ネットワーク

手順

1. cluster-admin 権限を持つユーザーとしてのログイン。

2. デフォルトのプロジェクトテンプレートを生成します。

   $ oc adm create-bootstrap-project-template -o yaml > template.yaml

3. オブジェクトを追加するか、または既存オブジェクトを変更することにより、テキストエディターで生成される template.yaml ファイルを変更します。

4. プロジェクトテンプレートは、openshift-config namespace に作成される必要があります。変更したテンプレートを読み込みます。

   $ oc create -f template.yaml -n openshift-config

5. Web コンソールまたは CLI を使用し、プロジェクト設定リソースを編集します。

   • Web コンソールの使用

     1. Administration → Cluster Settings ページに移動します。
     2. Global Configuration をクリックし、すべての設定リソースを表示します。
     3. Project のエントリーを見つけ、Edit YAML をクリックします。

   • CLI の使用

     1. project.config.openshift.io/cluster リソースを編集します。

        $ oc edit project.config.openshift.io/cluster

6. spec セクションを、projectRequestTemplate および name パラメーターを組み込むように更新し、アップロードされたプロジェクトテンプレートの名前を設定します。デフォルト名は project-request です。

   カスタムプロジェクトテンプレートを含むプロジェクト設定リソース

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
     ...
   spec:
     projectRequestTemplate:
       name: <template_name>

7. 変更を保存した後、変更が正常に適用されたことを確認するために、新しいプロジェクトを作成します。

手順

1. 以下のコマンドを実行して、新規プロジェクトのデフォルトテンプレートを編集します。

   $ oc edit template <project_template> -n openshift-config

   <project_template> を、クラスターに設定したデフォルトテンプレートの名前に置き換えます。デフォルトのテンプレート名は project-request です。

2. テンプレートでは、各 NetworkPolicy オブジェクトを要素として objects パラメーターに追加します。objects パラメーターは、1 つ以上のオブジェクトのコレクションを受け入れます。

   以下の例では、objects パラメーターのコレクションにいくつかの NetworkPolicy オブジェクトが含まれます。

   objects:
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-same-namespace
     spec:
       podSelector:
       ingress:
       - from:
         - podSelector: {}
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-openshift-ingress
     spec:
       ingress:
       - from:
         - namespaceSelector:
             matchLabels:
               network.openshift.io/policy-group: ingress
       podSelector: {}
       policyTypes:
       - Ingress
   ...

3. オプション: 以下のコマンドを実行して、新規プロジェクトを作成し、ネットワークポリシーオブジェクトが正常に作成されることを確認します。

   1. 新規プロジェクトを作成します。

      $ oc new-project <project> 1

      1

      <project> を、作成しているプロジェクトの名前に置き換えます。

   2. 新規プロジェクトテンプレートのネットワークポリシーオブジェクトが新規プロジェクトに存在することを確認します。

      $ oc get networkpolicy
      NAME                           POD-SELECTOR   AGE
      allow-from-openshift-ingress   <none>         7s
      allow-from-same-namespace      <none>         7s

1. Pod リソース定義を作成し、k8s.v1.cni.cncf.io/networks パラメーターを Pod の metadata マッピングに追加します。k8s.v1.cni.cncf.io/networks は、1 つ以上の NetworkAttachmentDefinition カスタムリソース (CR) 名のカンマ区切りの一覧を受け入れます。

   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: <network>[,<network>,...] 1

   1

   <network> を、Pod に関連付ける追加ネットワークの名前に置き換えます。複数の追加ネットワークを指定するには、各ネットワークをカンマで区切ります。カンマの間にはスペースを入れないでください。同じ追加ネットワークを複数回指定した場合、Pod は複数のネットワークインターフェースをそのネットワークに割り当てます。

   以下の例では、2 つの追加のネットワークが Pod に割り当てられます。

   apiVersion: v1
   kind: Pod
   metadata:
     name: example-pod
     annotations:
       k8s.v1.cni.cncf.io/networks: net1,net2
   spec:
     containers:
     - name: example-pod
       command: ["/bin/bash", "-c", "sleep 2000000000000"]
       image: centos/tools

2. 以下のコマンドを実行して Pod を作成します。

   $ oc create -f pod.yaml

3. オプション: 以下のコマンドを実行して、アノテーションが Pod CR に存在することを確認します。<name> を Pod の名前に置き換えます。

   $ oc get pod <name> -o yaml

   以下の例では、example-pod Pod が追加ネットワークの net1 に割り当てられています。

   $ oc get pod example-pod -o yaml
   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: macvlan-bridge
       k8s.v1.cni.cncf.io/networks-status: |- 1
         [{
             "name": "openshift-sdn",
             "interface": "eth0",
             "ips": [
                 "10.128.2.14"
             ],
             "default": true,
             "dns": {}
         },{
             "name": "macvlan-bridge",
             "interface": "net1",
             "ips": [
                 "20.2.2.100"
             ],
             "mac": "22:2f:60:a5:f8:00",
             "dns": {}
         }]
     name: example-pod
     namespace: default
   spec:
     ...
   status:
     ...

