   Copy to Clipboard Toggle word wrap

   1

   hcp_cli_download_url 을 이전 단계에서 얻은 URL로 바꿉니다.

3. 다음 명령을 실행하여 다운로드한 아카이브의 압축을 풉니다.

   $ tar xvzf hcp.tar.gz

   Copy to Clipboard Toggle word wrap

4. 다음 명령을 실행하여 hcp 바이너리 파일을 실행 가능하게 만듭니다.

   $ chmod +x hcp

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 hcp 바이너리 파일을 경로의 디렉터리로 이동합니다.

   $ sudo mv hcp /usr/local/bin/.

   Copy to Clipboard Toggle word wrap

프로세스

1. OpenShift Container Platform 웹 콘솔에서 도움말 아이콘 → 명령줄 툴 을 클릭합니다.
2. 플랫폼에 대한 hcp CLI 다운로드를 클릭합니다.

3. 다음 명령을 실행하여 다운로드한 아카이브의 압축을 풉니다.

   $ tar xvzf hcp.tar.gz

   Copy to Clipboard Toggle word wrap

4. 다음 명령을 실행하여 바이너리 파일을 실행 가능하게 만듭니다.

   $ chmod +x hcp

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 바이너리 파일을 경로의 디렉터리로 이동합니다.

   $ sudo mv hcp /usr/local/bin/.

   Copy to Clipboard Toggle word wrap

프로세스

1. 콘텐츠 게이트웨이로 이동하여 hcp 바이너리를 다운로드합니다.

2. 다음 명령을 실행하여 다운로드한 아카이브의 압축을 풉니다.

   $ tar xvzf hcp.tar.gz

   Copy to Clipboard Toggle word wrap

3. 다음 명령을 실행하여 hcp 바이너리 파일을 실행 가능하게 만듭니다.

   $ chmod +x hcp

   Copy to Clipboard Toggle word wrap

4. 다음 명령을 실행하여 hcp 바이너리 파일을 경로의 디렉터리로 이동합니다.

   $ sudo mv hcp /usr/local/bin/.

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 실행하여 기능을 활성화합니다.

   $ oc patch mce multiclusterengine --type=merge -p \
     '{"spec":{"overrides":{"components":[{"name":"hypershift","enabled": true}]}}}' 

   1

   Copy to Clipboard Toggle word wrap

   1

   기본 MultiClusterEngine 리소스 인스턴스 이름은 multiclusterengine 이지만 다음 명령을 실행하여 클러스터에서 MultiClusterEngine 이름을 가져올 수 있습니다. $ oc get mce.

2. 다음 명령을 실행하여 MultiClusterEngine 사용자 정의 리소스에서 hypershift 및 hypershift-local-hosting 기능이 활성화되어 있는지 확인합니다.

   $ oc get mce multiclusterengine -o yaml 

   1

   Copy to Clipboard Toggle word wrap

   1

   기본 MultiClusterEngine 리소스 인스턴스 이름은 multiclusterengine 이지만 다음 명령을 실행하여 클러스터에서 MultiClusterEngine 이름을 가져올 수 있습니다. $ oc get mce.

   출력 예

   apiVersion: multicluster.openshift.io/v1
   kind: MultiClusterEngine
   metadata:
     name: multiclusterengine
   spec:
     overrides:
       components:
       - name: hypershift
         enabled: true
       - name: hypershift-local-hosting
         enabled: true

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 입력하여 kubeconfig 파일을 생성합니다.

   $ hcp create kubeconfig --namespace <hosted_cluster_namespace> \
     --name <hosted_cluster_name> > <hosted_cluster_name>.kubeconfig

   Copy to Clipboard Toggle word wrap

2. kubeconfig 파일을 저장한 후 다음 명령을 입력하여 호스팅된 클러스터에 액세스할 수 있습니다.

   $ oc --kubeconfig <hosted_cluster_name>.kubeconfig get nodes

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 실행하여 클러스터의 호스트 OIDC 검색 문서에 액세스할 수 있는 S3 버킷을 생성합니다.

