10.3. PolicyGenTemplate リソースと TALM を使用した非接続環境でのマネージドクラスターの更新

手順

1. プラットフォーム更新用の PolicyGenTemplate CR を作成します。

   1. 次の PolicyGenTemplate CR を du-upgrade.yaml ファイルに保存します。

      プラットフォーム更新の PolicyGenTemplate の例

      apiVersion: ran.openshift.io/v1
      kind: PolicyGenTemplate
      metadata:
        name: "du-upgrade"
        namespace: "ztp-group-du-sno"
      spec:
        bindingRules:
          group-du-sno: ""
        mcp: "master"
        remediationAction: inform
        sourceFiles:
          - fileName: ImageSignature.yaml 

      1

      
            policyName: "platform-upgrade-prep"
            binaryData:
              ${DIGEST_ALGO}-${DIGEST_ENCODED}: ${SIGNATURE_BASE64} 

      2

      
          - fileName: DisconnectedICSP.yaml
            policyName: "platform-upgrade-prep"
            metadata:
              name: disconnected-internal-icsp-for-ocp
            spec:
              repositoryDigestMirrors: 

      3

      
                - mirrors:
                  - quay-intern.example.com/ocp4/openshift-release-dev
                  source: quay.io/openshift-release-dev/ocp-release
                - mirrors:
                  - quay-intern.example.com/ocp4/openshift-release-dev
                  source: quay.io/openshift-release-dev/ocp-v4.0-art-dev
          - fileName: ClusterVersion.yaml 

      4

      
            policyName: "platform-upgrade"
            metadata:
              name: version
            spec:
              channel: "stable-4.17"
              upstream: http://upgrade.example.com/images/upgrade-graph_stable-4.17
              desiredUpdate:
                version: 4.17.4
            status:
              history:
                - version: 4.17.4
                  state: "Completed"

      Copy to Clipboard Toggle word wrap

      1

      ConfigMap CR には、更新先の目的のリリースイメージの署名が含まれています。

      2

      目的の OpenShift Container Platform リリースのイメージ署名を表示します。「環境のセットアップ」セクションの手順に従って保存した checksum-${OCP_RELEASE_NUMBER}.yaml ファイルから署名を取得します。

      3

      目的の OpenShift Container Platform イメージを含むミラーリポジトリーを表示します。「環境のセットアップ」セクションの手順に従って保存した imageContentSources.yaml ファイルからミラーを取得します。

      4

      更新をトリガーする ClusterVersion CR を示します。イメージの事前キャッシュには、channel、upstream、および desiredVersion フィールドがすべて必要です。

      PolicyGenTemplate CR は 2 つのポリシーを生成します。

      • du-upgrade-platform-upgrade-prep ポリシーは、プラットフォームの更新の準備作業を行います。目的のリリースイメージシグネチャーの ConfigMap CR を作成し、ミラー化されたリリースイメージリポジトリーのイメージコンテンツソースを作成し、目的の更新チャネルと非接続環境でマネージドクラスターが到達可能な更新グラフを使用してクラスターバージョンを更新します。
      • du-upgrade-platform-upgrade ポリシーは、プラットフォームのアップグレードを実行するために使用されます。

   2. PolicyGenTemplate CR の GitOps ZTP Git リポジトリーにある kustomization.yaml ファイルに du-upgrade.yaml ファイルの内容を追加し、変更を Git リポジトリーにプッシュします。

      ArgoCD は Git リポジトリーから変更を取得し、ハブクラスターでポリシーを生成します。

   3. 以下のコマンドを実行して、作成したポリシーを確認します。

      $ oc get policies -A | grep platform-upgrade

      Copy to Clipboard Toggle word wrap

2. spec.enable フィールドを false に設定して、プラットフォーム更新用の ClusterGroupUpdate CR を作成します。

   1. 次の例に示すように、プラットフォーム更新 ClusterGroupUpdate CR の内容を、du-upgrade-platform-upgrade-prep ポリシーと du-upgrade-platform-upgrade ポリシーおよびターゲットクラスターとともに、cgu-platform-upgrade.yml ファイルに保存します。

      apiVersion: ran.openshift.io/v1alpha1
      kind: ClusterGroupUpgrade
      metadata:
        name: cgu-platform-upgrade
        namespace: default
      spec:
        managedPolicies:
        - du-upgrade-platform-upgrade-prep
        - du-upgrade-platform-upgrade
        preCaching: false
        clusters:
        - spoke1
        remediationStrategy:
          maxConcurrency: 1
        enable: false