   1

   k8s.v1.cni.cncf.io/networks-status パラメーターは、オブジェクトの JSON 配列です。各オブジェクトは、Pod に割り当てられる追加のネットワークのステータスについて説明します。アノテーションの値はプレーンテキストの値として保存されます。

1. 以下のコマンドを実行して Pod リソース定義を編集します。<name> を、編集する Pod の名前に置き換えます。

   $ oc edit pod <name>

2. 以下のアクションのいずれかを実行して、Pod から追加のネットワークを削除するように annotations マッピングを更新します。

   • Pod からすべての追加ネットワークを削除するには、以下の例にあるように Pod リソース定義から k8s.v1.cni.cncf.io/networks パラメーターを削除します。

     apiVersion: v1
     kind: Pod
     metadata:
       name: example-pod
       annotations: {}
     spec:
       containers:
       - name: example-pod
         command: ["/bin/bash", "-c", "sleep 2000000000000"]
         image: centos/tools

   • Pod から特定の追加ネットワークを削除するには、追加ネットワークの NetworkAttachmentDefinition の名前を削除して k8s.v1.cni.cncf.io/networks パラメーターを更新します。

3. オプション: 以下のコマンドを実行して、Pod が追加のネットワークに接続されていないことを確認します。<name> を Pod の名前に置き換えます。

   $ oc describe pod <name>

   以下の例では、example-pod Pod はデフォルトのクラスターネットワークのみに割り当てられています。

   $ oc describe pod example-pod
   
   Name:               example-pod
   ...
   Annotations:        k8s.v1.cni.cncf.io/networks-status:
                         [{
                             "name": "openshift-sdn",
                             "interface": "eth0",
                             "ips": [
                                 "10.131.0.13"
                             ],
                             "default": true, 1
                             "dns": {}
                         }]
   Status:             Running
   ...

   1

   デフォルトのクラスターネットワークのみが Pod に割り当てられます。

1. 以下のコマンドを実行して CNO CR を編集します。

   $ oc edit networks.operator.openshift.io cluster

2. 以下のサンプル CR のように、作成される追加ネットワークの設定を追加して、作成している CR を変更します。

   以下の YAML はブリッジ CNI プラグインを設定します。

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "type": "bridge",
         "master": "eth1",
         "ipam": {
           "type": "static",
           "addresses": [
             {
               "address": "191.168.1.1/24"
             }
           ]
         }
       }'

   1

   追加ネットワーク割り当て定義の設定を指定します。

3. 変更を保存し、テキストエディターを終了して、変更をコミットします。

4. オプション: 以下のコマンドを実行して、CNO が NetworkAttachmentDefinition CR を作成していることを確認します。CNO が CR を作成するまでに遅延が生じる可能性があります。

   $ oc get network-attachment-definitions -n <namespace>
   NAME                 AGE
   test-network-1       14m

1. 以下のコマンドを実行して CNO CR を編集します。

   $ oc edit networks.operator.openshift.io cluster

2. 以下のサンプル CR のように、作成される追加ネットワークの設定を追加して、作成している CR を変更します。

   以下の YAML は、macvlan CNI プラグインを設定します。

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: SimpleMacvlan
       simpleMacvlanConfig:
         ipamConfig:
           type: static
           staticIPAMConfig:
             addresses:
             - address: 10.1.1.0/24

   1

   追加ネットワーク割り当て定義の設定を指定します。

3. 変更を保存し、テキストエディターを終了して、変更をコミットします。

4. オプション: 以下のコマンドを実行して、CNO が NetworkAttachmentDefinition CR を作成していることを確認します。CNO が CR を作成するまでに遅延が生じる可能性があります。

   $ oc get network-attachment-definitions -n <namespace>
   NAME                 AGE
   test-network-1       14m

1. 以下のコマンドを実行して CNO CR を編集します。

   $ oc edit networks.operator.openshift.io cluster

2. 以下のサンプル CR のように、作成される追加ネットワークの設定を追加して、作成している CR を変更します。

   以下の YAML は IPVLAN CNI プラグインを設定します。

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "type": "ipvlan",
         "master": "eth1",
         "mode": "l2",
         "ipam": {
           "type": "static",
           "addresses": [
             {
               "address": "191.168.1.1/24"
             }
           ]
         }
       }'

   1

   追加ネットワーク割り当て定義の設定を指定します。

3. 変更を保存し、テキストエディターを終了して、変更をコミットします。

4. オプション: 以下のコマンドを実行して、CNO が NetworkAttachmentDefinition CR を作成していることを確認します。CNO が CR を作成するまでに遅延が生じる可能性があります。