   $ aws s3api create-bucket --bucket <bucket_name> \

   1

   
     --create-bucket-configuration LocationConstraint=<region> \

   2

   
     --region <region> 

   3

   Copy to Clipboard Toggle word wrap

   1

   & lt;bucket_name >을 생성 중인 S3 버킷의 이름으로 바꿉니다.

   2 3

   us-east-1 리전 이외의 리전에서 버킷을 생성하려면 이 행을 포함하고 < region >을 사용하려는 리전으로 교체합니다. us-east-1 리전에 버킷을 생성하려면 이 행을 생략합니다.

   $ aws s3api delete-public-access-block --bucket <bucket_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   & lt;bucket_name >을 생성 중인 S3 버킷의 이름으로 바꿉니다.

   $ echo '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": "*",
               "Action": "s3:GetObject",
               "Resource": "arn:aws:s3:::<bucket_name>/*" 

   1

   
           }
       ]
   }' | envsubst > policy.json

   Copy to Clipboard Toggle word wrap

   1

   & lt;bucket_name >을 생성 중인 S3 버킷의 이름으로 바꿉니다.

   $ aws s3api put-bucket-policy --bucket <bucket_name> \

   1

   
     --policy file://policy.json

   Copy to Clipboard Toggle word wrap

   1

   & lt;bucket_name >을 생성 중인 S3 버킷의 이름으로 바꿉니다.

   참고

   Mac 컴퓨터를 사용하는 경우 정책이 작동하려면 버킷 이름을 내보내야 합니다.

2. HyperShift Operator에 대해 hypershift-operator-oidc-provider-s3-credentials 라는 OIDC S3 시크릿을 생성합니다.
3. 로컬 클러스터 네임스페이스에 시크릿을 저장합니다.

4. 다음 표를 참조하여 보안에 다음 필드가 포함되어 있는지 확인합니다.

   Expand

   표 4.1. AWS 시크릿의 필수 필드

   필드 이름	설명
   bucket	호스팅된 클러스터에 대한 호스트 OIDC 검색 문서에 대한 공용 액세스 권한이 있는 S3 버킷이 포함되어 있습니다.
   credentials	버킷에 액세스할 수 있는 기본 프로필의 자격 증명이 포함된 파일에 대한 참조입니다. 기본적으로 HyperShift는 기본 프로필만 사용하여 버킷 을 작동합니다.
   region	S3 버킷의 리전을 지정합니다.

   Show more

5. AWS 시크릿을 생성하려면 다음 명령을 실행합니다.

   $ oc create secret generic <secret_name> \
     --from-file=credentials=<path>/.aws/credentials \
     --from-literal=bucket=<s3_bucket> \
     --from-literal=region=<region> \
     -n local-cluster

   Copy to Clipboard Toggle word wrap
   참고

   보안에 대한 재해 복구 백업은 자동으로 활성화되지 않습니다. 재해 복구를 위해 hypershift-operator-oidc-provider-s3-credentials 시크릿을 백업할 수 있는 레이블을 추가하려면 다음 명령을 실행합니다.

   $ oc label secret hypershift-operator-oidc-provider-s3-credentials \
     -n local-cluster cluster.open-cluster-management.io/backup=true

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 실행하여 사용자의 Amazon 리소스 이름(ARN)을 가져옵니다.

   $ aws sts get-caller-identity --query "Arn" --output text

   Copy to Clipboard Toggle word wrap

   출력 예

   arn:aws:iam::1234567890:user/<aws_username>

   Copy to Clipboard Toggle word wrap

   다음 단계에서 이 출력을 < arn&gt;의 값으로 사용합니다.

2. 역할에 대한 신뢰 관계 구성이 포함된 JSON 파일을 생성합니다. 다음 예제를 참조하십시오.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<arn>" 

   1

   
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

   1

   & lt;arn >을 이전 단계에서 언급한 사용자의 ARN으로 바꿉니다.