      Copy to Clipboard Toggle word wrap

   2. 次のコマンドを実行して、ClusterGroupUpdate CR をハブクラスターに適用します。

      $ oc apply -f cgu-platform-upgrade.yml

      Copy to Clipboard Toggle word wrap

3. オプション: プラットフォームの更新用にイメージを事前キャッシュします。

   1. 次のコマンドを実行して、ClusterGroupUpdate CR で事前キャッシュを有効にします。

      $ oc --namespace=default patch clustergroupupgrade.ran.openshift.io/cgu-platform-upgrade \
      --patch '{"spec":{"preCaching": true}}' --type=merge

      Copy to Clipboard Toggle word wrap

   2. 更新プロセスを監視し、事前キャッシュが完了するまで待ちます。ハブクラスターで次のコマンドを実行して、事前キャッシュの状態を確認します。

      $ oc get cgu cgu-platform-upgrade -o jsonpath='{.status.precaching.status}'

      Copy to Clipboard Toggle word wrap

4. プラットフォームの更新を開始します。

   1. 次のコマンドを実行して、cgu-platform-upgrade ポリシーを有効にし、事前キャッシュを無効にします。

      $ oc --namespace=default patch clustergroupupgrade.ran.openshift.io/cgu-platform-upgrade \
      --patch '{"spec":{"enable":true, "preCaching": false}}' --type=merge

      Copy to Clipboard Toggle word wrap

   2. プロセスを監視します。完了したら、次のコマンドを実行して、ポリシーが準拠していることを確認します。

      $ oc get policies --all-namespaces

      Copy to Clipboard Toggle word wrap

手順

1. Operator の更新用に PolicyGenTemplate CR を更新します。

   1. du-upgrade.yaml ファイルの次の追加コンテンツで du-upgrade PolicyGenTemplate CR を更新します。

      apiVersion: ran.openshift.io/v1
      kind: PolicyGenTemplate
      metadata:
        name: "du-upgrade"
        namespace: "ztp-group-du-sno"
      spec:
        bindingRules:
          group-du-sno: ""
        mcp: "master"
        remediationAction: inform
        sourceFiles:
          - fileName: DefaultCatsrc.yaml
            remediationAction: inform
            policyName: "operator-catsrc-policy"
            metadata:
              name: redhat-operators-disconnected
            spec:
              displayName: Red Hat Operators Catalog
              image: registry.example.com:5000/olm/redhat-operators-disconnected:v4.17 

      1

      
              updateStrategy: 

      2

      
                registryPoll:
                  interval: 1h
            status:
              connectionState:
                  lastObservedState: READY 

      3

      Copy to Clipboard Toggle word wrap

      1

      インデックスイメージ URL には、必要な Operator イメージが含まれます。インデックスイメージが常に同じイメージ名とタグにプッシュされている場合、この変更は必要ありません。

      2

      Operator Lifecycle Manager (OLM) が新しい Operator バージョンのインデックスイメージをポーリングする頻度を registryPoll.interval フィールドで設定します。y-stream および z-stream Operator の更新のために新しいインデックスイメージタグが常にプッシュされる場合、この変更は必要ありません。registryPoll.interval フィールドを短い間隔に設定して更新を促進できますが、間隔を短くすると計算負荷が増加します。この動作に対処するには、更新が完了したら registryPoll.interval をデフォルト値に戻します。

      3

      カタログ接続が最後に監視された状態。READY 値は、CatalogSource ポリシーの準備が整っていることを保証し、インデックス Pod がプルされ、実行中であることを示します。このように、TALM は最新のポリシー準拠状態に基づいて Operator をアップグレードします。

   2. この更新により、redhat-operators-disconnected というポリシーが生成されます。これは、必要な Operator イメージを含む新しいインデックスイメージで redhat-operators-disconnected カタログソースを更新するためのポリシーです。

      注記

      Operator にイメージの事前キャッシュを使用する必要があり、redhat-operators-disconnected 以外の別のカタログソースからの Operator がある場合は、次のタスクを実行する必要があります。