   $ oc get network-attachment-definitions -n <namespace>
   NAME                 AGE
   test-network-1       14m

1. 以下のコマンドを実行して CNO CR を編集します。

   $ oc edit networks.operator.openshift.io cluster

2. 以下のサンプル CR のように、作成される追加ネットワークの設定を追加して、作成している CR を変更します。

   以下の YAML は、ホストデバイス CNI プラグインを設定します。

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "type": "host-device",
         "device": "eth1"
       }'

   1

   追加ネットワーク割り当て定義の設定を指定します。

3. 変更を保存し、テキストエディターを終了して、変更をコミットします。

4. オプション: 以下のコマンドを実行して、CNO が NetworkAttachmentDefinition CR を作成していることを確認します。CNO が CR を作成するまでに遅延が生じる可能性があります。

   $ oc get network-attachment-definitions -n <namespace>
   NAME                 AGE
   test-network-1       14m

手順

1. 以下の SriovNetworkNodePolicy CR を作成してから、YAML を <name>-sriov-node-network.yaml ファイルに保存します。<name> をこの設定の名前に置き換えます。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetworkNodePolicy
   metadata:
     name: <name> 1
     namespace: sriov-network-operator 2
   spec:
     resourceName: <sriov_resource_name> 3
     nodeSelector:
       feature.node.kubernetes.io/network-sriov.capable: "true" 4
     priority: <priority> 5
     mtu: <mtu> 6
     numVfs: <num> 7
     nicSelector: 8
       vendor: "<vendor_code>" 9
       deviceID: "<device_id>" 10
       pfNames: ["<pf_name>", ...] 11
       rootDevices: ["<pci_bus_id>", "..."] 12
     deviceType: <device_type> 13
     isRdma: false 14

   1

   CR の名前を指定します。

   2

   SR-IOV Operator がインストールされている namespace を指定します。

   3

   SR-IOV デバイスプラグインのリソース名を指定します。プレフィックス openshift.io/ は Pod 仕様で参照される場合に追加されます。1 つのリソース名に複数の SriovNetworkNodePolicy CR を作成できます。

   4

   設定するノードを選択するノードセレクターを指定します。ユーザーは、手動で、または Kubernetes Node Feature Discovery などのツールを使ってノードにラベルを付けることを選択できます。選択したノード上の SR-IOV ネットワークデバイスのみが設定されます。SR-IOV CNI プラグインおよびデバイスプラグインは、選択されたノードにのみデプロイされます。

   5

   0 から 99 までの整数値を指定します。数値が大きいほど優先度が低くなるため、99 の優先度は 10よりも低くなります。

   6

   Virtual Function の最大転送単位 (MTU) の値を指定します。MTU の値は 1 から 9000 の範囲である必要があります。MTU を指定しない場合は、'' の値を指定します。

   7

   SR-IOV 物理ネットワークデバイス用に作成する VF (仮想機能) の数を指定します。Intel Network Interface Card (NIC) の場合、VF の数はデバイスがサポートする VF の合計よりも大きくすることはできません。Mellanox NIC の場合、VF の数は 128 よりも大きくすることはできません。

   8

   nicSelector マッピングは、Operator が設定するイーサネットデバイスを選択します。すべてのパラメーターの値を指定する必要はありません。意図せずにイーサネットデバイスを選択する可能性を最低限に抑えるために、イーサネットアダプターを正確に特定できるようにすることが推奨されます。rootDevices を指定する場合、vendor、 deviceID、または pfName の値も指定する必要があります。pfName と rootDevices の両方を同時に指定する場合、それらが同一のデバイスをポイントすることを確認します。

   9

   SR-IOV ネットワークデバイスのベンダー 16 進コードを指定します。許可される値は 8086 または 15b3 のいずれかのみになります。

   10

   SR-IOV ネットワークデバイスのデバイス 16 進コードを指定します。許可される値は 158b、1015、 1017 のみになります。

   11

   このパラメーターは、1 つ以上のイーサネットデバイスの物理機能 (PF) 名の配列を受け入れます。

   12

   このパラメーターは、イーサネットデバイスの物理機能についての 1 つ以上の PCI バスアドレスの配列を受け入れます。以下の形式でアドレスを指定します: 0000:02:00.1

   13

   仮想機能のドライバータイプを指定します。以下の値のいずれかを指定できます: netdevice または vfio-pciデフォルト値は netdevice です。

   14

   RDMA モードを有効にするかどうかを指定します。デフォルト値は false です。Mellanox Ethernet アダプターでは、RoCE (RDMA over Converged Ethernet) モードのみがサポートされます。

   注記

   RDMA フラグが true に設定される場合、引き続き RDMA 対応の VF を通常のネットワークデバイスとして使用できます。デバイスはどちらのモードでも使用できます。