3. 다음 명령을 실행하여 IAM(Identity and Access Management) 역할을 생성합니다.

   $ aws iam create-role \
     --role-name <name> \

   1

   
     --assume-role-policy-document file://<file_name>.json \

   2

   
     --query "Role.Arn"

   Copy to Clipboard Toggle word wrap

   1

   &lt ;name& gt;을 역할 이름(예: hcp-cli-role )으로 바꿉니다.

   2

   & lt;file_name >을 이전 단계에서 생성한 JSON 파일의 이름으로 바꿉니다.

   출력 예

   arn:aws:iam::820196288204:role/myrole

   Copy to Clipboard Toggle word wrap

4. 역할에 대한 다음 권한 정책이 포함된 policy.json 이라는 JSON 파일을 생성합니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "EC2",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateDhcpOptions",
                   "ec2:DeleteSubnet",
                   "ec2:ReplaceRouteTableAssociation",
                   "ec2:DescribeAddresses",
                   "ec2:DescribeInstances",
                   "ec2:DeleteVpcEndpoints",
                   "ec2:CreateNatGateway",
                   "ec2:CreateVpc",
                   "ec2:DescribeDhcpOptions",
                   "ec2:AttachInternetGateway",
                   "ec2:DeleteVpcEndpointServiceConfigurations",
                   "ec2:DeleteRouteTable",
                   "ec2:AssociateRouteTable",
                   "ec2:DescribeInternetGateways",
                   "ec2:DescribeAvailabilityZones",
                   "ec2:CreateRoute",
                   "ec2:CreateInternetGateway",
                   "ec2:RevokeSecurityGroupEgress",
                   "ec2:ModifyVpcAttribute",
                   "ec2:DeleteInternetGateway",
                   "ec2:DescribeVpcEndpointConnections",
                   "ec2:RejectVpcEndpointConnections",
                   "ec2:DescribeRouteTables",
                   "ec2:ReleaseAddress",
                   "ec2:AssociateDhcpOptions",
                   "ec2:TerminateInstances",
                   "ec2:CreateTags",
                   "ec2:DeleteRoute",
                   "ec2:CreateRouteTable",
                   "ec2:DetachInternetGateway",
                   "ec2:DescribeVpcEndpointServiceConfigurations",
                   "ec2:DescribeNatGateways",
                   "ec2:DisassociateRouteTable",
                   "ec2:AllocateAddress",
                   "ec2:DescribeSecurityGroups",
                   "ec2:RevokeSecurityGroupIngress",
                   "ec2:CreateVpcEndpoint",
                   "ec2:DescribeVpcs",
                   "ec2:DeleteSecurityGroup",
                   "ec2:DeleteDhcpOptions",
                   "ec2:DeleteNatGateway",
                   "ec2:DescribeVpcEndpoints",
                   "ec2:DeleteVpc",
                   "ec2:CreateSubnet",
                   "ec2:DescribeSubnets"
               ],
               "Resource": "*"
           },
           {
               "Sid": "ELB",
               "Effect": "Allow",
               "Action": [
                   "elasticloadbalancing:DeleteLoadBalancer",
                   "elasticloadbalancing:DescribeLoadBalancers",
                   "elasticloadbalancing:DescribeTargetGroups",
                   "elasticloadbalancing:DeleteTargetGroup"
               ],
               "Resource": "*"
           },
           {
               "Sid": "IAMPassRole",
               "Effect": "Allow",
               "Action": "iam:PassRole",
               "Resource": "arn:*:iam::*:role/*-worker-role",
               "Condition": {
                   "ForAnyValue:StringEqualsIfExists": {
                       "iam:PassedToService": "ec2.amazonaws.com"
                   }
               }
           },
           {
               "Sid": "IAM",
               "Effect": "Allow",
               "Action": [
                   "iam:CreateInstanceProfile",
                   "iam:DeleteInstanceProfile",
                   "iam:GetRole",
                   "iam:UpdateAssumeRolePolicy",
                   "iam:GetInstanceProfile",
                   "iam:TagRole",
                   "iam:RemoveRoleFromInstanceProfile",
                   "iam:CreateRole",
                   "iam:DeleteRole",
                   "iam:PutRolePolicy",
                   "iam:AddRoleToInstanceProfile",
                   "iam:CreateOpenIDConnectProvider",
                   "iam:ListOpenIDConnectProviders",
                   "iam:DeleteRolePolicy",
                   "iam:UpdateRole",
                   "iam:DeleteOpenIDConnectProvider",
                   "iam:GetRolePolicy"
               ],
               "Resource": "*"
           },
           {
               "Sid": "Route53",
               "Effect": "Allow",
               "Action": [
                   "route53:ListHostedZonesByVPC",
                   "route53:CreateHostedZone",
                   "route53:ListHostedZones",
                   "route53:ChangeResourceRecordSets",
                   "route53:ListResourceRecordSets",
                   "route53:DeleteHostedZone",
                   "route53:AssociateVPCWithHostedZone",
                   "route53:ListHostedZonesByName"
               ],
               "Resource": "*"
           },
           {
               "Sid": "S3",
               "Effect": "Allow",
               "Action": [
                   "s3:ListAllMyBuckets",
                   "s3:ListBucket",
                   "s3:DeleteObject",
                   "s3:DeleteBucket"
               ],
               "Resource": "*"
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 policy.json 파일을 역할에 연결합니다.

