1.3.22.6. RHOSP クラスターのセキュリティーグループ管理

OpenShift Container Platform 4.14 では、RHOSP 上で実行されるクラスターのセキュリティーが強化されています。デフォルトでは、OpenStack クラウドプロバイダーは、ロードバランサーの manage-security-groups オプションを true に設定し、クラスターの操作に必要なノードポートのみが開かれるようにします。以前は、コンピュートプレーンマシンとコントロールプレーンマシンの両方のセキュリティーグループが、すべての受信トラフィックに対して、広範囲のノードポートを開くように設定されていました。

ロードバランサーの設定で manage-security-groups オプションを false に設定し、セキュリティーグループルールがノードポート範囲 30000 から 32767 までの 0.0.0.0/0 からのトラフィックを許可するようにすることで、以前の設定を使用することを選択できます。

4.14 にアップグレードされたクラスターの場合は、デプロイメントをすべてのトラフィックに開放する permissive セキュリティーグループルールを手動で削除する必要があります。たとえば、ノードポート範囲 30000 から 32767 までの 0.0.0.0/0 からのトラフィックを許可するルールを削除する必要があります。