      • 別のカタログソースの新しいインデックスイメージまたはレジストリーポーリング間隔の更新を使用して、別のカタログソースポリシーを準備します。
      • 異なるカタログソースからの目的の Operator に対して個別のサブスクリプションポリシーを準備します。

      たとえば、目的の SRIOV-FEC Operator は、certified-operators カタログソースで入手できます。カタログソースと Operator サブスクリプションを更新するには、次の内容を追加して、2 つのポリシー du-upgrade-fec-catsrc-policy と du-upgrade-subscriptions-fec-policy を生成します。

      apiVersion: ran.openshift.io/v1
      kind: PolicyGenTemplate
      metadata:
        name: "du-upgrade"
        namespace: "ztp-group-du-sno"
      spec:
        bindingRules:
          group-du-sno: ""
        mcp: "master"
        remediationAction: inform
        sourceFiles:
            # ...
          - fileName: DefaultCatsrc.yaml
            remediationAction: inform
            policyName: "fec-catsrc-policy"
            metadata:
              name: certified-operators
            spec:
              displayName: Intel SRIOV-FEC Operator
              image: registry.example.com:5000/olm/far-edge-sriov-fec:v4.10
              updateStrategy:
                registryPoll:
                  interval: 10m
          - fileName: AcceleratorsSubscription.yaml
            policyName: "subscriptions-fec-policy"
            spec:
              channel: "stable"
              source: certified-operators

      Copy to Clipboard Toggle word wrap

   3. 共通の PolicyGenTemplate CR に指定されたサブスクリプションチャネルが存在する場合は、それらを削除します。GitOps ZTP イメージのデフォルトサブスクリプションチャネルが更新に使用されます。

      注記

      GitOps ZTP 4.17 を通じて適用される Operator のデフォルトチャネルは、performance-addon-operator 以外は stable です。OpenShift Container Platform 4.11 以降、performance-addon-operator 機能は node-tuning-operator に移動されました。4.10 リリースの場合、PAO のデフォルトチャネルは v4.10 です。共通の PolicyGenTemplate CR でデフォルトのチャネルを指定することもできます。

   4. PolicyGenTemplate CR の更新を GitOps ZTP Git リポジトリーにプッシュします。

      ArgoCD は Git リポジトリーから変更を取得し、ハブクラスターでポリシーを生成します。

   5. 以下のコマンドを実行して、作成したポリシーを確認します。

      $ oc get policies -A | grep -E "catsrc-policy|subscription"

      Copy to Clipboard Toggle word wrap

2. Operator の更新を開始する前に、必要なカタログソースの更新を適用します。

   1. operator-upgrade-prep という名前の ClusterGroupUpgrade CR の内容をカタログソースポリシーと共に、ターゲットマネージドクラスターの内容を cgu-operator-upgrade-prep.yml ファイルに保存します。

      apiVersion: ran.openshift.io/v1alpha1
      kind: ClusterGroupUpgrade
      metadata:
        name: cgu-operator-upgrade-prep
        namespace: default
      spec:
        clusters:
        - spoke1
        enable: true
        managedPolicies:
        - du-upgrade-operator-catsrc-policy
        remediationStrategy:
          maxConcurrency: 1

      Copy to Clipboard Toggle word wrap

   2. 次のコマンドを実行して、ポリシーをハブクラスターに適用します。

      $ oc apply -f cgu-operator-upgrade-prep.yml

      Copy to Clipboard Toggle word wrap

   3. 更新プロセスを監視します。完了したら、次のコマンドを実行して、ポリシーが準拠していることを確認します。

      $ oc get policies -A | grep -E "catsrc-policy"

      Copy to Clipboard Toggle word wrap

3. spec.enable フィールドを false に設定して、Operator 更新の ClusterGroupUpgrade CR を作成します。

   1. 以下の例のように、Operator 更新 ClusterGroupUpgrade CR の内容を du-upgrade-operator-catsrc-policy ポリシーで保存して、共通の PolicyGenTemplate およびターゲットクラスターで作成されたサブスクリプションポリシーを cgu-operator-upgrade.yml ファイルに保存します。

      apiVersion: ran.openshift.io/v1alpha1
      kind: ClusterGroupUpgrade
      metadata:
        name: cgu-operator-upgrade
        namespace: default
      spec:
        managedPolicies:
        - du-upgrade-operator-catsrc-policy 