2. 以下のコマンドを実行して CR を作成します。

   $ oc create -f <filename> 1

   1

   <filename> を、先の手順で作成したファイルの名前に置き換えます。

手順

1. 以下の SriovNetwork CR を作成してから、YAML を <name>-sriov-network.yaml ファイルに保存します。<name> を、この追加ネットワークの名前に置き換えます。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetwork
   metadata:
     name: <name> 1
     namespace: sriov-network-operator 2
   spec:
     networkNamespace: <target_namespace> 3
     ipam: |- 4
       ...
     vlan: <vlan> 5
     resourceName: <sriov_resource_name> 6

   1

   <name> を CR の名前に置き換えます。Operator は同じ名前を持つ NetworkAttachmentDefinition CR を作成します。

   2

   SR-IOV Operator がインストールされている namespace を指定します。

   3

   <target_namespace> を NetworkAttachmentDefinition CR が作成される namespace に置き換えます。

   4

   IPAM CNI プラグインの設定オブジェクトを YAML ブロックスケーラーとして指定します。プラグインは、割り当て定義についての IP アドレスの割り当てを管理します。

   5

   <vlan> を、追加ネットワークの仮想 LAN (VLAN) ID に置き換えます。整数値は 0 から 4095である必要があります。デフォルト値は 0 です。

   6

   <sriov_resource_name> を、この追加ネットワークの SR-IOV ハードウェアを定義する SriovNetworkNodePolicy CR の .spec.resourceName パラメーターの値に置き換えます。

2. 以下のコマンドを実行して CR を作成します。

   $ oc create -f <filename> 1

   1

   <filename> を、先の手順で作成したファイルの名前に置き換えます。

3. オプション: 以下のコマンドを実行して、直前の手順で作成した SriovNetwork CR に関連付けられた NetworkAttachmentDefinition CR が存在することを確認します。<namespace> を、SriovNetwork CR で指定した namespace に置き換えます。

   oc get net-attach-def -n <namespace>

1. Pod リソース定義を作成し、k8s.v1.cni.cncf.io/networks パラメーターを Pod の metadata マッピングに追加します。k8s.v1.cni.cncf.io/networks は、1 つ以上の NetworkAttachmentDefinition カスタムリソース (CR) 名のカンマ区切りの一覧を受け入れます。

   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: <network>[,<network>,...] 1

   1

   <network> を、Pod に関連付ける追加ネットワークの名前に置き換えます。複数の追加ネットワークを指定するには、各ネットワークをカンマで区切ります。カンマの間にはスペースを入れないでください。同じ追加ネットワークを複数回指定した場合、Pod は複数のネットワークインターフェースをそのネットワークに割り当てます。

   以下の例では、2 つの追加のネットワークが Pod に割り当てられます。

   apiVersion: v1
   kind: Pod
   metadata:
     name: example-pod
     annotations:
       k8s.v1.cni.cncf.io/networks: net1,net2
   spec:
     containers:
     - name: example-pod
       command: ["/bin/bash", "-c", "sleep 2000000000000"]
       image: centos/tools

2. 以下のコマンドを実行して Pod を作成します。

   $ oc create -f pod.yaml

3. オプション: 以下のコマンドを実行して、アノテーションが Pod CR に存在することを確認します。<name> を Pod の名前に置き換えます。

   $ oc get pod <name> -o yaml

   以下の例では、example-pod Pod が追加ネットワークの net1 に割り当てられています。

   $ oc get pod example-pod -o yaml
   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: macvlan-bridge
       k8s.v1.cni.cncf.io/networks-status: |- 1
         [{
             "name": "openshift-sdn",
             "interface": "eth0",
             "ips": [
                 "10.128.2.14"
             ],
             "default": true,
             "dns": {}
         },{
             "name": "macvlan-bridge",
             "interface": "net1",
             "ips": [
                 "20.2.2.100"
             ],
             "mac": "22:2f:60:a5:f8:00",
             "dns": {}
         }]
     name: example-pod
     namespace: default
   spec:
     ...
   status:
     ...

   1

   k8s.v1.cni.cncf.io/networks-status パラメーターは、オブジェクトの JSON 配列です。各オブジェクトは、Pod に割り当てられる追加のネットワークのステータスについて説明します。アノテーションの値はプレーンテキストの値として保存されます。

1. 以下のコマンドを実行し、デフォルトのテキストエディターで Cluster Network Operator (CNO) CR を編集します。

   $ oc edit networks.operator.openshift.io cluster

2. additionalNetworks コレクションで、追加ネットワークを変更内容で更新します。
3. 変更を保存し、テキストエディターを終了して、変更をコミットします。

4. オプション: 以下のコマンドを実行して、CNO が NetworkAttachmentDefinition CR を更新していることを確認します。<network-name> を表示する追加ネットワークの名前に置き換えます。CNO が NetworkAttachmentDefinition CR を更新して変更内容が反映されるまでに遅延が生じる可能性があります。

