Networking Operator

프로세스

1. AWS Load Balancer Operator에 대한 클러스터 내에 새 프로젝트를 생성합니다.

   $ oc new-project aws-load-balancer-operator

   Copy to Clipboard Toggle word wrap

2. AWS Load Balancer Operator에 대한 AWS IAM 정책을 생성합니다.

   1. 적절한 IAM 정책을 다운로드합니다.

      $ curl -o ${SCRATCH}/operator-permission-policy.json https://raw.githubusercontent.com/openshift/aws-load-balancer-operator/refs/heads/main/hack/operator-permission-policy.json

      Copy to Clipboard Toggle word wrap

   2. Operator에 대한 권한 정책을 생성합니다.

      $ aws iam create-policy \
              --policy-name aws-load-balancer-operator-policy \
              --policy-document file://${SCRATCH}/operator-permission-policy.json \
              --region ${REGION}

      Copy to Clipboard Toggle word wrap

      출력에서 Operator 정책 ARN을 기록해 둡니다. 이 프로세스를 $OPERATOR_POLICY_ARN 이라고 합니다.

3. AWS Load Balancer Operator에 대한 AWS IAM 역할을 생성합니다.

   1. Operator 역할에 대한 신뢰 정책을 생성합니다.

      $ cat <<EOF > "${SCRATCH}/operator-trust-policy.json"
      {
       "Version": "2012-10-17",
       "Statement": [
       {
       "Effect": "Allow",
       "Condition": {
         "StringEquals" : {
           "${OIDC_ENDPOINT}:sub": ["system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-operator-controller-manager", "system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-controller-cluster"]
         }
       },
       "Principal": {
         "Federated": "arn:aws:iam::${AWS_ACCOUNT_ID}:oidc-provider/${OIDC_ENDPOINT}"
       },
       "Action": "sts:AssumeRoleWithWebIdentity"
       }
       ]
      }
      EOF

      Copy to Clipboard Toggle word wrap

   2. 신뢰 정책을 사용하여 Operator 역할을 생성합니다.

      $ aws iam create-role --role-name "${CLUSTER_NAME}-alb-operator" \
          --assume-role-policy-document "file://${SCRATCH}/operator-trust-policy.json"

      Copy to Clipboard Toggle word wrap

      출력에서 Operator 역할 ARN을 기록해 둡니다. 이 프로세스를 나머지 프로세스에 대해 $OPERATOR_ROLE_ARN 이라고 합니다.

   3. Operator 역할 및 정책을 연결합니다.

      $ aws iam attach-role-policy --role-name "${CLUSTER_NAME}-alb-operator" \
          --policy-arn $OPERATOR_POLICY_ARN

      Copy to Clipboard Toggle word wrap

4. OperatorGroup 및 Subscription 을 생성하여 AWS Load Balancer Operator를 설치합니다.

   $ cat <<EOF | oc apply -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     targetNamespaces: []
   ---
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     channel: stable-v1
     name: aws-load-balancer-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     config:
       env:
       - name: ROLEARN
         value: "${OPERATOR_ROLE_ARN}"
   EOF

   Copy to Clipboard Toggle word wrap

5. AWS Load Balancer Controller에 대한 AWS IAM 정책을 생성합니다.

   1. 적절한 IAM 정책을 다운로드합니다.

      $ curl -o ${SCRATCH}/controller-permission-policy.json https://raw.githubusercontent.com/kubernetes-sigs/aws-load-balancer-controller/v2.12.0/docs/install/iam_policy.json

      Copy to Clipboard Toggle word wrap

   2. 컨트롤러에 대한 권한 정책을 생성합니다.

      $ aws iam create-policy \
          --region ${REGION} \
          --policy-name aws-load-balancer-controller-policy \
          --policy-document file://${SCRATCH}/controller-permission-policy.json

      Copy to Clipboard Toggle word wrap

      출력에서 컨트롤러 정책 ARN을 기록해 둡니다. 이 프로세스를 $CONTROLLER_POLICY_ARN 이라고 합니다.

