設定

手順

1. /etc/microshift/ ディレクトリーにある指定された config.yaml.default ファイルのコピーを作成し (まだ作成していない場合)、config.yaml という名前を付けます。

2. 新しい MicroShift の config.yaml を /etc/microshift/ ディレクトリーに保持します。config.yaml ファイルは、MicroShift サービスが起動するたびに読み取られます。

   注記

   これを作成すると、config.yaml ファイルは組み込み設定よりも優先されます。

3. MicroShift YAML の network セクションのデフォルト値を、有効な値に置き換えます。

   シングルスタック IPv6 ネットワーク設定の例

   apiServer:
   # ...
   network:
     clusterNetwork:
     - fd01::/48 

   1

   
     serviceNetwork:
     - fd02::/112 

   2

   
   node:
     nodeIP: 2600:1f14:1c48:ee00:2d76:3190:5bc2:5aef 

   3

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   64 未満の CIDR 値で clusterNetwork を指定します。

   2

   接頭辞が 112 である IPv6 CIDR を指定します。Kubernetes は最低レベルの 16 ビットのみを使用します。接頭辞が 112 の場合、IP アドレスは 112 から 128 ビットに割り当てられます。

   3

   ノード IP アドレスの例。有効な値は、IPv6 アドレスファミリーの IP アドレスです。IPv4 ネットワークも存在する場合に限り、IPv6 アドレスを指定する必要があります。IPv4 ネットワークが存在しない場合、MicroShift サービスは再起動時にこの値を自動的に入力します。

4. その他の必要な設定を完了してから、次のコマンドを実行して MicroShift を起動します。

   $ sudo systemctl start microshift

   Copy to Clipboard Toggle word wrap

検証

1. 次のコマンドを実行して、ノードリソースで定義されたネットワークを取得します。

   $ oc get node -o jsonpath='{.items[].spec.podCIDRs[]}'

   Copy to Clipboard Toggle word wrap

   出力例

   fd01::/48

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、Pod のステータスを取得します。

   $ oc get pod -A -o wide

   Copy to Clipboard Toggle word wrap

   出力例

   NAMESPACE                  NAME                                      READY   STATUS    RESTARTS   AGE   IP                      NODE           NOMINATED NODE   READINESS GATES
   kube-system                csi-snapshot-controller-bb7cb654b-rqrt6   1/1     Running   0          65s   fd01:0:0:1::5           microshift-9   <none>           <none>
   openshift-dns              dns-default-cjn66                         2/2     Running   0          62s   fd01:0:0:1::9           microshift-9   <none>           <none>
   openshift-dns              node-resolver-ppnjb                       1/1     Running   0          63s   2001:db9:ca7:ff::1db8   microshift-9   <none>           <none>
   openshift-ingress          router-default-6d97d7b8b6-wdtmg           1/1     Running   0          61s   fd01:0:0:1::8           microshift-9   <none>           <none>
   openshift-ovn-kubernetes   ovnkube-master-gfvp5                      4/4     Running   0          63s   2001:db9:ca7:ff::1db8   microshift-9   <none>           <none>
   openshift-ovn-kubernetes   ovnkube-node-bnpjh                        1/1     Running   0          63s   2001:db9:ca7:ff::1db8   microshift-9   <none>           <none>
   openshift-service-ca       service-ca-5d7bd9db6-j25bd                1/1     Running   0          60s   fd01:0:0:1::4           microshift-9   <none>           <none>
   openshift-storage          lvms-operator-656cd9b59b-bwr47            1/1     Running   0          63s   fd01:0:0:1::7           microshift-9   <none>           <none>
   openshift-storage          vg-manager-f7dmk                          1/1     Running   0          27s   fd01:0:0:1::a           microshift-9   <none>           <none>

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、サービスのステータスを取得します。

   $ oc get svc -A

   Copy to Clipboard Toggle word wrap

   出力例

   NAMESPACE           NAME                            TYPE           CLUSTER-IP   EXTERNAL-IP                                             PORT(S)                      AGE
   default             kubernetes                      ClusterIP      fd02::1      <none>                                                  443/TCP                      3m42s
   openshift-dns       dns-default                     ClusterIP      fd02::a      <none>                                                  53/UDP,53/TCP,9154/TCP       2m58s
   openshift-ingress   router-default                  LoadBalancer   fd02::f2e6   2001:db9:ca7:ff::1db8,fd01:0:0:1::2,fd02::1:0,fd69::2   80:31133/TCP,443:31996/TCP   2m58s
   openshift-ingress   router-internal-default         ClusterIP      fd02::c55e   <none>                                                  80/TCP,443/TCP,1936/TCP      2m58s
   openshift-storage   lvms-operator-metrics-service   ClusterIP      fd02::7afb   <none>                                                  443/TCP                      2m58s
   openshift-storage   lvms-webhook-service            ClusterIP      fd02::d8dd   <none>                                                  443/TCP                      2m58s
   openshift-storage   vg-manager-metrics-service      ClusterIP      fd02::fc1    <none>                                                  443/TCP                      2m58s