      1

      
        - common-subscriptions-policy 

      2

      
        preCaching: false
        clusters:
        - spoke1
        remediationStrategy:
          maxConcurrency: 1
        enable: false

      Copy to Clipboard Toggle word wrap

      1

      このポリシーは、カタログソースから Operator イメージを取得するために、イメージの事前キャッシュ機能で必要になります。

      2

      ポリシーには Operator サブスクリプションが含まれます。参照 PolicyGenTemplates の構造と内容に従っている場合、すべての Operator サブスクリプションは common-subscriptions-policy ポリシーにグループ化されます。

      注記

      1 つの ClusterGroupUpgrade CR は、ClusterGroupUpgrade CR に含まれる 1 つのカタログソースからサブスクリプションポリシーで定義される必要な Operator のイメージのみを事前キャッシュできます。SRIOV-FEC Operator の例のように、目的の Operator が異なるカタログソースからのものである場合、別の ClusterGroupUpgrade CR を du-upgrade-fec-catsrc-policy および du-upgrade-subscriptions-fec-policy ポリシーで作成する必要があります。SRIOV-FEC Operator イメージの事前キャッシュと更新。

   2. 次のコマンドを実行して、ClusterGroupUpgrade CR をハブクラスターに適用します。

      $ oc apply -f cgu-operator-upgrade.yml

      Copy to Clipboard Toggle word wrap

4. オプション: Operator の更新用にイメージを事前キャッシュします。

   1. イメージの事前キャッシュを開始する前に、以下のコマンドを実行して、サブスクリプションポリシーがこの時点で NonCompliant であることを確認します。

      $ oc get policy common-subscriptions-policy -n <policy_namespace>

      Copy to Clipboard Toggle word wrap

      出力例

      NAME                          REMEDIATION ACTION   COMPLIANCE STATE     AGE
      common-subscriptions-policy   inform               NonCompliant         27d

      Copy to Clipboard Toggle word wrap

   2. 以下のコマンドを実行して、ClusterGroupUpgrade CR で事前キャッシュを有効にします。

      $ oc --namespace=default patch clustergroupupgrade.ran.openshift.io/cgu-operator-upgrade \
      --patch '{"spec":{"preCaching": true}}' --type=merge

      Copy to Clipboard Toggle word wrap

   3. プロセスを監視し、事前キャッシュが完了するまで待ちます。マネージドクラスターで次のコマンドを実行して、事前キャッシュの状態を確認します。

      $ oc get cgu cgu-operator-upgrade -o jsonpath='{.status.precaching.status}'

      Copy to Clipboard Toggle word wrap

   4. 以下のコマンドを実行して、更新を開始する前に事前キャッシュが完了したかどうかを確認します。

      $ oc get cgu -n default cgu-operator-upgrade -ojsonpath='{.status.conditions}' | jq

      Copy to Clipboard Toggle word wrap

      出力例

      [
          {
            "lastTransitionTime": "2022-03-08T20:49:08.000Z",
            "message": "The ClusterGroupUpgrade CR is not enabled",
            "reason": "UpgradeNotStarted",
            "status": "False",
            "type": "Ready"
          },
          {
            "lastTransitionTime": "2022-03-08T20:55:30.000Z",
            "message": "Precaching is completed",
            "reason": "PrecachingCompleted",
            "status": "True",
            "type": "PrecachingDone"
          }
      ]

      Copy to Clipboard Toggle word wrap

5. Operator の更新を開始します。

   1. 以下のコマンドを実行して cgu-operator-upgrade ClusterGroupUpgrade CR を有効にし、事前キャッシュを無効にして Operator の更新を開始します。

      $ oc --namespace=default patch clustergroupupgrade.ran.openshift.io/cgu-operator-upgrade \
      --patch '{"spec":{"enable":true, "preCaching": false}}' --type=merge

