36.5.2. Elasticsearch

以下の行を Ansible インベントリーファイルに追加して、NFS の自動プロビジョニングされるストレージクラスを作成し、バッキングストレージを動的にプロビジョニングします。

openshift_logging_es_pvc_storage_class_name=$nfsclass
openshift_logging_es_pvc_dynamic=true

以下のコマンドを使用して、ロギング Playbook を使用した NFS ボリュームのデプロイを実行します。

ansible-playbook /usr/share/ansible/openshift-ansible/playbooks/openshift-logging/config.yml

以下の手順を実行して PVC を作成します。

Ansible インベントリーファイルを編集して、NFS ボリュームを設定し、PVC サイズを設定します。

openshift_logging_storage_kind=nfs
openshift_logging_storage_access_modes=['ReadWriteOnce']
openshift_logging_storage_nfs_directory=/share 1
openshift_logging_storage_nfs_options='*(rw,root_squash)' 2
openshift_logging_storage_labels={'storage': 'logging'}
openshift_logging_elasticsearch_storage_type=pvc
openshift_logging_es_pvc_size=10Gi
openshift_logging_es_pvc_storage_class_name=''
openshift_logging_es_pvc_dynamic=true
openshift_logging_es_pvc_prefix=logging

以下のコマンドを使用して、EFK スタックを再デプロイします。

ansible-playbook /usr/share/ansible/openshift-ansible/playbooks/deploy_cluster.yml

関連するサービスアカウントに、ローカルボリュームをマウントし、編集する権限を指定する必要があります。

  $ oc adm policy add-scc-to-user privileged  \
         system:serviceaccount:openshift-logging:aggregated-logging-elasticsearch

それぞれの Elasticsearch ノード定義には、権限を要求できるようにパッチが適用されている必要があります。以下は例になります。

$ for dc in $(oc get deploymentconfig --selector component=es -o name); do
    oc scale $dc --replicas=0
    oc patch $dc \
       -p '{"spec":{"template":{"spec":{"containers":[{"name":"elasticsearch","securityContext":{"privileged": true}}]}}}}'
  done

ローカル Elasticsearch ストレージのローカルマウントポイントを各インフラストラクチャーノードに作成します。

$ mkdir /usr/local/es-storage

ファイルシステムを Elasticsearch ボリュームに作成します。

$ mkfs.ext4 /dev/xxx

elasticsearch ボリュームをマウントします。

$ mount /dev/xxx /usr/local/es-storage

以下の行を /etc/fstab に追加します。

$ /dev/xxx /usr/local/es-storage ext4

マウントポイントの所有権を変更します。

$ chown 1000:1000 /usr/local/es-storage

ローカルボリュームをマウントし、編集する権限を関連するサービスアカウントに付与します。

  $ oc adm policy add-scc-to-user privileged  \
         system:serviceaccount:openshift-logging:aggregated-logging-elasticsearch

該当する権限を要求するには、例に示すように Ops クラスターの --selector component=es-ops を指定する各 Elasticsearch レプリカ定義にパッチを適用します。

  $ for dc in $(oc get deploymentconfig --selector component=es -o name);
do
    oc scale $dc --replicas=0
    oc patch $dc \
       -p '{"spec":{"template":{"spec":{"containers":[{"name":"elasticsearch","securityContext":{"privileged":
true}}]}}}}'
done

適切なノードの Elasticsearch レプリカを見つけ、ローカルストレージを使用します。それらのノードが一定期間停止する場合でも、レプリカを移動することはできません。 ノードの場所を指定するには、それぞれの Elasticsearch レプリカに対し、管理者がストレージを割り当てたノードに固有のノードセレクターを指定します。

ノードセレクターを設定するには、各 Elasticsearch デプロイメント設定を編集し、nodeSelector セクションを追加または編集して、必要なそれぞれのノードに適用した一意のラベルを指定します。

apiVersion: v1
kind: DeploymentConfig
spec:
  template:
    spec:
      nodeSelector:
        logging-es-node: "1"

このラベルは、該当するラベルを持つ単一ノードのレプリカを一意に特定できるものである必要があります。 この場合は、logging-es-node=1 になります。

それぞれの必要なノードのノードセレクターを作成します。oc label コマンドを使用して、必要な分のノードにラベルを適用します。

たとえば、デプロイメントに 3 つのインフラストラクチャーノードが含まれる場合、以下のようにそれらのノードのラベルを追加できます。

  $ oc label node <nodename1> logging-es-node=0
  $ oc label node <nodename2> logging-es-node=1
  $ oc label node <nodename3> logging-es-node=2

ノードセレクターの適用を自動化するには、以下のように oc label コマンドではなく、oc patch コマンドを使用します。

  $ oc patch dc/logging-es-<suffix> \
     -p '{"spec":{"template":{"spec":{"nodeSelector":{"logging-es-node":"1"}}}}}'

これらの手順を実行したら、ローカルホストマウントを各レプリカに適用できます。以下の例では、ストレージが各ノードの同じパスにマウントされていることを前提とし、Ops クラスターに --selector component=es-ops を指定します。

$ for dc in $(oc get deploymentconfig --selector component=es -o name);
do
    oc set volume $dc \
          --add --overwrite --name=elasticsearch-storage \
          --type=hostPath --path=/usr/local/es-storage
    oc rollout latest $dc
    oc scale $dc --replicas=1
done

re-encrypt ルートとして Elasticsearch にアクセスするには、以下の変数を定義します。

openshift_logging_es_allow_external=True
openshift_logging_es_hostname=elasticsearch.example.com

Playbook ディレクトリーに切り替え、以下の Ansible Playbook を実行します。

$ cd /usr/share/ansible/openshift-ansible
$ ansible-playbook [-i </path/to/inventory>] \
    playbooks/openshift-logging/config.yml

Elasticsearch にリモートでログインするには、要求に 3 つの HTTP ヘッダーが含まれている必要があります。

Authorization: Bearer $token
X-Proxy-Remote-User: $username
X-Forwarded-For: $ip_address

ログにアクセスできるようになるには、プロジェクトへのアクセスが必要です。以下に例を示します。

$ oc login <user1>
$ oc new-project <user1project>
$ oc new-app <httpd-example>

要求内で使用するこの ServiceAccount のトークンを取得する必要があります。

$ token=$(oc whoami -t)

以前に設定したトークンを使用して、公開ルート経由で Elasticsearch にアクセスできる必要があります。

$ curl -k -H "Authorization: Bearer $token" -H "X-Proxy-Remote-User: $(oc whoami)" -H "X-Forwarded-For: 127.0.0.1" https://es.example.test/project.my-project.*/_search?q=level:err | python -mjson.tool