15.4. GitOps ZTP を使用したシングルノード OpenShift クラスターのイメージベースアップグレードの実行

手順

1. ibu-upgrade-ranGen.yaml という既存の PolicyGenTemplate グループに、Prep、Upgrade、Idle の各ステージのポリシーを追加します。

   apiVersion: ran.openshift.io/v1
   kind: PolicyGenTemplate
   metadata:
     name: example-group-ibu
     namespace: "ztp-group"
   spec:
     bindingRules:
       group-du-sno: ""
     mcp: "master"
     evaluationInterval: 1
       compliant: 10s
       noncompliant: 10s
     sourceFiles:
       - fileName: ConfigMapGeneric.yaml
         complianceType: mustonlyhave
         policyName: "oadp-cm-policy"
         metadata:
           name: oadp-cm
           namespace: openshift-adp
       - fileName: ibu/ImageBasedUpgrade.yaml
         policyName: "prep-stage-policy"
         spec:
           stage: Prep
           seedImageRef: 2
             version: "4.15.0"
             image: "quay.io/user/lca-seed:4.15.0"
             pullSecretRef:
               name: "<seed_pull_secret>"
           oadpContent: 3
           - name: "oadp-cm"
             namespace: "openshift-adp"
         status:
           conditions:
             - reason: Completed
               status: "True"
               type: PrepCompleted
               message: "Prep stage completed successfully"
       - fileName: ibu/ImageBasedUpgrade.yaml
         policyName: "upgrade-stage-policy"
         spec:
           stage: Upgrade
         status:
           conditions:
             - reason: Completed
               status: "True"
               type: UpgradeCompleted
       - fileName: ibu/ImageBasedUpgrade.yaml
         policyName: "finalize-stage-policy"
         complianceType: mustonlyhave
         spec:
           stage: Idle
       - fileName: ibu/ImageBasedUpgrade.yaml
         policyName: "finalize-stage-policy"
         status:
           conditions:
             - reason: Idle
               status: "True"
               type: Idle

   1

   準拠ポリシーと非準拠ポリシーのポリシー評価間隔。ポリシーのステータスが現在のアップグレードステータスを正確に反映するように、これらを 10s に設定します。

   2

   Prep ステージで、アップグレード用のシードイメージ、OpenShift Container Platform バージョン、プルシークレットを定義します。

   3

   バックアップと復元に必要な OADP ConfigMap リソースを定義します。

2. 次のコマンドを実行して、イメージベースアップグレードに必要なポリシーが作成されていることを確認します。

   $ oc get policies -n spoke1 | grep -E "example-group-ibu"

   出力例

   ztp-group.example-group-ibu-oadp-cm-policy             inform               NonCompliant          31h
   ztp-group.example-group-ibu-prep-stage-policy          inform               NonCompliant          31h
   ztp-group.example-group-ibu-upgrade-stage-policy       inform               NonCompliant          31h
   ztp-group.example-group-ibu-finalize-stage-policy      inform               NonCompliant          31h
   ztp-group.example-group-ibu-rollback-stage-policy      inform               NonCompliant          31h

3. du-profile クラスターラベルを、ターゲットプラットフォームバージョンまたは SiteConfig CR 内の対応するポリシーバインディングラベルに更新します。

   apiVersion: ran.openshift.io/v1
   kind: SiteConfig
   [...]
   spec:
     [...]
       clusterLabels:
         du-profile: "4.15.0"

   重要

   ラベルをターゲットプラットフォームバージョンに更新すると、既存のポリシーセットがバインド解除されます。

4. 更新された SiteConfig CR をコミットして Git リポジトリーにプッシュします。

5. Prep ステージに移行する準備ができたら、Prep および OADP ConfigMap ポリシーを使用して、ターゲットハブクラスターに ClusterGroupUpgrade CR を作成します。

   apiVersion: ran.openshift.io/v1alpha1
   kind: ClusterGroupUpgrade
   metadata:
     name: cgu-ibu-prep
     namespace: default
   spec:
     clusters:
     - spoke1
     enable: true
     managedPolicies:
     - example-group-ibu-oadp-cm-policy
     - example-group-ibu-prep-stage-policy
     remediationStrategy:
       canaries:
         - spoke1
       maxConcurrency: 1
       timeout: 240

6. 以下のコマンドを実行して Prep ポリシーを適用します。

   $ oc apply -f cgu-ibu-prep.yml

   OADP リソースと追加のマニフェストの ConfigMap オブジェクトを指定すると、Lifecycle Agent は Prep ステージで指定された ConfigMap オブジェクトを検証します。以下の問題が発生する可能性があります。

   • Lifecycle Agent が extraManifests に問題を検出した場合の検証警告またはエラー
   • Lifecycle Agent が oadpContent に問題を検出した場合の検証エラー

   検証警告は Upgrade ステージをブロックしませんが、アップグレードを続行しても安全かどうかを判断する必要があります。これらの警告 (CRD の欠落、namespace の欠落、またはドライランの失敗など) は、警告に関する詳細で Prep ステージの status.conditions と ImageBasedUpgrade CR の annotation フィールドを更新します。

   検証警告の例

   [...]
   metadata:
   annotations:
     extra-manifest.lca.openshift.io/validation-warning: '...'
   [...]