      Copy to Clipboard Toggle word wrap

   2. プロセスを監視します。完了したら、次のコマンドを実行して、ポリシーが準拠していることを確認します。

      $ oc get policies --all-namespaces

      Copy to Clipboard Toggle word wrap

手順

1. PolicyGenTemplate リソースにカタログソース設定を追加します。

   - fileName: DefaultCatsrc.yaml
         remediationAction: inform
         policyName: "operator-catsrc-policy"
         metadata:
           name: redhat-operators-disconnected
         spec:
           displayName: Red Hat Operators Catalog
           image: registry.example.com:5000/olm/redhat-operators-disconnected:v{product-version}
           updateStrategy:
             registryPoll:
               interval: 1h
         status:
           connectionState:
               lastObservedState: READY
   - fileName: DefaultCatsrc.yaml
         remediationAction: inform
         policyName: "operator-catsrc-policy"
         metadata:
           name: redhat-operators-disconnected-v2 

   1

   
         spec:
           displayName: Red Hat Operators Catalog v2 

   2

   
           image: registry.example.com:5000/olm/redhat-operators-disconnected:<version> 

   3

   
           updateStrategy:
             registryPoll:
               interval: 1h
         status:
           connectionState:
               lastObservedState: READY

   Copy to Clipboard Toggle word wrap

   1

   新しい設定の名前を更新します。

   2

   新しい設定の表示名を更新します。

   3

   インデックスイメージの URL を更新します。この fileName.spec.image フィールドは、DefaultCatsrc.yaml ファイル内の設定をオーバーライドします。

2. 更新が必要な Operator の新しい設定を指すように Subscription リソースを更新します。

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: operator-subscription
     namespace: operator-namspace
   # ...
   spec:
     source: redhat-operators-disconnected-v2 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   PolicyGenTemplate リソースで定義した追加のカタログソース設定の名前を入力します。

手順

1. 「プラットフォーム更新の実行」および「Operator 更新の実行」セクションで説明されている手順に従って、更新用の PolicyGenTemplate CR を作成します。

2. プラットフォームの準備作業と Operator の更新を適用します。

   1. プラットフォームの更新の準備作業、カタログソースの更新、およびターゲットクラスターのポリシーを含む ClusterGroupUpgrade CR の内容を cgu-platform-operator-upgrade-prep.yml ファイルに保存します。次に例を示します。

      apiVersion: ran.openshift.io/v1alpha1
      kind: ClusterGroupUpgrade
      metadata:
        name: cgu-platform-operator-upgrade-prep
        namespace: default
      spec:
        managedPolicies:
        - du-upgrade-platform-upgrade-prep
        - du-upgrade-operator-catsrc-policy
        clusterSelector:
        - group-du-sno
        remediationStrategy:
          maxConcurrency: 10
        enable: true

      Copy to Clipboard Toggle word wrap

   2. 次のコマンドを実行して、cgu-platform-operator-upgrade-prep.yml ファイルをハブクラスターに適用します。

      $ oc apply -f cgu-platform-operator-upgrade-prep.yml

      Copy to Clipboard Toggle word wrap

   3. プロセスを監視します。完了したら、次のコマンドを実行して、ポリシーが準拠していることを確認します。

      $ oc get policies --all-namespaces

      Copy to Clipboard Toggle word wrap

3. プラットフォーム用の ClusterGroupUpdate CR と、spec.enable フィールドを false に設定した Operator 更新を作成します。

   1. 次の例に示すように、ポリシーとターゲットクラスターを含むプラットフォームと Operator の更新 ClusterGroupUpdate CR の内容を cgu-platform-operator-upgrade.yml ファイルに保存します。

      apiVersion: ran.openshift.io/v1alpha1
      kind: ClusterGroupUpgrade
      metadata:
        name: cgu-du-upgrade
        namespace: default
      spec:
        managedPolicies:
        - du-upgrade-platform-upgrade 

      1

      
        - du-upgrade-operator-catsrc-policy 

      2

      
        - common-subscriptions-policy 

      3

      
        preCaching: true
        clusterSelector:
        - group-du-sno
        remediationStrategy:
          maxConcurrency: 1
        enable: false

      Copy to Clipboard Toggle word wrap

      1

      これはプラットフォーム更新ポリシーです。

      2

      これは、更新される Operator のカタログソース情報が含まれるポリシーです。事前キャッシュ機能がマネージドクラスターにダウンロードする Operator イメージを決定するために必要です。

