4.12. RHCOS のインストールおよび OpenShift Container Platform ブートストラッププロセスの開始

手順

1. RHEL KVM ホストを準備して、IBM Secure Execution をサポートします。

   • デフォルトでは、KVM ホストは IBM Secure Execution モードのゲストをサポートしません。ゲストを IBM Secure Execution モードでサポートするには、KVM ホストを LPAR モードで起動し、カーネルパラメーターを prot_virt=1 に指定する必要があります。RHEL 8 で prot_virt=1 を有効にするには、次の手順に従います。

     1. /boot/loader/entries/ に移動して、ブートローダー設定ファイル *.conf を変更します。
     2. カーネルコマンドラインパラメーター prot_virt=1 を追加します。

     3. zipl コマンドを実行し、システムを再起動します。

        IBM Secure Execution for Linux のサポートを使用して正常に始動する KVM ホストは、次のカーネルメッセージを発行します。

        prot_virt: Reserving <amount>MB as ultravisor base storage.

     4. KVM ホストが IBM Secure Execution をサポートするようになったことを確認するには、次のコマンドを実行します。

        # cat /sys/firmware/uv/prot_virt_host

        出力例

        1

        環境がセキュアホストの環境と一致していると検出された Linux インスタンスの場合、この属性の値は 1 です。他のインスタンスの場合、値は 0 です。

2. Ignition を介して KVM ゲストにホストキーを追加します。

   最初の起動時に、RHCOS はホストキーを探して、それを使用して自身を再暗号化します。RHCOS は、/etc/se-hostkeys ディレクトリーで ibm-z-hostkey- で始まるファイルを検索します。クラスターが実行されている各マシンのすべてのホストキーは、管理者がディレクトリーにロードする必要があります。最初の起動後、他のマシンで VM を実行することはできません。