   Copy to Clipboard Toggle word wrap

手順

1. /etc/microshift/ ディレクトリーにある指定された config.yaml.default ファイルのコピーを作成し (まだ作成していない場合)、config.yaml という名前を付けます。

2. 新しい MicroShift の config.yaml を /etc/microshift/ ディレクトリーに保持します。config.yaml ファイルは、MicroShift サービスが起動するたびに読み取られます。

   注記

   これを作成すると、config.yaml ファイルは組み込み設定よりも優先されます。

3. MicroShift を起動していない場合は、MicroShift YAML の network セクションのデフォルト値を有効な値に置き換えます。

   ネットワーク割り当てを使用したデュアルスタック IPv6 ネットワーク設定の例

   apiServer:
   # ...
   apiServer:
     subjectAltNames:
     - 192.168.113.117
     - 2001:db9:ca7:ff::1db8
   network:
     clusterNetwork:
     - 10.42.0.0/16
     - fd01::/48 

   1

   
     serviceNetwork:
     - 10.43.0.0/16
     - fd02::/112 

   2

   
   node:
     nodeIP: 192.168.113.117 

   3

   
     nodeIPv6: 2001:db9:ca7:ff::1db8 

   4

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   64 未満の CIDR 値で IPv6 clusterNetwork を指定します。

   2

   接頭辞が 112 である IPv6 CIDR を指定します。Kubernetes は最低レベルの 16 ビットのみを使用します。接頭辞が 112 の場合、IP アドレスは 112 から 128 ビットに割り当てられます。

   3

   ノード IP アドレスの例。IPv4 アドレスファミリーである必要があります。

   4

   デュアルスタック設定のノード IP アドレスの例。IPv6 アドレスファミリーである必要があります。デュアルスタックネットワークでのみ設定できます。

4. 必要なその他の MicroShift 設定を完了してから、次のコマンドを実行して MicroShift を起動します。

   $ sudo systemctl start microshift

   Copy to Clipboard Toggle word wrap
5. 必要に応じてアプリケーション Pod とサービスの IP ファミリーポリシーをリセットし、それらのアプリケーション Pod とサービスを再起動してデュアルスタックネットワークを有効化します。簡単な例は、「アプリケーション Pod およびサービスの IP ファミリーポリシーのリセット」を参照してください。

検証

1. 次の手順に従って、すべてのシステムサービスと Pod に 2 つの IP アドレス (ファミリーごとに 1 つずつ) があることを確認できます。

   1. 次のコマンドを実行して、ノードリソースで定義されたネットワークを取得します。

      $ oc get pod -n openshift-ingress router-default-5b75594b4-w7w6s -o jsonpath='{.status.podIPs}'

      Copy to Clipboard Toggle word wrap

      出力例

      [{"ip":"10.42.0.4"},{"ip":"fd01:0:0:1::4"}]

      Copy to Clipboard Toggle word wrap

   2. 次のコマンドを実行して、ホストネットワーク Pod によって定義されたネットワークを取得します。

      $ oc get pod -n openshift-ovn-kubernetes ovnkube-master-2fm2k -o jsonpath='{.status.podIPs}'

      Copy to Clipboard Toggle word wrap

      出力例

      [{"ip":"192.168.113.117"},{"ip":"2001:db9:ca7:ff::1db8"}]

      Copy to Clipboard Toggle word wrap

手順

1. /etc/microshift/ ディレクトリーにある指定された config.yaml.default ファイルのコピーを作成し (まだ作成していない場合)、config.yaml という名前を付けます。

2. 新しい MicroShift の config.yaml を /etc/microshift/ ディレクトリーに保持します。config.yaml ファイルは、MicroShift サービスが起動するたびに読み取られます。

   注記

   これを作成すると、config.yaml ファイルは組み込み設定よりも優先されます。

3. 有効な値を使用して、MicroShift YAML の network セクションに IPv6 設定を追加します。

   警告

   再起動と移行後も同じ最初のエントリーを保持する必要があります。これは、シングルスタックからデュアルスタック、またはデュアルスタックからシングルスタックへの移行など、あらゆる移行に当てはまります。最初のエントリーへの変更が必要な場合は、etcd データベースの完全な消去が必要になります。これにより、アプリケーションデータの損失が発生する可能性があり、サポートされていません。