      3

      これは、Operator を更新するためのポリシーです。

   2. 次のコマンドを実行して、cgu-platform-operator-upgrade.yml ファイルをハブクラスターに適用します。

      $ oc apply -f cgu-platform-operator-upgrade.yml

      Copy to Clipboard Toggle word wrap

4. オプション: プラットフォームおよび Operator の更新用にイメージを事前キャッシュします。

   1. 以下のコマンドを実行して、ClusterGroupUpgrade CR で事前キャッシュを有効にします。

      $ oc --namespace=default patch clustergroupupgrade.ran.openshift.io/cgu-du-upgrade \
      --patch '{"spec":{"preCaching": true}}' --type=merge

      Copy to Clipboard Toggle word wrap

   2. 更新プロセスを監視し、事前キャッシュが完了するまで待ちます。マネージドクラスターで次のコマンドを実行して、事前キャッシュの状態を確認します。

      $ oc get jobs,pods -n openshift-talm-pre-cache

      Copy to Clipboard Toggle word wrap

   3. 以下のコマンドを実行して、更新を開始する前に事前キャッシュが完了したかどうかを確認します。

      $ oc get cgu cgu-du-upgrade -ojsonpath='{.status.conditions}'

      Copy to Clipboard Toggle word wrap

5. プラットフォームおよび Operator の更新を開始します。

   1. 以下のコマンドを実行して、cgu-du-upgrade ClusterGroupUpgrade CR がプラットフォームと Operator の更新を開始します。

      $ oc --namespace=default patch clustergroupupgrade.ran.openshift.io/cgu-du-upgrade \
      --patch '{"spec":{"enable":true, "preCaching": false}}' --type=merge

      Copy to Clipboard Toggle word wrap

   2. プロセスを監視します。完了したら、次のコマンドを実行して、ポリシーが準拠していることを確認します。

      $ oc get policies --all-namespaces

      Copy to Clipboard Toggle word wrap
      注記

      プラットフォームおよび Operator 更新の CR は、設定を spec.enable: true に設定して最初から作成できます。この場合、更新は事前キャッシュが完了した直後に開始し、CR を手動で有効にする必要はありません。

      事前キャッシュと更新の両方で、ポリシー、配置バインディング、配置ルール、マネージドクラスターアクション、マネージドクラスタービューなどの追加リソースが作成され、手順を完了することができます。afterCompletion.deleteObjects フィールドを true に設定すると、更新の完了後にこれらのリソースがすべて削除されます。

手順

1. common-ranGen.yaml ファイルの Performance Addon Operator namespace、Operator グループ、およびサブスクリプションの complianceType を mustnothave に変更します。

   - fileName: PaoSubscriptionNS.yaml
     policyName: "subscriptions-policy"
     complianceType: mustnothave
   - fileName: PaoSubscriptionOperGroup.yaml
     policyName: "subscriptions-policy"
     complianceType: mustnothave
   - fileName: PaoSubscription.yaml
     policyName: "subscriptions-policy"
     complianceType: mustnothave

   Copy to Clipboard Toggle word wrap
2. 変更をカスタムサイトリポジトリーにマージし、ArgoCD アプリケーションが変更をハブクラスターに同期するのを待ちます。common-subscriptions-policy ポリシーのステータスが Non-Compliant に変わります。
3. Topology Aware Lifecycle Manager を使用して、ターゲットクラスターに変更を適用します。設定変更のロールアウトの詳細は、「関連情報」セクションを参照してください。

4. プロセスを監視します。ターゲットクラスターの common-subscriptions-policy ポリシーのステータスが Compliant の場合、Performance Addon Operator はクラスターから削除されています。次のコマンドを実行して、common-subscriptions-policy のステータスを取得します。

   $ oc get policy -n ztp-common common-subscriptions-policy

   Copy to Clipboard Toggle word wrap
5. common-ranGen.yaml ファイルの spec.sourceFiles から Performance Addon Operator namespace、Operator グループ、およびサブスクリプション CR を削除します。
6. 変更をカスタムサイトリポジトリーにマージし、ArgoCD アプリケーションが変更をハブクラスターに同期するのを待ちます。ポリシーは準拠したままです。

手順

1. 他の PolicyGenTemplate CR を含む git リポジトリーに group-du-clo5-cleanup-policy.yaml ファイルを追加します。