   $ oc get network-attachment-definitions <network-name> -o yaml

   たとえば、以下のコンソールの出力は net1 という名前の NetworkAttachmentDefinition を表示します。

   $ oc get network-attachment-definitions net1 -o go-template='{{printf "%s\n" .spec.config}}'
   { "cniVersion": "0.3.1", "type": "macvlan",
   "master": "ens5",
   "mode": "bridge",
   "ipam":       {"type":"static","routes":[{"dst":"0.0.0.0/0","gw":"10.128.2.1"}],"addresses":[{"address":"10.128.2.100/23","gateway":"10.128.2.1"}],"dns":{"nameservers":["172.30.0.10"],"domain":"us-west-2.compute.internal","search":["us-west-2.compute.internal"]}} }

1. 以下のコマンドを実行して、デフォルトのテキストエディターで Cluster Network Operator (CNO) を編集します。

   $ oc edit networks.operator.openshift.io cluster

2. 削除しているネットワーク割り当て定義の additionalNetworks コレクションから設定を削除し、CR を変更します。

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: [] 1

   1

   additionalNetworks コレクションの追加ネットワーク割り当てのみの設定マッピングを削除する場合、空のコレクションを指定する必要があります。

3. 変更を保存し、テキストエディターを終了して、変更をコミットします。

4. 以下のコマンドを実行して、追加ネットワークの NetworkAttachmentDefinition CR を削除します。<name> を、削除する追加ネットワークの名前に置き換えます。

   $ oc delete network-attachment-definition <name>

5. オプション: 以下のコマンドを実行して、追加ネットワーク CR が削除されていることを確認します。

   $ oc get network-attachment-definition --all-namespaces

手順

1. 以下の JSON を使用して、NetNamespace リソースを egress IP アドレスで更新します。

    $ oc patch netnamespace <project_name> --type=merge -p \ 1
     '{
       "egressIPs": [
         "<ip_address>" 2
       ]
     }'

   1

   プロジェクトのターゲットを指定します。

   2

   単一 egress IP アドレスを指定します。複数の IP アドレスの使用はサポートされません。

   たとえば、project1 を IP アドレスの 192.168.1.100 に、project2 を IP アドレスの 192.168.1.101 に割り当てるには、以下を実行します。

   $ oc patch netnamespace project1 --type=merge -p \
     '{"egressIPs": ["192.168.1.100"]}'
   $ oc patch netnamespace project2 --type=merge -p \
     '{"egressIPs": ["192.168.1.101"]}'

2. 以下の JSON を使用して、各ホストの egressCIDRs パラメーターを設定して egress IP アドレスをホストできるノードを示します。

   $ oc patch hostsubnet <node_name> --type=merge -p \ 1
     '{
       "egressCIDRs": [
         "<ip_address_range_1>", "<ip_address_range_2>" 2
       ]
     }'

   1

   ノード名を指定します。

   2

   CIDR 形式で 1 つ以上の IP アドレス範囲を指定します。

   たとえば、node1 および node2 を、192.168.1.0 から 192.168.1.255 の範囲で egress IP アドレスをホストするように設定するには、以下を実行します。

   $ oc patch hostsubnet node1 --type=merge -p \
     '{"egressCIDRs": ["192.168.1.0/24"]}'
   $ oc patch hostsubnet node2 --type=merge -p \
     '{"egressCIDRs": ["192.168.1.0/24"]}'

   OpenShift Container Platform はバランスを取りながら特定の egress IP アドレスを利用可能なノードに自動的に割り当てます。この場合、egress IP アドレス 192.168.1.100 を node1 に、egress IP アドレス 192.168.1.101 を node2 に割り当て、その逆も行います。

手順

1. 以下の JSON オブジェクトを必要な IP アドレスで指定して、NetNamespace リソースを更新します。

   $ oc patch netnamespace <project> --type=merge -p \ 1
     '{
       "egressIPs": [ 2
         "<ip_address>"
         ]
     }'

   1

   プロジェクトのターゲットを指定します。

   2

   1 つ以上の egress IP アドレスを指定します。egressIPs パラメーターは配列です。

   たとえば、project1 プロジェクトを 192.168.1.100 の IP アドレスに割り当てるには、以下を実行します。

   $ oc patch netnamespace project1 --type=merge \
     -p '{"egressIPs": ["192.168.1.100"]}'

   egressIPs を異なるノードの 2 つ以上の IP アドレスに設定し、高可用性を確保することができます。複数の egress IP アドレスが設定される場合、Pod は egress の一覧にある最初の IP を使用しますが、IP アドレスをホストするノードが失敗する場合、Pod は短時間の遅延の後に一覧にある次の IP の使用に切り替えます。

