3.8. コンテナーネットワーク namespace での master インターフェイスの設定

手順

1. 次のコマンドを使用して、Pod をデプロイする専用のコンテナー namespace を作成します。

   $ oc new-project test-namespace

2. SR-IOV ノードポリシーを作成します。

   1. SriovNetworkNodePolicy オブジェクトを作成してから、YAML を sriov-node-network-policy.yaml ファイルに保存します。

      apiVersion: sriovnetwork.openshift.io/v1
      kind: SriovNetworkNodePolicy
      metadata:
       name: sriovnic
       namespace: openshift-sriov-network-operator
      spec:
       deviceType: netdevice
       isRdma: false
       needVhostNet: true
       nicSelector:
         vendor: "15b3"
         deviceID: "101b"
         rootDevices: ["00:05.0"]
       numVfs: 10
       priority: 99
       resourceName: sriovnic
       nodeSelector:
          feature.node.kubernetes.io/network-sriov.capable: "true"

      ここでは、以下のようになります。

      vendor

      SR-IOV ネットワークデバイスのベンダーの 16 進数コード。15b3 の値は Mellanox NIC に関連付けられます。

      deviceID

      SR-IOV ネットワークデバイスのデバイスの 16 進数コード。

      注記

      deviceType: netdevice を設定した SR-IOV ネットワークノードポリシーの設定例は、Mellanox ネットワークインターフェイスカード (NIC) 向けに特別に調整されています。

   2. 以下のコマンドを実行して YAML 設定を適用します。

      $ oc apply -f sriov-node-network-policy.yaml

      注記

      ノードの再起動操作により、YAML 設定の適用に時間がかかる場合があります。

3. SR-IOV ネットワークを作成します。

   1. 次のサンプル CR に示すように、追加のセカンダリー SR-IOV ネットワーク割り当て用の SriovNetwork カスタムリソース(CR)を作成します。YAML を sriov-network-attachment.yaml ファイルとして保存します。

      apiVersion: sriovnetwork.openshift.io/v1
      kind: SriovNetwork
      metadata:
       name: sriov-network
       namespace: openshift-sriov-network-operator
      spec:
       networkNamespace: test-namespace
       resourceName: sriovnic
       spoofChk: "off"
       trust: "on"

   2. 以下のコマンドを実行して YAML を適用します。

      $ oc apply -f sriov-network-attachment.yaml

4. VLAN セカンダリーネットワークを作成します。

   1. 以下の YAML の例を使用して、vlan100-additional-network-configuration.yaml という名前のファイルを作成します。

      apiVersion: k8s.cni.cncf.io/v1
      kind: NetworkAttachmentDefinition
      metadata:
        name: vlan-100
        namespace: test-namespace
      spec:
        config: |
          {
            "cniVersion": "0.4.0",
            "name": "vlan-100",
            "plugins": [
              {
                "type": "vlan",
                "master": "ext0",
                "mtu": 1500,
                "vlanId": 100,
                "linkInContainer": true,
                "ipam": {"type": "whereabouts", "ipRanges": [{"range": "1.1.1.0/24"}]}
              }
            ]
          }

      ここでは、以下のようになります。

      master

      VLAN 設定では master 名を指定する必要があります。Pod の networks アノテーションで名前を指定できます。

      linkInContainer

      linkInContainer パラメーターを指定する必要があります。

   2. 以下のコマンドを実行して、YAML ファイルを適用します。

      $ oc apply -f vlan100-additional-network-configuration.yaml

5. 先に指定したネットワークを使用して Pod 定義を作成します。

   1. 次の YAML 設定例を使用して、pod-a.yaml ファイルという名前のファイルを作成します。

      注記

      マニフェストの例には、次のリソースが含まれています。

      • セキュリティーラベルのある namespace
      • 適切なネットワークアノテーションを含む Pod 定義

      apiVersion: v1
      kind: Namespace
      metadata:
        name: test-namespace
        labels:
          pod-security.kubernetes.io/enforce: privileged
          pod-security.kubernetes.io/audit: privileged
          pod-security.kubernetes.io/warn: privileged
          security.openshift.io/scc.podSecurityLabelSync: "false"
      ---
      apiVersion: v1
      kind: Pod
      metadata:
        name: nginx-pod
        namespace: test-namespace
        annotations:
          k8s.v1.cni.cncf.io/networks: '[
            {
              "name": "sriov-network",
              "namespace": "test-namespace",
              "interface": "ext0"
            },
            {
              "name": "vlan-100",
              "namespace": "test-namespace",
              "interface": "ext0.100"
            }
          ]'
      spec:
        securityContext:
          runAsNonRoot: true
        containers:
          - name: nginx-container
            image: nginxinc/nginx-unprivileged:latest
            securityContext:
              allowPrivilegeEscalation: false
              capabilities:
                drop: ["ALL"]
            ports:
              - containerPort: 80
            seccompProfile:
              type: "RuntimeDefault"