   ただし、MachineConfig または Operator マニフェストを追加マニフェストに追加するなどの検証エラーが発生すると、Prep ステージが失敗し、Upgrade ステージがブロックされます。

   検証に合格すると、クラスターは新しい ostree stateroot を作成します。これには、シードイメージのプルと展開、およびホストレベルのコマンドの実行が含まれます。最後に、必要なすべてのイメージがターゲットクラスターに事前キャッシュされます。

7. 次のコマンドを実行して、ステータスを監視し、cgu-ibu-prep ClusterGroupUpgrade が Completed を報告するまで待ちます。

   $ oc get cgu -n default

   出力例

   NAME                    AGE   STATE       DETAILS
   cgu-ibu-prep            31h   Completed   All clusters are compliant with all the managed policies

手順

1. Upgrade ステージに移行する準備ができたら、Upgrade ポリシーを参照するターゲットハブクラスターに ClusterGroupUpgrade CR を作成します。

   apiVersion: ran.openshift.io/v1alpha1
   kind: ClusterGroupUpgrade
   metadata:
     name: cgu-ibu-upgrade
     namespace: default
   spec:
     actions:
       beforeEnable:
         addClusterAnnotations:
           import.open-cluster-management.io/disable-auto-import: "true" 1
       afterCompletion:
         removeClusterAnnotations:
         - import.open-cluster-management.io/disable-auto-import 2
     clusters:
     - spoke1
     enable: true
     managedPolicies:
     - example-group-ibu-upgrade-stage-policy
     remediationStrategy:
       canaries:
         - spoke1
       maxConcurrency: 1
       timeout: 240

   1

   アップグレードを開始する前に、マネージドクラスターに disable-auto-import アノテーションを適用します。このアノテーションにより、クラスターの準備が整うまで、アップグレード段階でマネージドクラスターの自動インポートが無効になります。

   2

   アップグレードが完了したら、disable-auto-import アノテーションを削除します。

2. 次のコマンドを実行して Upgrade ポリシーを適用します。

   $ oc apply -f cgu-ibu-upgrade.yml

3. 次のコマンドを実行してステータスを監視し、cgu-ibu-upgrade ClusterGroupUpgrade が Completed を報告するまで待ちます。

   $ oc get cgu -n default

   出力例

   NAME                              AGE   STATE       DETAILS
   cgu-ibu-prep                      31h   Completed   All clusters are compliant with all the managed policies
   cgu-ibu-upgrade                   31h   Completed   All clusters are compliant with all the managed policies

4. 正常に変更され、アップグレードを終了する準備ができたら、アップグレードを終了するポリシーを参照するターゲットハブクラスターに ClusterGroupUpgrade CR を作成します。

   apiVersion: ran.openshift.io/v1alpha1
   kind: ClusterGroupUpgrade
   metadata:
     name: cgu-ibu-finalize
     namespace: default
   spec:
     actions:
       beforeEnable:
         removeClusterAnnotations:
         - import.open-cluster-management.io/disable-auto-import
     clusters:
     - spoke1
     enable: true
     managedPolicies:
     - example-group-ibu-finalize-stage-policy
     remediationStrategy:
       canaries:
         - spoke1
       maxConcurrency: 1
       timeout: 240

   重要

   他の ClusterGroupUpgrade CR が進行中でないことを確認してください。進行中の場合、TALM がそれらを継続的に調整することになります。cgu-ibu-finalize.yaml を適用する前に、すべての "In-Progress" ClusterGroupUpgrade CR を削除します。

5. 以下のコマンドを実行してポリシーを適用します。

   $ oc apply -f cgu-ibu-finalize.yaml

6. 次のコマンドを実行して、ステータスを監視し、cgu-ibu-finalize ClusterGroupUpgrade が Completed になるまで待ちます。

   $ oc get cgu -n default

   出力例

   NAME                    AGE   STATE       DETAILS
   cgu-ibu-finalize        30h   Completed   All clusters are compliant with all the managed policies
   cgu-ibu-prep            31h   Completed   All clusters are compliant with all the managed policies
   cgu-ibu-upgrade         31h   Completed   All clusters are compliant with all the managed policies

7. アップグレードが成功したら、OADP Operator とその設定ファイルを削除できます。

   1. common-ranGen.yaml ファイル内の OADP Operator namespace、Operator グループ、およびサブスクリプションの complianceType を mustnothave に変更します。

      [...]
      - fileName: OadpSubscriptionNS.yaml
        policyName: "subscriptions-policy"
        complianceType: mustnothave
      - fileName: OadpSubscriptionOperGroup.yaml
        policyName: "subscriptions-policy"
        complianceType: mustnothave
      - fileName: OadpSubscription.yaml
        policyName: "subscriptions-policy"
        complianceType: mustnothave
      - fileName: OadpOperatorStatus.yaml
        policyName: "subscriptions-policy"
        complianceType: mustnothave
      [...]