   1. 有効な値を使用して、MicroShift YAML の network セクションにある 2 番目のネットワークの IPv6 設定を追加します。

   2. MicroShift config.yaml の network セクションにネットワーク割り当てを追加して、IPv6 をセカンダリーネットワークとして使用するデュアルスタックを有効化します。

      ネットワーク割り当てによるデュアルスタック IPv6 設定の例

      # ...
      apiServer:
        subjectAltNames:
        - 192.168.113.117
        - 2001:db9:ca7:ff::1db8 

      1

      
      network:
        clusterNetwork:
        - 10.42.0.0/16 

      2

      
        - fd01::/48 

      3

      
        serviceNetwork:
        - 10.43.0.0/16
        - fd02::/112 

      4

      
      node:
        nodeIP: 192.168.113.117 

      5

      
        nodeIPv6: 2001:db9:ca7:ff::1db8 

      6

      
      # ...

      Copy to Clipboard Toggle word wrap

      1

      IPv6 ノードアドレス:

      2

      IPv4 ネットワーク: 24 未満の CIDR 値で clusterNetwork を指定します。

      3

      IPv6 ネットワーク: 64 未満の CIDR 値で clusterNetwork を指定します。

      4

      接頭辞が 112 である IPv6 CIDR を指定します。Kubernetes は最低レベルの 16 ビットのみを使用します。接頭辞が 112 の場合、IP アドレスは 112 から 128 ビットに割り当てられます。

      5

      ノード IP アドレスの例。以前の IPv4 IP アドレスを維持します。

      6

      ノード IP アドレスの例。IPv6 アドレスファミリーである必要があります。

4. 必要なその他の設定を完了してから、次のコマンドを実行して MicroShift を再起動します。

   $ sudo systemctl restart microshift

   Copy to Clipboard Toggle word wrap
5. 必要に応じてアプリケーション Pod とサービスの IP ファミリーポリシーをリセットし、それらのアプリケーション Pod とサービスを再起動してデュアルスタックネットワークを有効化します。簡単な例は、「アプリケーション Pod およびサービスの IP ファミリーポリシーのリセット」を参照してください。

1. 次のコマンドを実行して、Pod のステータスを取得します。

   $ oc get pod -A -o wide

   Copy to Clipboard Toggle word wrap

   出力例

   NAMESPACE                  NAME                                      READY   STATUS    RESTARTS        AGE     IP                NODE           NOMINATED NODE   READINESS GATES
   kube-system                csi-snapshot-controller-bb7cb654b-7s5ql   1/1     Running   0               46m     10.42.0.6         microshift-9   <none>           <none>
   openshift-dns              dns-default-zxkqn                         2/2     Running   0               46m     10.42.0.5         microshift-9   <none>           <none>
   openshift-dns              node-resolver-r2h5z                       1/1     Running   0               46m     192.168.113.117   microshift-9   <none>           <none>
   openshift-ingress          router-default-5b75594b4-228z7            1/1     Running   0               2m5s    10.42.0.3         microshift-9   <none>           <none>
   openshift-ovn-kubernetes   ovnkube-master-bltk7                      4/4     Running   2 (2m32s ago)   2m36s   192.168.113.117   microshift-9   <none>           <none>
   openshift-ovn-kubernetes   ovnkube-node-9ghgs                        1/1     Running   2 (2m32s ago)   46m     192.168.113.117   microshift-9   <none>           <none>
   openshift-service-ca       service-ca-5d7bd9db6-qgwgw                1/1     Running   0               46m     10.42.0.7         microshift-9   <none>           <none>
   openshift-storage          lvms-operator-656cd9b59b-8rpf4            1/1     Running   0               46m     10.42.0.8         microshift-9   <none>           <none>
   openshift-storage          vg-manager-wqmh4                          1/1     Running   2 (2m39s ago)   46m     10.42.0.10        microshift-9   <none>           <none>

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、OVN-K ネットワークプラグインによって定義されたネットワークを取得します。

   $ oc get pod -n openshift-ovn-kubernetes ovnkube-master-bltk7 -o jsonpath='{.status.podIPs}'

   Copy to Clipboard Toggle word wrap

   出力例

   [{"ip":"192.168.113.117"},{"ip":"2001:db9:ca7:ff::1db8"}]

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、ノードリソースで定義されたネットワークを取得します。

   $ oc get pod -n openshift-ingress router-default-5b75594b4-228z7 -o jsonpath='{.status.podIPs}'

   Copy to Clipboard Toggle word wrap

   出力例

   [{"ip":"10.42.0.3"},{"ip":"fd01:0:0:1::3"}]