   $ aws iam put-role-policy \
     --role-name <role_name> \

   1

   
     --policy-name <policy_name> \

   2

   
     --policy-document file://policy.json 

   3

   Copy to Clipboard Toggle word wrap

   1

   & lt;role_name >을 역할 이름으로 바꿉니다.

   2

   &lt ;policy_name&gt;을 정책 이름으로 바꿉니다.

   3

   policy.json 파일에는 역할에 대한 권한 정책이 포함되어 있습니다.

6. 다음 명령을 실행하여 sts-creds.json 이라는 JSON 파일에서 STS 자격 증명을 검색합니다.

   $ aws sts get-session-token --output json > sts-creds.json

   Copy to Clipboard Toggle word wrap

   sts-creds.json 파일의 예

   {
       "Credentials": {
           "AccessKeyId": "<access_key_id",
           "SecretAccessKey": "<secret_access_key>”,
           "SessionToken": "<session_token>",
           "Expiration": "<time_stamp>"
       }
   }

   Copy to Clipboard Toggle word wrap

프로세스

1. HyperShift Operator에 대한 AWS 인증 정보 시크릿을 생성하고 hypershift-operator-private-link-credentials 로 이름을 지정합니다. 보안은 관리 클러스터로 사용 중인 관리 클러스터의 네임스페이스인 관리 클러스터 네임스페이스에 있어야 합니다. local-cluster 를 사용한 경우 local-cluster 네임스페이스에 시크릿을 생성합니다.
2. 다음 표를 참조하여 보안에 필수 필드가 포함되어 있는지 확인합니다.

프로세스

1. AWS에서 호스팅된 클러스터를 생성하려면 다음 명령을 실행합니다.

   $ hcp create cluster aws \
       --name <hosted_cluster_name> \

   1

   
       --infra-id <infra_id> \

   2

   
       --base-domain <basedomain> \

   3

   
       --sts-creds <path_to_sts_credential_file> \

   4

   
       --pull-secret <path_to_pull_secret> \

   5

   
       --region <region> \

   6

   
       --generate-ssh \
       --node-pool-replicas <node_pool_replica_count> \

   7

   
       --namespace <hosted_cluster_namespace> \

   8

   
       --role-arn <role_name> \

   9

   
       --render-into <file_name>.yaml 

   10

   Copy to Clipboard Toggle word wrap

   1

   호스팅된 클러스터의 이름을 지정합니다( 예: ).