   注記

   安全なシステムで Ignition ファイルを準備する必要があります。例えば、別の IBM Secure Execution ゲストです。

   以下に例を示します。

   {
     "ignition": { "version": "3.0.0" },
     "storage": {
       "files": [
         {
           "path": "/etc/se-hostkeys/ibm-z-hostkey-<your-hostkey>.crt",
           "contents": {
             "source": "data:;base64,<base64 encoded hostkey document>"
           },
           "mode": 420
         },
         {
           "path": "/etc/se-hostkeys/ibm-z-hostkey-<your-hostkey>.crt",
           "contents": {
             "source": "data:;base64,<base64 encoded hostkey document>"
           },
           "mode": 420
         }
       ]
     }
   }
   ```

   注記

   ノードを複数の IBM Z マシンで実行できるようにする場合は、必要な数のホストキーを追加できます。

3. Base64 でエンコードされた文字列を生成するには、次のコマンドを実行します。

   base64 <your-hostkey>.crt

   IBM Secure Execution を実行していないゲストと比較すると、イグニションフェーズの前にイメージ全体がランダムに生成された LUKS パスフレーズで暗号化されるため、マシンの最初のブートに時間がかかります。

4. Ignition 保護の追加

   Ignition 設定ファイルに保存されているシークレットが読み取られたり変更されたりしないようにするには、Ignition 設定ファイルを暗号化する必要があります。

   注記

   必要なセキュリティーを実現するために、IBM Secure Execution の実行時は、Ignition ロギングとローカルログインがデフォルトで無効になります。

   1. 次のコマンドを実行して、secex-qemu.qcow2 イメージの公開 GPG キーを取得し、そのキーを使用して Ignition 設定を暗号化します。

      gpg --recipient-file /path/to/ignition.gpg.pub --yes --output /path/to/config.ign.gpg --verbose --armor --encrypt /path/to/config.ign

      注記

      VM を起動する前に、Ignition ファイルをマウントするときに、serial=ignition を Serial=ignition_crypted に置き換えます。

      最初の起動時に Ignition が実行され、復号化が成功すると、次の例のような出力が表示されます。

      出力例

      [    2.801433] systemd[1]: Starting coreos-ignition-setup-user.service - CoreOS Ignition User Config Setup...
      
      [    2.803959] coreos-secex-ignition-decrypt[731]: gpg: key <key_name>: public key "Secure Execution (secex) 38.20230323.dev.0" imported
      [    2.808874] coreos-secex-ignition-decrypt[740]: gpg: encrypted with rsa4096 key, ID <key_name>, created <yyyy-mm-dd>
      [  OK  ] Finished coreos-secex-igni…S Secex Ignition Config Decryptor.

      復号化が失敗した場合は、次の例のような出力が表示されます。

      出力例

      Starting coreos-ignition-s…reOS Ignition User Config Setup...
      [    2.863675] coreos-secex-ignition-decrypt[729]: gpg: key <key_name>: public key "Secure Execution (secex) 38.20230323.dev.0" imported
      [    2.869178] coreos-secex-ignition-decrypt[738]: gpg: encrypted with RSA key, ID <key_name>
      [    2.870347] coreos-secex-ignition-decrypt[738]: gpg: public key decryption failed: No secret key
      [    2.870371] coreos-secex-ignition-decrypt[738]: gpg: decryption failed: No secret key

5. 高速インストール手順に従って、IBM Secure Exection QCOW イメージを使用してノードをインストールします。

手順

1. コントロールプレーンとコンピュートノードの Butane 設定ファイルを作成します。

   次のコントロールプレーンノードの Butane 設定の例では、ディスク暗号化用に master-storage.bu という名前のファイルを作成します。

   variant: openshift
   version: 4.13.0
   metadata:
     name: master-storage
     labels:
       machineconfiguration.openshift.io/role: master
   storage:
     luks:
       - clevis:
           tang:
             - thumbprint: QcPr_NHFJammnRCA3fFMVdNBwjs
               url: http://clevis.example.com:7500
           options: 1
              - --cipher
              - aes-cbc-essiv:sha256
         device: /dev/disk/by-partlabel/root
         label: luks-root
         name: root
         wipe_volume: true
     filesystems:
       - device: /dev/mapper/root
         format: xfs
         label: root
         wipe_filesystem: true
   openshift:
     fips: true 2

   1

   暗号オプションは、FIPS モードが有効な場合にのみ必要です。FIPS が無効になっている場合は、エントリーを省略します。

   2

   FIPS モードを有効または無効にするかどうか。デフォルトでは、FIPS モードは有効にされません。

   重要

   OpenShift Container Platform 4.13 は Red Hat Enterprise Linux (RHEL) 9.2 をベースにしています。RHEL 9.2 はまだ FIPS 認定のために提出されていません。詳細は、4.13 OpenShift Container Platform リリースノート の "About this release" を参照してください。

2. 次のコマンドを実行して、マシンを起動するためのカスタマイズされた initramfs ファイルを作成します。

   $ coreos-installer pxe customize \
       /root/rhcos-bootfiles/rhcos-<release>-live-initramfs.s390x.img \
       --dest-device /dev/disk/by-id/scsi-<serial-number> --dest-karg-append \