   Copy to Clipboard Toggle word wrap

手順

1. 以下の例を使用して、spec.ipFamilyPolicy フィールドをサービスまたは Pod 内のデュアルスタックネットワークの有効な値に設定します。

   サービスのデュアルスタックネットワーク設定の例

   kind: Service
   apiVersion: v1
   metadata:
     name: microshift-new-service
     labels: app: microshift-application
   spec:
     type: NodePort
     ipFamilyPolicy: `PreferDualStack` 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   必須。デュアルスタックネットワークの有効な値は、PreferDualStack と RequireDualStack です。設定する値は、アプリケーションの要件によって異なります。PreferSingleStack は、ipFamilyPolicy フィールドのデフォルト値です。

2. hostNetwork が定義されていないアプリケーション Pod を再起動します。hostNetwork が定義されている Pod は、ipFamilyPolicy 値を更新するために再起動する必要はありません。

手順

1. 次のどちらかの方法で Ingress 制御の設定を適用します。

   1. /etc/microshift/ ディレクトリーにある config.yaml.default ファイルのコピーを作成し、config.yaml という名前を付けてソースディレクトリーに保存することで、MicroShift config.yaml 設定ファイルを更新します。
   2. 設定スニペットを使用して、必要な Ingress 制御の設定を適用します。これを行うには、設定スニペット YAML ファイルを作成し、そのファイルを /etc/microshift/config.d/ 設定ディレクトリーに配置します。

2. MicroShift YAML の ingress セクションのデフォルト値を有効な値に置き換えるか、必要なセクションを含む設定スニペットファイルを作成します。

   デフォルト値を含む Ingress コントローラー設定フィールド

   apiServer:
   # ...
   ingress:
     certificateSecret: router-certs-custom
     clientTLS:
       allowedSubjectPatterns: []
       clientCA:
         name: ""
       clientCertificatePolicy: ""
     defaultHTTPVersion: 1
     forwardedHeaderPolicy: Append
     httpCompression:
       mimeTypes:
         - ""
     httpEmptyRequestsPolicy: Respond
     listenAddress: []
     logEmptyRequests: Log
     ports:
        http: 80
        https: 443
     routeAdmissionPolicy:
       namespaceOwnership: InterNamespaceAllowed
       wildcardPolicy: WildcardsDisallowed
     status: Managed
     tlsSecurityProfile:
       type:
       custom:
         ciphers:[]
         minTLSVersion:""
       intermediate: {}
       old: {}
     tuningOptions:
       clientFinTimeout: 1s
       clientTimeout: 30s
       headerBufferBytes: 0
       headerBufferMaxRewriteBytes: 0
       healthCheckInterval: 5s
       maxConnections: 0
       serverFinTimeout: 1s
       serverTimeout: 30s
       threadCount: 4
       tlsInspectDelay: 5s
       tunnelTimeout: 1h
   # ...