      ここでは、以下のようになります。

      interface

      VLAN インターフェイスの マスター インターフェイスとして使用される名前。

   2. 以下のコマンドを実行して、YAML ファイルを適用します。

      $ oc apply -f pod-a.yaml

6. 次のコマンドを実行して、test-namespace 内の nginx-pod に関する詳細情報を取得します。

   $ oc describe pods nginx-pod -n test-namespace

   Name:         nginx-pod
   Namespace:    test-namespace
   Priority:     0
   Node:         worker-1/10.46.186.105
   Start Time:   Mon, 14 Aug 2023 16:23:13 -0400
   Labels:       <none>
   Annotations:  k8s.ovn.org/pod-networks:
                   {"default":{"ip_addresses":["10.131.0.26/23"],"mac_address":"0a:58:0a:83:00:1a","gateway_ips":["10.131.0.1"],"routes":[{"dest":"10.128.0.0...
                 k8s.v1.cni.cncf.io/network-status:
                   [{
                       "name": "ovn-kubernetes",
                       "interface": "eth0",
                       "ips": [
                           "10.131.0.26"
                       ],
                       "mac": "0a:58:0a:83:00:1a",
                       "default": true,
                       "dns": {}
                   },{
                       "name": "test-namespace/sriov-network",
                       "interface": "ext0",
                       "mac": "6e:a7:5e:3f:49:1b",
                       "dns": {},
                       "device-info": {
                           "type": "pci",
                           "version": "1.0.0",
                           "pci": {
                               "pci-address": "0000:d8:00.2"
                           }
                       }
                   },{
                       "name": "test-namespace/vlan-100",
                       "interface": "ext0.100",
                       "ips": [
                           "1.1.1.1"
                       ],
                       "mac": "6e:a7:5e:3f:49:1b",
                       "dns": {}
                   }]
                 k8s.v1.cni.cncf.io/networks:
                   [ { "name": "sriov-network", "namespace": "test-namespace", "interface": "ext0" }, { "name": "vlan-100", "namespace": "test-namespace", "i...
                 openshift.io/scc: privileged
   Status:       Running
   IP:           10.131.0.26
   IPs:
     IP:  10.131.0.26

手順

1. 次のコマンドを入力して、Pod のデプロイ先となる専用のコンテナー namespace を作成します。

   $ oc new-project test-namespace

2. 以下の YAML 設定例を使用して、bridge-nad.yaml という名前のブリッジ NetworkAttachmentDefinition カスタムリソース定義(CRD)ファイルを作成します。

   apiVersion: "k8s.cni.cncf.io/v1"
   kind: NetworkAttachmentDefinition
   metadata:
     name: bridge-network
   spec:
     config: '{
       "cniVersion": "0.4.0",
       "name": "bridge-network",
       "type": "bridge",
       "bridge": "br-001",
       "isGateway": true,
       "ipMasq": true,
       "hairpinMode": true,
       "ipam": {
         "type": "host-local",
         "subnet": "10.0.0.0/24",
         "routes": [{"dst": "0.0.0.0/0"}]
       }
     }'

3. 次のコマンドを実行して、NetworkAttachmentDefinition CRD を OpenShift Container Platform クラスターに適用します。

   $ oc apply -f bridge-nad.yaml

4. 次のコマンドを入力して、NetworkAttachmentDefinition CRD が正常に作成されたことを確認します。予想される出力には、NAD CRD の名前と作成後の経過時間 (分) が表示されます。