   クリーンアップファイルの例

   ---
   apiVersion: policy.open-cluster-management.io/v1
   kind: Policy
   metadata:
       annotations:
           policy.open-cluster-management.io/categories: CM Configuration Management
           policy.open-cluster-management.io/controls: CM-2 Baseline Configuration
           policy.open-cluster-management.io/description: ""
           policy.open-cluster-management.io/standards: NIST SP 800-53
           ran.openshift.io/ztp-deploy-wave: "11"
       name: group-du-sno-clo5-cleanup
       namespace: ztp-group
   spec:
       disabled: false
       policy-templates:
           - objectDefinition:
               apiVersion: policy.open-cluster-management.io/v1
               kind: ConfigurationPolicy
               metadata:
                   name: group-du-sno-clo5-cleanup
               spec:
                   evaluationInterval:
                       compliant: 10m
                       noncompliant: 10s
                   namespaceSelector:
                       exclude:
                           - kube-*
                       include:
                           - '*'
                   object-templates-raw: |
                       {{ if ne (default "" (lookup "apiextensions.k8s.io/v1" "CustomResourceDefinition" "" "clusterlogforwarders.logging.openshift.io").metadata.name) "" }}
                       - complianceType: mustnothave
                         objectDefinition:
                           apiVersion: logging.openshift.io/v1
                           kind: ClusterLogForwarder
                           metadata:
                             name: instance
                             namespace: openshift-logging
                       - complianceType: mustnothave
                         objectDefinition:
                           apiVersion: apiextensions.k8s.io/v1
                           kind: CustomResourceDefinition
                           metadata:
                             name: clusterlogforwarders.logging.openshift.io
                       {{ end }}
                       {{ if ne (default "" (lookup "apiextensions.k8s.io/v1" "CustomResourceDefinition" "" "clusterloggings.logging.openshift.io").metadata.name) "" }}
                       - complianceType: mustnothave
                         objectDefinition:
                           apiVersion: logging.openshift.io/v1
                           kind: ClusterLogging
                           metadata:
                             name: instance
                             namespace: openshift-logging
                       - complianceType: mustnothave
                         objectDefinition:
                           apiVersion: apiextensions.k8s.io/v1
                           kind: CustomResourceDefinition
                           metadata:
                             name: clusterloggings.logging.openshift.io
                       {{ end }}
                   remediationAction: inform
                   severity: low
       remediationAction: inform
   ---
   apiVersion: apps.open-cluster-management.io/v1
   kind: PlacementRule
   metadata:
       name: placementrule-group-du-sno-clo5-cleanup
       namespace: ztp-group
   spec:
       clusterSelector:
           matchExpressions:
               - key: group-du-sno
                 operator: Exists
               - key: du-profile
                 operator: In
                 values:
                   - latest
               - key: clo5-cleanup-done
                 operator: DoesNotExist
   ---
   apiVersion: policy.open-cluster-management.io/v1
   kind: PlacementBinding
   metadata:
       name: binding-group-du-sno-clo5-cleanup
       namespace: ztp-group
   placementRef:
       apiGroup: apps.open-cluster-management.io
       kind: PlacementRule
       name: placementrule-group-du-sno-clo5-cleanup
   subjects:
       - apiGroup: policy.open-cluster-management.io
         kind: Policy
         name: group-du-sno-clo5-cleanup

   Copy to Clipboard Toggle word wrap

2. 必要に応じて、クリーンアップ PolicyGenTemplate CR の PlacementRule を更新して、クラスターの関連するフリートで使用されているバインディングルールと一致するようにします。

3. クリーンアップ PolicyGenTemplate CR を kustomization.yaml ファイルの resources セクションに追加します。

   kustomization.yaml ファイルの例

   # ...
   
   resources:
   - ns.yaml
   # ...
   - group-du-clo5-cleanup-policy.yaml
   # ...

   Copy to Clipboard Toggle word wrap

4. クリーンアップ PolicyGenTemplate CR および kustomization.yaml ファイルをコミットし、git リポジトリーにプッシュします。
5. ArgoCD が生成され、クリーンアップポリシーが生成され、ハブクラスターに同期するまで待ちます。

検証

1. クリーンアップポリシーが、Cluster Logging Operator バージョン 5.x から 6.x にアップグレードしたすべてのクラスターにバインドされていることを確認します。
2. クリーンアップポリシーの wave が group-du-sno 設定ポリシーの後にいることを確認します。