   Copy to Clipboard Toggle word wrap

   Expand

   表3.1 Ingress コントローラー設定フィールドの定義表

   パラメーター	説明
   ingress	MicroShift config.yaml ファイルの ingress セクションでは、OpenShift Container Platform Ingress Control Operator の実装部分の設定可能なパラメーターを定義します。この表の残りのすべてのパラメーターは、config.yaml の ingress セクションのサブセクションです。
   certificateSecret	MicroShift Ingress コントローラーによって提供されるデフォルトの証明書を含む kubernetes.io/tls タイプのシークレットへの参照。ルートが独自の証明書を指定しない場合は、certificateSecret パラメーターが使用されます。使用されるすべてのシークレットには、tls.key キーファイルの内容と tls.crt 証明書ファイルの内容が含まれている必要があります。 certificateSecret パラメーターが設定されていない場合は、ワイルドカード証明書が自動的に生成され、使用されます。ワイルドカード証明書は、Ingress コントローラーのデフォルト domain とその subdomains に対して有効です。生成された認証局 (CA) は、クラスターのトラストストアと自動的に統合されます。 使用中の生成された証明書とユーザー指定の証明書は、MicroShift に組み込まれた OAuth サーバーと自動的に統合されます。
   clientTLS	クラスターおよびサービスへのクライアントアクセスを認証します。その結果、相互 TLS 認証が有効になります。設定されていない場合、クライアント TLS は有効になっていません。クライアント TLS を使用するには、spec.clientTLS.clientCertificatePolicy および spec.clientTLS.ClientCA パラメーターを設定する必要があります。
   clientTLS.AllowedSubjectPatterns	要求をフィルタリングするために、有効なクライアント証明書の識別名と照合される正規表現のリストを指定するオプションのサブフィールド。このパラメーターを使用すると、Ingress コントローラーは識別名に基づいて証明書を拒否します。Perl Compatible Regular Expressions (PCRE) 構文が必要です。 重要 設定された場合、このフィールドには有効な式が含まれている必要があります。含まれていない場合、MicroShift サービスは失敗します。1 つ以上のパターンがクライアント証明書の識別名と一致している必要があります。一致しない場合、Ingress コントローラーは証明書を拒否し、接続を拒否します。
   clientTLS.clientCA	openshift-ingress namespace 内の必須の config map を指定します。クライアント TLS を有効にするために必要です。config map には、ca-bundle.pem という名前の認証局 (CA) バンドルが含まれている必要があります。含まれていない場合、デフォルトルーターのデプロイメントは失敗します。
   clientTLS.ClientCA.name	clientTLS.ClientCA 値で参照される config map の metadata.name。
   clientTLS.ClientCertificatePolicy	有効な値は Required または Optional です。クライアント TLS を有効にするには、Required に設定します。Ingress コントローラーは、エッジで終了および再暗号化された TLS ルートのクライアント証明書のみをチェックします。Ingress コントローラーは、プレーンテキスト HTTP またはパススルー TLS ルートの証明書をチェックできません。
   defaultHTTPVersion	Ingress コントローラーの HTTP バージョンを設定します。HTTP 1.1 の場合、デフォルト値は 1 です。
   forwardedHeaderPolicy	Ingress コントローラーが Forwarded、X-Forwarded-For、X-Forwarded-Host、X-Forwarded-Port、X-Forwarded-Proto、および X-Forwarded-Proto-Version HTTP ヘッダーを設定するタイミングと方法を指定します。次の値が有効です。 Append は、Ingress コントローラーが既存のヘッダーに追加することを指定することで、それらのヘッダーを保持します。'Append` はデフォルト値です。 Replace は、Ingress コントローラーによってヘッダーを設定するように指定して、既存のヘッダーを削除します。 IfNone は、ヘッダーがまだ設定されていない場合に Ingress コントローラーがヘッダーを設定することを指定します。 Never は、Ingress コントローラーによってヘッダーを設定しないように指定して、既存のヘッダーを保持します。
   httpCompression	HTTP トラフィック圧縮のポリシーを定義します。
   httpCompression.mimeTypes	圧縮を適用する必要がある MIME タイプのリストを定義します。 たとえば、text/css; charset=utf-8、text/html、text/*、image/svg+xml、application/octet-stream、X-custom/customsub のように、type/subtype; [;attribute=value] という形式で指定します。 有効な types は、application、image、message、multipart、text、video、または X- で始まるカスタムタイプです。MIME タイプとサブタイプの完全な表記は、RFC1341 (IETF Datatracker ドキュメント) を参照してください。