   $ oc get network-attachment-definitions

5. 以下の YAML の例を使用して、IPVLAN セカンダリーネットワーク設定用に ipvlan-additional-network-configuration.yaml という名前のファイルを作成します。

   apiVersion: k8s.cni.cncf.io/v1
   kind: NetworkAttachmentDefinition
   metadata:
     name: ipvlan-net
     namespace: test-namespace
   spec:
     config: '{
       "cniVersion": "0.3.1",
       "name": "ipvlan-net",
       "type": "ipvlan",
       "master": "net1",
       "mode": "l3",
       "linkInContainer": true,
       "ipam": {"type": "whereabouts", "ipRanges": [{"range": "10.0.0.0/24"}]}
     }'

   ここでは、以下のようになります。

   master

   ネットワークアタッチメントに関連付けるイーサネットインターフェイスを指定します。その後、イーサネットインターフェイスは Pod ネットワークアノテーションで設定されます。

   linkInContainer

   マスター インターフェイスがコンテナーネットワーク namespace に存在することを指定します。

6. 以下のコマンドを実行して、YAML ファイルを適用します。

   $ oc apply -f ipvlan-additional-network-configuration.yaml

7. 次のコマンドを実行して、NetworkAttachmentDefinition CRD が正常に作成されたことを確認します。予想される出力には、NAD CRD の名前と作成後の経過時間 (分) が表示されます。

   $ oc get network-attachment-definitions

8. 次の YAML 設定例を使用して、Pod 定義用に pod-a.yaml という名前のファイルを作成します。

   apiVersion: v1
   kind: Pod
   metadata:
     name: pod-a
     namespace: test-namespace
     annotations:
       k8s.v1.cni.cncf.io/networks: '[
         {
           "name": "bridge-network",
           "interface": "net1" 

   1

   
         },
         {
           "name": "ipvlan-net",
           "interface": "net2"
         }
       ]'
   spec:
     securityContext:
       runAsNonRoot: true
       seccompProfile:
         type: RuntimeDefault
     containers:
     - name: test-pod
       image: quay.io/openshifttest/hello-sdn@sha256:c89445416459e7adea9a5a416b3365ed3d74f2491beb904d61dc8d1eb89a72a4
       securityContext:
         allowPrivilegeEscalation: false
         capabilities:
           drop: [ALL]

   ここでは、以下のようになります。

   k8s.v1.cni.cncf.io/networks,interface

   IPVLAN インターフェイスの master として使用する名前を指定します。

9. 以下のコマンドを実行して、YAML ファイルを適用します。

   $ oc apply -f pod-a.yaml

検証

1. 以下のコマンドを使用して、Pod が実行されていることを確認します。

   $ oc get pod -n test-namespace

   NAME    READY   STATUS    RESTARTS   AGE
   pod-a   1/1     Running   0          2m36s

2. 次のコマンドを実行して、test-namespace 内の pod-a リソースに関するネットワークインターフェイス情報を表示します。

   $ oc exec -n test-namespace pod-a -- ip a

   1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
       link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
       inet 127.0.0.1/8 scope host lo
          valid_lft forever preferred_lft forever
       inet6 ::1/128 scope host
          valid_lft forever preferred_lft forever
   3: eth0@if105: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1400 qdisc noqueue state UP group default
       link/ether 0a:58:0a:d9:00:5d brd ff:ff:ff:ff:ff:ff link-netnsid 0
       inet 10.217.0.93/23 brd 10.217.1.255 scope global eth0
          valid_lft forever preferred_lft forever
       inet6 fe80::488b:91ff:fe84:a94b/64 scope link
          valid_lft forever preferred_lft forever
   4: net1@if107: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default
       link/ether be:da:bd:7e:f4:37 brd ff:ff:ff:ff:ff:ff link-netnsid 0
       inet 10.0.0.2/24 brd 10.0.0.255 scope global net1
          valid_lft forever preferred_lft forever
       inet6 fe80::bcda:bdff:fe7e:f437/64 scope link
          valid_lft forever preferred_lft forever
   5: net2@net1: <BROADCAST,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc noqueue state UNKNOWN group default
       link/ether be:da:bd:7e:f4:37 brd ff:ff:ff:ff:ff:ff
       inet 10.0.0.1/24 brd 10.0.0.255 scope global net2
          valid_lft forever preferred_lft forever
       inet6 fe80::beda:bd00:17e:f437/64 scope link
          valid_lft forever preferred_lft forever

   この出力は、ネットワークインターフェイスの net2 が物理インターフェイス net1 に関連付けられていることを示しています。