   2. サイトの PolicyGenTemplate ファイルで、OADP Operator namespace、Operator グループ、およびサブスクリプションの complianceType を mustnothave に変更します。

      - fileName: OadpSecret.yaml
        policyName: "config-policy"
        complianceType: mustnothave
      - fileName: OadpBackupStorageLocationStatus.yaml
        policyName: "config-policy"
        complianceType: mustnothave
      - fileName: DataProtectionApplication.yaml
        policyName: "config-policy"
        complianceType: mustnothave

   3. 変更をカスタムサイトリポジトリーにマージし、ArgoCD アプリケーションが変更をハブクラスターに同期するのを待ちます。common-subscriptions-policy ポリシーと example-cnf-config-policy ポリシーのステータスが Non-Compliant に変わります。
   4. Topology Aware Lifecycle Manager を使用して、ターゲットクラスターに変更を適用します。設定変更のロールアウトの詳細は、「マネージドクラスターでのポリシーの更新」を参照してください。

   5. プロセスを監視します。ターゲットクラスターの common-subscriptions-policy ポリシーと example-cnf-config-policy ポリシーのステータスが Compliant の場合、OADP Operator はクラスターから削除されています。次のコマンドを実行して、ポリシーのステータスを取得します。

      $ oc get policy -n ztp-common common-subscriptions-policy

      $ oc get policy -n ztp-site example-cnf-config-policy

   6. common-ranGen.yaml およびサイト PolicyGenTemplate ファイルの spec.sourceFiles から、OADP Operator namespace、Operator グループとサブスクリプション、および設定 CR を削除します。
   7. 変更をカスタムサイトリポジトリーにマージし、ArgoCD アプリケーションが変更をハブクラスターに同期するのを待ちます。ポリシーは準拠したままです。

手順

1. du-profile または対応するポリシーバインディングラベルを、SiteConfig CR の元のプラットフォームバージョンに戻します。

   apiVersion: ran.openshift.io/v1
   kind: SiteConfig
   [...]
   spec:
     [...]
       clusterLabels:
         du-profile: "4.14.x"

2. ロールバックを開始する準備ができたら、既存の PolicyGenTemplate CR グループに Rollback ポリシーを追加します。

   [...]
   - fileName: ibu/ImageBasedUpgrade.yaml
     policyName: "rollback-stage-policy"
     spec:
       stage: Rollback
     status:
       conditions:
         - message: Rollback completed
           reason: Completed
           status: "True"
           type: RollbackCompleted

3. Rollback ポリシーを参照するターゲットハブクラスターに ClusterGroupUpgrade CR を作成します。

   apiVersion: ran.openshift.io/v1alpha1
   kind: ClusterGroupUpgrade
   metadata:
     name: cgu-ibu-rollback
     namespace: default
   spec:
     actions:
       beforeEnable:
         removeClusterAnnotations:
         - import.open-cluster-management.io/disable-auto-import
     clusters:
     - spoke1
     enable: true
     managedPolicies:
     - example-group-ibu-rollback-stage-policy
     remediationStrategy:
       canaries:
         - spoke1
       maxConcurrency: 1
       timeout: 240

4. 次のコマンドを実行して、Rollback ポリシーを適用します。

   $ oc apply -f cgu-ibu-rollback.yml

5. 正常に変更され、ロールバックを終了する準備ができたら、ロールバックを終了するポリシーを参照するターゲットハブクラスターに ClusterGroupUpgrade CR を作成します。

   apiVersion: ran.openshift.io/v1alpha1
   kind: ClusterGroupUpgrade
   metadata:
     name: cgu-ibu-finalize
     namespace: default
   spec:
     actions:
       beforeEnable:
         removeClusterAnnotations:
         - import.open-cluster-management.io/disable-auto-import
     clusters:
     - spoke1
     enable: true
     managedPolicies:
     - example-group-ibu-finalize-stage-policy
     remediationStrategy:
       canaries:
         - spoke1
       maxConcurrency: 1
       timeout: 240

6. 以下のコマンドを実行してポリシーを適用します。

   $ oc apply -f cgu-ibu-finalize.yml