   httpEmptyRequestsPolicy	リクエストを受信する前に接続がタイムアウトした場合に HTTP 接続をどのように処理するかを指定します。このフィールドに使用できる値は Respond および Ignore です。デフォルト値は Respond です。空の要求は通常、ロードバランサーの正常性プローブまたは事前接続から送信されるもので、多くの場合、無視しても問題ありません。ただし、これらの要求はネットワークエラーやポートスキャンによっても発生する可能性もあります。したがって、このフィールドを Ignore に設定すると、ネットワークの問題の検出や診断および侵入の試みの検出が妨げられる可能性があります。 このポリシーが Respond に設定されている場合、Ingress コントローラーが HTTP 400 または 408 レスポンスを送信し、接続をログに記録し (アクセスログが有効な場合)、適切なメトリクスで接続をカウントします。 ポリシーを Ignore に設定すると、http-ignore-probes パラメーターが HAproxy プロセス設定に追加されます。このパラメーターが追加されると、Ingress コントローラーはレスポンスを送信せずに接続を閉じ、その後、接続をログに記録するか、メトリクスを増分します。
   logEmptyRequests	リクエストを受信せず、ログに記録しない接続を指定します。有効な値は Log と Ignore です。空の要求は通常、ロードバランサーの正常性プローブまたは事前接続から送信されるもので、多くの場合、無視しても問題ありません。ただし、これらの要求はネットワークエラーやポートスキャンによっても発生する可能性もあります。したがって、このフィールドを Ignore に設定すると、ネットワークの問題の検出や診断および侵入の試みの検出が妨げられる可能性があります。デフォルト値は Log です。 この値を Log に設定すると、イベントがログに記録される必要があることを示します。 この値を Ignore に設定すると、HAproxy 設定の dontlognull オプションを設定します。
   ports	デフォルトのルーターポートを定義します。
   ports.http	デフォルトのルーター http ポート。1-65535 の範囲で指定する必要があります。デフォルト値は 80 です。
   ports.https	デフォルトのルーター https ポート。1-65535 の範囲で指定する必要があります。デフォルト値は 443 です。
   routeAdmission	namespace 全体にわたるクレームの許可または拒否など、新しいルート要求を処理するためのポリシーを定義します。
   routeAdmission.namespaceOwnership	namespace 全体にわたるホスト名要求の処理方法を記述します。デフォルトは InterNamespaceAllowed です。有効な値は次のとおりです。 Strict: ルートが複数の namespace 間で同じホスト名を要求することを許可しません。 InterNamespaceAllowed: ルートが複数の namespace 間で同じホスト名の異なるパスを要求することを許可します。
   routeAdmission.wildcardPolicy	ワイルドカードポリシーが設定されたルートが Ingress コントローラーによって処理される方法を制御します。WildcardsAllowed と WildcardsDisallowed は有効な値です。デフォルト値は WildcardsDisallowed です。 WildcardPolicyAllowed は、任意のワイルドカードポリシーを持つルートが Ingress コントローラーによって許可されることを意味します。 WildcardPolicyDisallowed は、ワイルドカードポリシーが None のルートのみが Ingress コントローラーによって許可されることを意味します。 重要 ワイルドカードポリシーを WildcardsAllowed から WildcardsDisallowed に更新すると、subdomain のワイルドカードポリシーを持つ許可されたルートが機能しなくなります。これらのルートは、Ingress コントローラーによって許可されるように None のワイルドカードポリシーに対して再作成される必要があります。
   status	デフォルトのルーターのステータス。有効な値は Managed または Removed です。
   tlsSecurityProfile	tlsSecurityProfile は、Ingress コントローラーの TLS 接続の設定を指定します。これが設定されていない場合、デフォルト値は apiservers.config.openshift.io/cluster リソースをベースとして設定されます。Old プロファイルまたは Custom プロファイルの TLS 1.0 バージョンは、Ingress コントローラーによって自動的に 1.1 に変換されます。Intermediate がデフォルトの設定です。 Ingress コントローラーの最小 TLS バージョンは 1.1 です。TLS の最大バージョンは 1.3 です。 注記 設定されたセキュリティープロファイルの暗号および最小 TLS バージョンが TLSProfile ステータスに反映されます。プロファイルは意図に基づいているため、新しい暗号が開発されたり、既存の暗号が安全でないことが判明したりすると、時間の経過に応じて変更されます。特定のプロセスで使用できる暗号に応じて、使用可能なリストが削減される可能性があります。
   tlsSecurityProfile.custom	ユーザー定義の TLS セキュリティープロファイル。このパラメーターおよび関連パラメーターを設定する場合は、細心の注意を払ってください。
   tlsSecurityProfile.custom.ciphers	TLS ハンドシェイク中にネゴシエートされる暗号アルゴリズムを指定します。Operator は、オペランドがサポートしていないエントリーを削除する可能性があります。
   tlsSecurityProfile.custom.minTLSVersion	TLS ハンドシェイク中にネゴシエートされる TLS プロトコルの最小バージョンを指定します。たとえば、TLS バージョン 1.1、1.2、1.3 を使用するには、値を VersionTLS11 に設定します。minTLSVersion の有効な最高値は VersionTLS12 です。
   tlsSecurityProfile.intermediate	この TLS プロファイルは、ほとんどのサービスに使用できます。Intermediate compatibility (recommended).
   tlsSecurityProfile.old	下位互換性のために使用されます。Old backward compatibility.
   tlsSecurityProfile.type	有効な値は、Intermediate、Old、または Custom です。Modern 値はサポートされていません。
