4.3. Kernel Module Management Operator の設定

手順

1. 設定を変更するには、次のコマンドを入力して ConfigMap データを編集します。

   $ oc edit configmap -n "$namespace" kmm-operator-manager-config

   Copy to Clipboard Toggle word wrap

   出力例

   healthProbeBindAddress: :8081
   job:
     gcDelay: 1h
   leaderElection:
     enabled: true
     resourceID: kmm.sigs.x-k8s.io
   webhook:
     disableHTTP2: true  # CVE-2023-44487
     port: 9443
   metrics:
     enableAuthnAuthz: true
     disableHTTP2: true  # CVE-2023-44487
     bindAddress: 0.0.0.0:8443
     secureServing: true
   worker:
     runAsUser: 0
     seLinuxType: spc_t
     setFirmwareClassPath: /var/lib/firmware

   Copy to Clipboard Toggle word wrap

   Expand

   表4.1 Operator 設定パラメーター

   パラメーター	説明
   healthProbeBindAddress	Operator が kubelet ヘルスプローブを監視するアドレスを定義します。推奨値は :8081 です。
   job.gcDelay	成功したビルド Pod を削除するまでの保持期間を定義します。この設定に推奨値はありません。この設定の有効な値は、ParseDuration を参照してください。
   leaderElection.enabled	leader election を使用して KMM Operator のレプリカが常に 1 つだけ実行されるようにするか決定します。詳細は、リース を参照してください。推奨値は true です。
   leaderElection.resourceID	leader election がリーダーロックを保持するために使用するリソースの名前を決定します。推奨値は kmm.sigs.x-k8s.io です。
   webhook.disableHTTP2	true の場合、cve-2023-44487 の緩和策として、webhook サーバーの HTTP/2 が無効になります。推奨値は true です。
   webhook.port	Operator が webhook リクエストを監視するポートを定義します。推奨値は 9443 です。
   metrics.enableAuthnAuthz	メトリクスの認証に TokenReviews を使用し、認可に kube-apiserver で SubjectAccessReviews を使用するか決定します。 認証と認可のために、コントローラーには次のルールを持つ ClusterRole が必要です。 apiGroups: authentication.k8s.io, resources: tokenreviews, verbs: create apiGroups: authorization.k8s.io, resources: subjectaccessreviews, verbs: create たとえば、Prometheus を使用してメトリクスをスクレイピングするには、クライアントに次のルールを持つ ClusterRole が必要です。 nonResourceURLs: "/metrics", verbs: get 推奨値は true です。
   metrics.disableHTTP2	true の場合、CVE-2023-44487 の緩和策として、メトリクススサーバーの HTTP/2 が無効になります。推奨値は true です。
   metrics.bindAddress	メトリクスサーバーのバインドアドレスを決定します。指定しない場合、デフォルトは :8080 です。メトリクスサーバーを無効にするには、0 に設定します。推奨値は 0.0.0.0:8443 です。
   metrics.secureServing	メトリクスが HTTP ではなく HTTPS 経由で提供されるかどうかを決定します。推奨値は true です。
   worker.runAsUser	ワーカーコンテナーのセキュリティーコンテキストの runAsUser フィールド値を決定します。詳細は、SecurityContext を参照してください。推奨値は 9443 です。
   worker.seLinuxType	ワーカーコンテナーのセキュリティーコンテキストの seLinuxOptions.type フィールド値を決定します。詳細は、SecurityContext を参照してください。推奨値は spc_t です。
   worker.setFirmwareClassPath	カーネルのファームウェア検索パスをノード上の /sys/module/firmware_class/parameters/path ファイルに設定します。ワーカーアプリケーションを通じて値を設定する必要がある場合、推奨値は /var/lib/firmware です。それ以外の場合は設定しません。

   Show more

2. 設定を変更したら、次のコマンドでコントローラーを再起動します。

   $ oc delete pod -n "<namespace>" -l app.kubernetes.io/component=kmm

   Copy to Clipboard Toggle word wrap
   注記

   <namespace> の値は、元のインストール方法によって異なります。