2. egress IP をノードホストに手動で割り当てます。egressIPs パラメーターを、ノードホストの HostSubnet オブジェクトに設定します。以下の JSON を使用して、そのノードホストに割り当てる必要のある任意の数の IP を含めることができます。

   $ oc patch hostsubnet <node_name> --type=merge -p \ 1
     '{
       "egressIPs": [ 2
         "<ip_address_1>",
         "<ip_address_N>"
         ]
     }'

   1

   プロジェクトのターゲットを指定します。

   2

   1 つ以上の egress IP アドレスを指定します。egressIPs フィールドは配列です。

   たとえば、node1 に Egress IP 192.168.1.100、 192.168.1.101、および 192.168.1.102 が設定されるように指定するには、以下を実行します。

   $ oc patch hostsubnet node1 --type=merge -p \
     '{"egressIPs": ["192.168.1.100", "192.168.1.101", "192.168.1.102"]}'

   直前の例では、project1 のすべての egress トラフィックは、指定された egress IP をホストするノードにルーティングされてから、その IP アドレスに (NAT を使用して) 接続されます。

手順

1. ポリシールールを作成します。

   1. <policy-name>.yaml ファイルを作成します。 この場合、<policy-name> は egress ポリシールールを記述します。
   2. 作成したファイルで、egress ポリシーオブジェクトを定義します。

2. 以下のコマンドを入力してポリシーオブジェクトを作成します。

   $ oc create -f <policy-name>.yaml -n <project>

   以下の例では、新規の EgressNetworkPolicy オブジェクトが project1 という名前のプロジェクトに作成されます。

   $ oc create -f default-rules.yaml -n project1
   egressnetworkpolicy.network.openshift.io/default-rules created

3. オプション: 後に変更できるように <policy-name>.yaml を保存します。

1. プロジェクトの EgressNetworkPolicy オブジェクトの名前を検索します。<project> をプロジェクトの名前に置き換えます。

   $ oc get -n <project> egressnetworkpolicy

2. オプション: egress ネットワークファイアウォールの作成時に EgressNetworkPolicy オブジェクトのコピーを保存しなかった場合には、以下のコマンドを入力してコピーを作成します。

   $ oc get -n <project> \ 1
     egressnetworkpolicy <name> \ 2
     -o yaml > <filename>.yaml 3

   1

   <project> をプロジェクトの名前に置き換えます。

   2

   <name> をオブジェクトの名前に置き換えます。

   3

   <filename> をファイルの名前に置き換え、YAML を保存します。

3. 以下のコマンドを入力し、EgressNetworkPolicy オブジェクトを置き換えます。<filename> を、更新された EgressNetworkPolicy オブジェクトを含むファイルの名前に置き換えます。

   $ oc replace -f <filename>.yaml

1. プロジェクトの EgressNetworkPolicy オブジェクトの名前を検索します。<project> をプロジェクトの名前に置き換えます。

   $ oc get -n <project> egressnetworkpolicy

2. 以下のコマンドを入力し、EgressNetworkPolicy オブジェクトを削除します。<project> をプロジェクトの名前に、 <name> をオブジェクトの名前に置き換えます。

   $ oc delete -n <project> egressnetworkpolicy <name>

手順

1. 以下のコマンドを使用して、プロジェクトを既存のプロジェクトネットワークに参加させます。

   $ oc adm pod-network join-projects --to=<project1> <project2> <project3>

   または、特定のプロジェクト名を指定する代わりに --selector=<project_selector> オプションを使用し、関連付けられたラベルに基づいてプロジェクトを指定できます。

2. オプション: 以下のコマンドを実行し、結合した Pod ネットワークを表示します。

   $ oc get netnamespaces

   同じ Pod ネットワークのプロジェクトには、NETID 列に同じネットワーク ID があります。

手順

1. 以下のコマンドを実行して、Network.operator.openshift.io カスタムリソース (CR) を編集します。

   $ oc edit network.operator.openshift.io cluster

2. 以下のサンプル CR のように、kube-proxy 設定への変更内容で、CR のkubeProxyConfig パラメーターを変更します。

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     kubeProxyConfig:
       iptablesSyncPeriod: 30s
       proxyArguments:
         iptables-min-sync-period: ["30s"]

3. ファイルを保存し、テキストエディターを編集します。

   構文は、ファイルを保存し、エディターを終了する際に oc コマンドによって検証されます。変更内容に構文エラーが含まれる場合、エディターはファイルを開き、エラーメッセージを表示します。

4. 以下のコマンドを実行して、設定の更新を確認します。

   $ oc get networks.operator.openshift.io -o yaml

   コマンドは、以下の例のような出力を返します。

   apiVersion: v1
   items:
   - apiVersion: operator.openshift.io/v1
     kind: Network
     metadata:
       name: cluster
     spec:
       clusterNetwork:
       - cidr: 10.128.0.0/14
         hostPrefix: 23
       defaultNetwork:
         type: OpenShiftSDN
       kubeProxyConfig:
         iptablesSyncPeriod: 30s
         proxyArguments:
           iptables-min-sync-period:
           - 30s
       serviceNetwork:
       - 172.30.0.0/16
     status: {}
   kind: List