   tuningOptions	Ingress コントローラー Pod のパフォーマンスをチューニングするためのオプションを指定します。
   tuningOptions.clientFinTimeout	サーバーが接続を閉じるまでのクライアントの応答を待機している間、接続を開いたままにする時間を指定します。デフォルトのタイムアウトは 1s です。
   tuningOptions.clientTimeout	クライアントのレスポンスを待機している間、接続を開いたままにする時間を指定します。デフォルトのタイムアウトは 30s です。
   tuningOptions.headerBufferBytes	Ingress コントローラー接続セッション用に予約されるメモリーの量 (バイト単位) を指定します。Ingress コントローラーで HTTP/2 が有効になっている場合、この値は少なくとも 16384 である必要があります。設定されていない場合、デフォルト値は 32768 バイトになります。 重要 このフィールドを設定することは推奨しません。headerBufferMaxRewriteBytes パラメーター値が小さすぎると、Ingress コントローラーが壊れる可能性があるためです。逆に、headerBufferMaxRewriteBytes の値が大きすぎると、Ingress コントローラーが必要以上に多くのメモリーを使用する可能性があります。
   tuningOptions.headerBufferMaxRewriteBytes	Ingress コントローラー接続セッションの HTTP ヘッダーの書き換えと追加のために、headerBufferBytes から予約するメモリー量 (バイト単位) を指定します。headerBufferMaxRewriteBytes の最小値は 4096 です。受信 HTTP リクエストの headerBufferBytes は、headerBufferMaxRewriteBytes 値よりも大きくする必要があります。設定されていない場合、デフォルト値は 8192 バイトになります。 重要 このフィールドを設定することは推奨しません。headerBufferMaxRewriteBytes 値が小さすぎると Ingress コントローラーが破損する可能性があり、headerBufferMaxRewriteBytes 値が大きすぎると、Ingress コントローラーが必要以上に大量にメモリーを使用する可能性があるためです。
   tuningOptions.healthCheckInterval	ルーターがヘルスチェック間で待機する時間を秒単位で指定します。デフォルトは 5s です。
   tuningOptions.maxConnections	各 HAProxy プロセスで確立できる同時接続の最大数を指定します。この値を増やすと、追加のシステムリソースで各 Ingress コントローラー Pod がより多くの接続を処理できるようになります。0、-1、2000 から 2000000 の範囲内の任意の値を使用でき、フィールドを空にすることも可能です。 このフィールドが空のままであるか、値が 0 の場合、Ingress コントローラーはデフォルト値の 50000 を使用します。 フィールド値が -1 の場合、HAProxy は、実行中のコンテナーで使用可能な ulimits に基づき最大値を動的に計算します。このプロセスにより計算値が大きくなり、現在のデフォルト値である 50000 と比較して、メモリー使用量が大幅に増加します。 フィールドの値が現在のオペレーティングシステムの制限よりも大きい場合、HAProxy プロセスは開始されません。 個別の値を選択し、ルーター Pod が新しいノードに移行された場合、新しいノードに同一の ulimit が設定されていない可能性があります。このような場合、Pod は起動に失敗します。 異なる ulimits が設定されたノードがあり、離散値を選択する場合は、このフィールドに -1 の値を使用して、実行時に最大接続数を計算できます。 container_memory_working_set_bytes{container="router",namespace="openshift-ingress"} メトリクスを使用すると、ルーターコンテナーのメモリー使用量を監視できます。 container_memory_working_set_bytes{container="router",namespace="openshift-ingress"}/container_processes{container="router",namespace="openshift-ingress"} メトリクスを使用すると、ルーターコンテナー内の個々の HAProxy プロセスのメモリー使用量を監視できます。
   tuningOptions.serverFinTimeout	接続を閉じているクライアントへのサーバーレスポンスを待機している間、接続を開いたままにする時間を指定します。デフォルトのタイムアウトは 1s です。
   tuningOptions.serverTimeout	サーバーの応答を待機している間に接続が開かれる期間を指定します。デフォルトのタイムアウトは 30s です。
   tuningOptions.threadCount	HAProxy プロセスごとに作成するスレッドの数を指定します。より多くのスレッドを作成すると、使用されるシステムリソースを増やすことで、各 Ingress コントローラー Pod がより多くの接続を処理できるようになります。HAProxy ロードバランサーは最大 64 スレッドをサポートします。このフィールドが空の場合、Ingress コントローラーはデフォルト値の 4 スレッドを使用します。 重要 このフィールドを設定することは推奨しません。HAProxy スレッドの数を増やすと、Ingress コントローラー Pod がより多くの CPU 時間を負荷発生時に使用できるようになり、他の Pod が実行に必要な CPU リソースを受け取れなくなるためです。スレッドの数を減らすと、Ingress コントローラーのパフォーマンスが低下する可能性があります。
   tuningOptions.tlsInspectDelay	一致するルートを検出するためにルーターがデータを保持できる時間を指定します。この設定値が低すぎると、より適合性の高い証明書を使用している場合でも、ルーターがエッジ終端ルート、再暗号化ルート、またはパススルールート用のデフォルト証明書にフォールバックする可能性があります。デフォルトの検査遅延は 5s です。
   tuningOptions.tunnelTimeout	トンネルがアイドル状態のときに、websocket を含むトンネル接続を開いたままにする時間を指定します。デフォルトのタイムアウトは 1h です。