   2

   인프라 이름을 지정합니다. < hosted_cluster_name> 및 < infra_ id>에 동일한 값을 제공해야 합니다. 그러지 않으면 Kubernetes Operator 콘솔의 다중 클러스터 엔진에 클러스터가 제대로 표시되지 않을 수 있습니다.

   3

   기본 도메인을 지정합니다(예: example.com ).

   4

   AWS STS 자격 증명 파일의 경로를 지정합니다(예: /home/user/sts-creds/sts-creds.json ).

   5

   풀 시크릿의 경로를 지정합니다(예: /user/name/pullsecret ).

   6

   AWS 리전 이름을 지정합니다(예: us-east-1 ).

   7

   노드 풀 복제본 수를 지정합니다(예: 3 ).

   8

   기본적으로 모든 HostedCluster 및 NodePool 사용자 정의 리소스는 클러스터 네임스페이스에 생성됩니다. --namespace <namespace > 매개변수를 사용하여 특정 네임스페이스에서 HostedCluster 및 NodePool 사용자 정의 리소스를 생성할 수 있습니다.

   9

   Amazon 리소스 이름(ARN)을 지정합니다(예: arn:aws:iam::820196288204:role/myrole ).

   10

   EC2 인스턴스가 공유 또는 단일 테넌트 하드웨어에서 실행되는지 여부를 표시하려면 이 필드를 포함합니다. --render-into 플래그는 Kubernetes 리소스를 이 필드에 지정하는 YAML 파일에 렌더링합니다. 그런 다음 다음 단계로 이동하여 YAML 파일을 편집합니다.

2. 이전 명령에 --render-into 플래그를 포함하는 경우 지정된 YAML 파일을 편집합니다. YAML 파일에서 NodePool 사양을 편집하여 다음 예와 유사하게 EC2 인스턴스를 공유 또는 단일 테넌트 하드웨어에서 실행해야 하는지 여부를 나타냅니다.

   YAML 파일의 예

   apiVersion: hypershift.openshift.io/v1beta1
   kind: NodePool
   metadata:
     name: <nodepool_name> 

   1

   
   spec:
     platform:
       aws:
         placement:
           tenancy: "default" 

   2

   Copy to Clipboard Toggle word wrap

   1

   NodePool 리소스의 이름을 지정합니다.

   2

   tenancy에 유효한 값을 지정합니다. "default", "dedicated" 또는 "host". 노드 풀 인스턴스가 공유 하드웨어에서 실행되는 경우 "default" 를 사용합니다. 각 노드 풀 인스턴스가 단일 테넌트 하드웨어에서 실행되는 경우 "dedicated" 를 사용합니다. 노드 풀 인스턴스가 사전 할당된 전용 호스트에서 실행되면 "host" 를 사용합니다.

검증

1. 호스팅 클러스터의 상태를 확인하여 AVAILABLE 의 값이 True 인지 확인합니다. 다음 명령을 실행합니다.

   $ oc get hostedclusters -n <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 노드 풀 목록을 가져옵니다.

   $ oc get nodepools --namespace <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 입력하여 사용자 정의 인증서로 보안을 생성합니다.

   $ oc create secret tls sample-hosted-kas-custom-cert \
     --cert=path/to/cert.crt \
     --key=path/to/key.key \
     -n <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

2. 다음 예와 같이 사용자 정의 인증서 세부 정보를 사용하여 HostedCluster 구성을 업데이트합니다.

   spec:
     configuration:
       apiServer:
         servingCerts:
           namedCertificates:
           - names: 

   1

   
             - api-custom-cert-sample-hosted.sample-hosted.example.com
             servingCertificate: 

   2

   
               name: sample-hosted-kas-custom-cert

   Copy to Clipboard Toggle word wrap

   1

   인증서가 유효한 DNS 이름 목록입니다.

   2

   사용자 정의 인증서가 포함된 보안의 이름입니다.

3. 다음 명령을 입력하여 HostedCluster 구성에 변경 사항을 적용합니다.

   $ oc apply -f <hosted_cluster_config>.yaml

   Copy to Clipboard Toggle word wrap