5. オプション: 以下のコマンドを実行し、Cluster Network Operator が設定変更を受け入れていることを確認します。

   $ oc get clusteroperator network
   NAME      VERSION     AVAILABLE   PROGRESSING   DEGRADED   SINCE
   network   4.1.0-0.9   True        False         False      1m

   設定の更新が正常に適用されると、AVAILABLE フィールドが True になります。

手順

1. oc annotate コマンドを使用して、ルートにタイムアウトを追加します。

   $ oc annotate route <route_name> \
       --overwrite haproxy.router.openshift.io/timeout=<timeout><time_unit> 1

   1

   サポートされる時間単位は、マイクロ秒 (us)、ミリ秒 (ms)、秒 (s)、分 (m)、時間 (h)、または日 (d) です。

   以下の例では、2 秒のタイムアウトを myroute という名前のルートに設定します。

   $ oc annotate route myroute --overwrite haproxy.router.openshift.io/timeout=2s

手順

1. サービスの新規プロジェクトを作成します。

   $ oc new-project <project_name>

   以下は例になります。

   $ oc new-project myproject

2. oc new-app コマンドを使用してサービスを作成します。以下は例になります。

   $ oc new-app \
       -e MYSQL_USER=admin \
       -e MYSQL_PASSWORD=redhat \
       -e MYSQL_DATABASE=mysqldb \
       registry.redhat.io/rhscl/mysql-80-rhel7

3. 以下のコマンドを実行して新規サービスが作成されていることを確認します。

   $ oc get svc -n myproject
   NAME             TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   mysql-80-rhel7   ClusterIP   172.30.63.31   <none>        3306/TCP   4m55s

   デフォルトで、新規サービスには外部 IP アドレスがありません。

1. OpenShift Container Platform にログインします。

2. 公開するサービスが置かれているプロジェクトにログインします。

   $ oc project project1

3. 以下のコマンドを実行してルートを公開します。

   $ oc expose service <service_name>

   以下は例になります。

   $ oc expose service mysql-80-rhel7
   route "mysql-80-rhel7" exposed

4. cURL などのツールを使用し、サービスのクラスター IP アドレスを使用してサービスに到達できることを確認します。

   $ curl <pod_ip>:<port>

   以下は例になります。

   $ curl 172.30.131.89:3306

   このセクションの例では、クライアントアプリケーションを必要とする MySQL サービスを使用しています。Got packets out of order のメッセージと共に文字ストリングを取得する場合は、このサービスに接続されていることになります。

   MySQL クライアントがある場合は、標準 CLI コマンドでログインします。

   $ mysql -h 172.30.131.89 -u admin -p
   Enter password:
   Welcome to the MariaDB monitor.  Commands end with ; or \g.
   
   MySQL [(none)]>

手順

1. router-internal.yaml ファイルを編集します。

   # cat router-internal.yaml
   apiVersion: v1
   items:
   - apiVersion: operator.openshift.io/v1
     kind: IngressController
     metadata:
       name: sharded
       namespace: openshift-ingress-operator
     spec:
       domain: <apps-sharded.basedomain.example.net>
       nodePlacement:
         nodeSelector:
           matchLabels:
             node-role.kubernetes.io/worker: ""
       routeSelector:
         matchLabels:
           type: sharded
     status: {}
   kind: List
   metadata:
     resourceVersion: ""
     selfLink: ""

2. Ingress コントローラーの router-internal.yaml ファイルを適用します。

   # oc apply -f router-internal.yaml

   Ingress コントローラーは、type: sharded というラベルのある namespace のルートを選択します。

手順

1. router-internal.yaml ファイルを編集します。

   # cat router-internal.yaml
   apiVersion: v1
   items:
   - apiVersion: operator.openshift.io/v1
     kind: IngressController
     metadata:
       name: sharded
       namespace: openshift-ingress-operator
     spec:
       domain: <apps-sharded.basedomain.example.net>
       nodePlacement:
         nodeSelector:
           matchLabels:
             node-role.kubernetes.io/worker: ""
       namespaceSelector:
         matchLabels:
           type: sharded
     status: {}
   kind: List
   metadata:
     resourceVersion: ""
     selfLink: ""

2. Ingress コントローラーの router-internal.yaml ファイルを適用します。

   # oc apply -f router-internal.yaml

   Ingress コントローラーは、type: sharded というラベルのある namespace セレクターによって選択される namespace のルートを選択します。