6. AWS Load Balancer Controller에 대한 AWS IAM 역할을 생성합니다.

   1. Controller 역할에 대한 신뢰 정책을 생성합니다.

      $ cat <<EOF > ${SCRATCH}/controller-trust-policy.json
      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::${AWS_ACCOUNT_ID}:oidc-provider/${OIDC_ENDPOINT}"
              },
              "Action": "sts:AssumeRoleWithWebIdentity",
              "Condition": {
                "StringEquals": {
                  "${OIDC_ENDPOINT}:sub": "system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-controller-cluster"
                  }
              }
            }
          ]
        }
      EOF

      Copy to Clipboard Toggle word wrap

   2. 신뢰 정책을 사용하여 Controller 역할을 생성합니다.

      CONTROLLER_ROLE_ARN=$(aws iam create-role --role-name "${CLUSTER_NAME}-albo-controller" \ --assume-role-policy-document "file://${SCRATCH}/controller-trust-policy.json" \ --query Role.Arn --output text) echo ${CONTROLLER_ROLE_ARN}

      Copy to Clipboard Toggle word wrap

      출력에서 Controller 역할 ARN을 기록해 둡니다. 이 프로세스를 $CONTROLLER_ROLE_ARN 이라고 합니다.

   3. 컨트롤러 역할 및 정책을 연결합니다.

      $ aws iam attach-role-policy \
          --role-name "${CLUSTER_NAME}-albo-controller" \
          --policy-arn ${CONTROLLER_POLICY_ARN}

      Copy to Clipboard Toggle word wrap

7. AWS Load Balancer 컨트롤러 인스턴스를 배포합니다.

   $ cat << EOF | oc apply -f -
   apiVersion: networking.olm.openshift.io/v1
   kind: AWSLoadBalancerController
   metadata:
    name: cluster
   spec:
    credentialsRequestConfig:
      stsIAMRoleARN: ${CONTROLLER_ROLE_ARN}
   EOF

   Copy to Clipboard Toggle word wrap
   참고

   여기에서 오류가 발생하면 1분 정도 기다린 후 다시 시도하면 Operator가 아직 설치를 완료하지 않은 것입니다.

8. Operator 및 컨트롤러 Pod가 둘 다 실행 중인지 확인합니다.

   $ oc -n aws-load-balancer-operator get pods

   Copy to Clipboard Toggle word wrap

   다음과 유사한 출력이 표시되지 않으면 잠시 기다렸다가 다시 시도하십시오.

   출력 예

   NAME                                                             READY   STATUS    RESTARTS   AGE
   aws-load-balancer-controller-cluster-6ddf658785-pdp5d            1/1     Running   0          99s
   aws-load-balancer-operator-controller-manager-577d9ffcb9-w6zqn   2/2     Running   0          2m4s

   Copy to Clipboard Toggle word wrap

프로세스

1. 새 프로젝트를 생성합니다.

   $ oc new-project hello-world

   Copy to Clipboard Toggle word wrap

2. hello-openshift 이미지를 기반으로 새 hello-world 애플리케이션을 생성합니다.

   $ oc new-app -n hello-world --image=docker.io/openshift/hello-openshift

   Copy to Clipboard Toggle word wrap

3. AWS Application Load Balancer(ALB)에 연결할 NodePort 서비스를 구성합니다.

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Service
   metadata:
     name: hello-openshift-nodeport
     namespace: hello-world
   spec:
     ports:
       - port: 80
         targetPort: 8080
         protocol: TCP
     type: NodePort
     selector:
       deployment: hello-openshift
   EOF

   Copy to Clipboard Toggle word wrap

4. 애플리케이션용 AWS ALB를 배포합니다.

   $ cat << EOF | oc apply -f -
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: hello-openshift-alb
     namespace: hello-world
     annotations:
       alb.ingress.kubernetes.io/scheme: internet-facing
   spec:
     ingressClassName: alb
     rules:
       - http:
           paths:
             - path: /
               pathType: Exact
               backend:
                 service:
                   name: hello-openshift-nodeport
                   port:
                     number: 80
   EOF

   Copy to Clipboard Toggle word wrap

5. 애플리케이션의 AWS ALB 끝점에 대한 액세스를 테스트합니다.

   참고

   ALB 프로비저닝에는 몇 분이 걸립니다. curl: (6) 호스트를 해결할 수 없는 오류가 발생하면 기다렸다가 다시 시도하십시오.