   Show more

3. その他の必要な設定を完了したら、次のいずれかのコマンドを実行して MicroShift を起動または再起動します。

   $ sudo systemctl start microshift

   Copy to Clipboard Toggle word wrap

   $ sudo systemctl restart microshift

   Copy to Clipboard Toggle word wrap

手順

1. /etc/microshift/config.yaml の MicroShift 設定ファイルの storage セクションで、optionalCsiComponents 値を入力して、CSI スナップショットコントローラーのインストールを無効化します。

   # ...
     storage: {} 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   許可される値は次のとおりです。

   • optionalCsiComponents は定義しません。
   • optionalCsiComponents フィールドを空の値 ([]) または単一の空の文字列要素 ([""]) で指定します。

   • optionalCsiComponents は、使用可能な値 (snapshot-controller または none) に指定します。none のエントリーは、他のいかなる値とも同時に使用できません。

     注記

     optionalCsiComponents 値が空または null の場合、MicroShift はデフォルトで snapshot-controller をデプロイします。

2. optionalCsiComponents フィールドが config.yaml のサポートされている値で指定された後、次のコマンドを実行して MicroShift を起動します。

   $ sudo systemctl start microshift

   Copy to Clipboard Toggle word wrap
   注記

   MicroShift は、再起動後に無効化されたコンポーネントを再デプロイしません。

手順

1. /etc/microshift/config.yaml の MicroShift 設定ファイルの storage セクションの下に driver 値を入力して、CSI ドライバーのインストールを無効化します。

   # ...
     storage
      driver:
      - "none" 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   有効な値は none または lvms です。

   注記

   デフォルトでは、driver 値は空または null で、LVMS がデプロイされています。

2. 次のコマンドを実行して、driver フィールドが、/etc/microshift/config.yaml ファイルでサポートされている値で指定された後に MicroShift を開始します。

   $ sudo systemctl enable --now microshift

   Copy to Clipboard Toggle word wrap
   注記

   MicroShift は、再起動操作後に無効化されたコンポーネントを再デプロイしません。

手順

1. オプション: config.yaml の内容を表示できます。以下のコマンドを実行します。

   $ cat /etc/microshift/config.yaml

   Copy to Clipboard Toggle word wrap

2. オプション: リモートアクセス kubeconfig ファイルの内容を表示できます。以下のコマンドを実行します。

   $ cat /var/lib/microshift/resources/kubeadmin/<hostname>/kubeconfig

   Copy to Clipboard Toggle word wrap
   重要

   追加のリモートアクセス kubeconfig ファイルには、Red Hat build of MicroShift config.yaml ファイルにリストされているサーバー名のいずれかを含める必要があります。追加の kubeconfig ファイルも検証に同じ CA を使用する必要があります。

3. 追加の DNS 名、SAN、または外部 IP アドレス用に追加の kubeconfig ファイルを生成するには、必要なエントリーを apiServer.subjectAltNames フィールドに追加します。次の例では、使用される DNS 名は alt-name-1、IP アドレスは 1.2.3.4 です。

   追加の認証値を含む config.yaml の例

   dns:
     baseDomain: example.com
   node:
     hostnameOverride: "microshift-rhel9" 

   1

   
     nodeIP: 10.0.0.1
   apiServer:
     subjectAltNames:
     - alt-name-1 

   2

   
     - 1.2.3.4 

   3

   Copy to Clipboard Toggle word wrap

   1

   ホスト名

   2

   DNS name

   3

   IP アドレスまたは範囲

4. MicroShift を再起動して設定の変更を適用し、次のコマンドを実行して必要な kubeconfig ファイルを自動生成します。

   $ sudo systemctl restart microshift

   Copy to Clipboard Toggle word wrap

5. 追加のリモートアクセス kubeconfig ファイルの内容を確認するには、config.yaml にリストされている名前または IP アドレスを cat コマンドに挿入します。たとえば、次のコマンド例では alt-name-1 が使用されています。

   $ cat /var/lib/microshift/resources/kubeadmin/alt-name-1/kubeconfig

   Copy to Clipboard Toggle word wrap

6. クラスターの接続に使用する SAN または IP アドレスを含む、使用する kubeconfig ファイルを選択します。この例では、cluster.server フィールドに `alt-name-1` を含む kubeconfig が正しいファイルです。

   追加の kubeconfig ファイルの内容の例

   clusters:
   - cluster:
       certificate-authority-data: <base64 CA>
       server: https://alt-name-1:6443 

   1

   Copy to Clipboard Toggle word wrap

   1

   /var/lib/microshift/resources/kubeadmin/alt-name-1/kubeconfig ファイルの値は、apiServer.subjectAltNames 設定値からのものです。