       ip=<ip-address>::<gateway-ip>:<subnet-mask>::<network-device>:none \
       --dest-karg-append nameserver=<nameserver-ip> \
       --dest-karg-append rd.neednet=1 -o \
       /root/rhcos-bootfiles/<Node-name>-initramfs.s390x.img

   注記

   最初のブートの前に、クラスター内の各ノードの initramfs をカスタマイズし、PXE カーネルパラメーターを追加する必要があります。

3. ignition.platform.id=metal および ignition.firstboot を含むパラメーターファイルを作成します。

   コントロールプレーンマシンのカーネルパラメーターファイルの例:

   rd.neednet=1 \
   console=ttysclp0 \
   ignition.firstboot ignition.platform.id=metal \
   coreos.live.rootfs_url=http://10.19.17.25/redhat/ocp/rhcos-413.86.202302201445-0/rhcos-413.86.202302201445-0-live-rootfs.s390x.img \
   coreos.inst.ignition_url=http://bastion.ocp-cluster1.example.com:8080/ignition/master.ign \
   ip=10.19.17.2::10.19.17.1:255.255.255.0::enbdd0:none nameserver=10.19.17.1 \
   zfcp.allow_lun_scan=0 \
   rd.znet=qeth,0.0.bdd0,0.0.bdd1,0.0.bdd2,layer2=1 \
   rd.zfcp=0.0.5677,0x600606680g7f0056,0x034F000000000000

   注記

   パラメーターファイルのすべてのオプションを 1 行で記述し、改行文字がないことを確認します。

手順

1. Red Hat カスタマーポータルの 製品のダウンロード ページまたは RHCOS イメージミラー ページから RHEL QEMU コピーオンライト (QCOW2) ディスクイメージファイルを取得します。

   重要

   RHCOS イメージは OpenShift Container Platform の各リリースごとに変更されない可能性があります。インストールする OpenShift Container Platform バージョンと等しいか、それ以下のバージョンの内で最も新しいバージョンのイメージをダウンロードする必要があります。この手順で説明されている適切な RHCOS QCOW2 イメージのみを使用します。

2. QCOW2 ディスクイメージおよび Ignition ファイルを RHEL KVM ホストの共通ディレクトリーにダウンロードします。

   例: /var/lib/libvirt/images

   注記

   Ignition ファイルは OpenShift Container Platform インストーラーによって生成されます。

3. 各 KVM ゲストノードの QCOW2 ディスクイメージバッキングファイルで、新しいディスクイメージを作成します。

   $ qemu-img create -f qcow2 -F qcow2 -b /var/lib/libvirt/images/{source_rhcos_qemu} /var/lib/libvirt/images/{vmname}.qcow2 {size}

4. Ignition ファイルと新規ディスクイメージを使用して、新規 KVM ゲストノードを作成します。

   $ virt-install --noautoconsole \
      --connect qemu:///system \
      --name {vn_name} \
      --memory {memory} \
      --vcpus {vcpus} \
      --disk {disk} \
      --import \
      --network network={network},mac={mac} \
      --disk path={ign_file},format=raw,readonly=on,serial=ignition,startup_policy=optional 1

   1

   IBM Secure Execution が有効な場合は、serial=ignition を Serial=ignition_crypted に置き換えます。

手順

1. Red Hat カスタマーポータルの 製品のダウンロード ページ、または RHCOS イメージミラー ページから RHEL カーネル、initramfs、および rootfs ファイルを取得します。

   重要

   RHCOS イメージは OpenShift Container Platform の各リリースごとに変更されない可能性があります。インストールする OpenShift Container Platform バージョンと等しいか、それ以下のバージョンの内で最も新しいバージョンのイメージをダウンロードする必要があります。この手順で説明されている適切な RHCOS QCOW2 イメージのみを使用します。

   ファイル名には、OpenShift Container Platform のバージョン番号が含まれます。以下の例のようになります。

   • kernel: rhcos-<version>-live-kernel-<architecture>
   • initramfs: rhcos-<version>-live-initramfs.<architecture>.img
   • rootfs: rhcos-<version>-live-rootfs.<architecture>.img

2. virt-install を起動する前に、ダウンロードした RHEL ライブカーネル、initramfs、および rootfs、および Ignition ファイルを HTTP または HTTPS サーバーに移動します。

   注記

   Ignition ファイルは OpenShift Container Platform インストーラーによって生成されます。

3. RHEL カーネル、initramfs、および Ignition ファイル、新規ディスクイメージ、および調整された parm 引数を使用して、新規 KVM ゲストノードを作成します。

   • --location には、HTTP サーバーまたは HTTPS サーバーのカーネル/initrd の場所を指定します。
   • coreos.inst.ignition_url= の場合、マシンロールの Ignition ファイルを指定します。bootstrap.ign、master.ign、または worker.ign を使用します。HTTP プロトコルおよび HTTPS プロトコルのみがサポートされます。

   • coreos.live.rootfs_url= の場合、起動しているカーネルおよび initramfs の一致する rootfs アーティファクトを指定します。HTTP プロトコルおよび HTTPS プロトコルのみがサポートされます。

     $ virt-install \
        --connect qemu:///system \
        --name {vn_name} \
        --vcpus {vcpus} \
        --memory {memory_mb} \
        --disk {vn_name}.qcow2,size={image_size| default(10,true)} \
        --network network={virt_network_parm} \
        --boot hd \
        --location {media_location},kernel={rhcos_kernel},initrd={rhcos_initrd} \
        --extra-args "rd.neednet=1 coreos.inst.install_dev=/dev/vda coreos.live.rootfs_url={rhcos_liveos} ip={ip}::{default_gateway}:{subnet_mask_length}:{vn_name}:enc1:none:{MTU} nameserver={dns} coreos.inst.ignition_url={rhcos_ign}" \
        --noautoconsole \
        --wait