   $ ALB_INGRESS=$(oc -n hello-world get ingress hello-openshift-alb \
       -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
   $ curl "http://${ALB_INGRESS}"

   Copy to Clipboard Toggle word wrap

   출력 예

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

6. 애플리케이션용 AWS NLB(Network Load Balancer)를 배포합니다.

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Service
   metadata:
     name: hello-openshift-nlb
     namespace: hello-world
     annotations:
       service.beta.kubernetes.io/aws-load-balancer-type: external
       service.beta.kubernetes.io/aws-load-balancer-nlb-target-type: instance
       service.beta.kubernetes.io/aws-load-balancer-scheme: internet-facing
   spec:
     ports:
       - port: 80
         targetPort: 8080
         protocol: TCP
     type: LoadBalancer
     selector:
       deployment: hello-openshift
   EOF

   Copy to Clipboard Toggle word wrap

7. 애플리케이션의 NLB 끝점에 대한 액세스를 테스트합니다.

   참고

   NLB 프로비저닝에는 몇 분이 걸립니다. curl: (6) 호스트를 해결할 수 없는 오류가 발생하면 기다렸다가 다시 시도하십시오.

   $ NLB=$(oc -n hello-world get service hello-openshift-nlb \
     -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
   $ curl "http://${NLB}"

   Copy to Clipboard Toggle word wrap

   출력 예

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

8. 이제 샘플 애플리케이션 및 모든 리소스를 hello-world 네임스페이스에서 삭제할 수 있습니다.

   $ oc delete project hello-world

   Copy to Clipboard Toggle word wrap

프로세스

1. Operator 서브스크립션을 삭제합니다.

   $ oc delete subscription aws-load-balancer-operator -n aws-load-balancer-operator

   Copy to Clipboard Toggle word wrap

2. 관련 AWS IAM 역할을 분리하고 삭제합니다.

   $ aws iam detach-role-policy \
     --role-name "<cluster-id>-alb-operator" \
     --policy-arn <operator-policy-arn>
   $ aws iam delete-role \
     --role-name "<cluster-id>-alb-operator"

   Copy to Clipboard Toggle word wrap

3. AWS IAM 정책을 삭제합니다.

   $ aws iam delete-policy --policy-arn <operator-policy-arn>

   Copy to Clipboard Toggle word wrap

1. ingressnodefirewallconfig 라는 openshift-ingress-node-firewall 네임스페이스에 IngressNodeFirewallConfig 를 생성합니다.

2. 다음 명령을 실행하여 Ingress Node Firewall Operator 규칙을 배포합니다.

   $ oc apply -f rule.yaml

   Copy to Clipboard Toggle word wrap

프로세스

1. ingress-node-firewall-system 네임스페이스에 다음 라벨을 적용합니다.

   $ oc label namespace openshift-ingress-node-firewall \
       pod-security.kubernetes.io/enforce=privileged \
       pod-security.kubernetes.io/warn=privileged --overwrite

   Copy to Clipboard Toggle word wrap

2. ingressnodefirewallconfig 라는 IngressNodeFirewallConfig 오브젝트를 편집하고 ebpfProgramManagerMode 필드를 설정합니다.

   Ingress Node Firewall Operator 구성 오브젝트

   apiVersion: ingressnodefirewall.openshift.io/v1alpha1
   kind: IngressNodeFirewallConfig
   metadata:
     name: ingressnodefirewallconfig
     namespace: openshift-ingress-node-firewall
   spec:
     nodeSelector:
       node-role.kubernetes.io/worker: ""
     ebpfProgramManagerMode: <ebpf_mode>

   Copy to Clipboard Toggle word wrap

   다음과 같습니다.

   <ebpf_mode > : Ingress Node Firewall Operator에서 eBPF Manager Operator를 사용하여 eBPF 프로그램을 관리할지 여부를 지정합니다. true 또는 false 여야 합니다. 설정되지 않은 경우 eBPF Manager가 사용되지 않습니다.

프로세스

1. 다음 명령을 실행하여 현재 모든 규칙을 확인합니다.

   $ oc get ingressnodefirewall

   Copy to Clipboard Toggle word wrap

2. 반환된 < resource> 이름 중 하나를 선택하고 다음 명령을 실행하여 규칙 또는 구성을 확인합니다.

   $ oc get <resource> <name> -o yaml

   Copy to Clipboard Toggle word wrap