手順

1. サービスの新規プロジェクトを作成します。

   $ oc new-project <project_name>

   以下は例になります。

   $ oc new-project myproject

2. oc new-app コマンドを使用してサービスを作成します。以下は例になります。

   $ oc new-app \
       -e MYSQL_USER=admin \
       -e MYSQL_PASSWORD=redhat \
       -e MYSQL_DATABASE=mysqldb \
       registry.redhat.io/rhscl/mysql-80-rhel7

3. 以下のコマンドを実行して新規サービスが作成されていることを確認します。

   $ oc get svc -n myproject
   NAME             TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   mysql-80-rhel7   ClusterIP   172.30.63.31   <none>        3306/TCP   4m55s

   デフォルトで、新規サービスには外部 IP アドレスがありません。

1. OpenShift Container Platform にログインします。

2. 公開するサービスが置かれているプロジェクトにログインします。

   $ oc project project1

3. 以下のコマンドを実行してルートを公開します。

   $ oc expose service <service_name>

   以下は例になります。

   $ oc expose service mysql-80-rhel7
   route "mysql-80-rhel7" exposed

4. cURL などのツールを使用し、サービスのクラスター IP アドレスを使用してサービスに到達できることを確認します。

   $ curl <pod_ip>:<port>

   以下は例になります。

   $ curl 172.30.131.89:3306

   このセクションの例では、クライアントアプリケーションを必要とする MySQL サービスを使用しています。Got packets out of order のメッセージと共に文字ストリングを取得する場合は、このサービスに接続されていることになります。

   MySQL クライアントがある場合は、標準 CLI コマンドでログインします。

   $ mysql -h 172.30.131.89 -u admin -p
   Enter password:
   Welcome to the MariaDB monitor.  Commands end with ; or \g.
   
   MySQL [(none)]>

1. OpenShift Container Platform にログインします。

2. 公開するサービスが置かれているプロジェクトを読み込みます。

   $ oc project project1

3. マスターノードでテキストファイルを開き、以下のテキストを貼り付け、必要に応じてファイルを編集します。

   ロードバランサー設定ファイルのサンプル

   apiVersion: v1
   kind: Service
   metadata:
     name: egress-2 1
   spec:
     ports:
     - name: db
       port: 3306 2
     loadBalancerIP:
     type: LoadBalancer 3
     selector:
       name: mysql 4

   1

   ロードバランサーサービスの説明となる名前を入力します。

   2

   公開するサービスがリッスンしている同じポートを入力します。

   3

   タイプに loadbalancer を入力します。

   4

   サービスの名前を入力します。

4. ファイルを保存し、終了します。

5. 以下のコマンドを実行してサービスを作成します。

   oc create -f <file-name>

   以下は例になります。

   oc create -f mysql-lb.yaml

6. 以下のコマンドを実行して新規サービスを表示します。

   $ oc get svc
   NAME       TYPE           CLUSTER-IP      EXTERNAL-IP                             PORT(S)          AGE
   egress-2   LoadBalancer   172.30.22.226   ad42f5d8b303045-487804948.example.com   3306:30357/TCP   15m

   有効にされたクラウドプロバイダーがある場合、サービスには外部 IP アドレスが自動的に割り当てられます。

7. マスターで cURL などのツールを使用し、パブリック IP アドレスを使用してサービスに到達できることを確認します。

   $ curl <public-ip>:<port>

   以下は例になります。

   $ curl 172.29.121.74:3306

   このセクションの例では、クライアントアプリケーションを必要とする MySQL サービスを使用しています。Got packets out of order のメッセージと共に文字ストリングを取得する場合は、このサービスに接続していることになります。

   MySQL クライアントがある場合は、標準 CLI コマンドでログインします。

   $ mysql -h 172.30.131.89 -u admin -p
   Enter password:
   Welcome to the MariaDB monitor.  Commands end with ; or \g.
   
   MySQL [(none)]>

手順

1. サービスの新規プロジェクトを作成します。

   $ oc new-project <project_name>

   以下は例になります。

   $ oc new-project myproject

2. oc new-app コマンドを使用してサービスを作成します。以下は例になります。

   $ oc new-app \
       -e MYSQL_USER=admin \
       -e MYSQL_PASSWORD=redhat \
       -e MYSQL_DATABASE=mysqldb \
       registry.redhat.io/rhscl/mysql-80-rhel7

3. 以下のコマンドを実行して新規サービスが作成されていることを確認します。

   $ oc get svc -n myproject
   NAME             TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   mysql-80-rhel7   ClusterIP   172.30.63.31   <none>        3306/TCP   4m55s

   デフォルトで、新規サービスには外部 IP アドレスがありません。

1. OpenShift Container Platform にログインします。

2. 公開するサービスが置かれているプロジェクトにログインします。

   $ oc project project1

3. 以下のコマンドを実行してルートを公開します。

   $ oc expose service <service_name>

   以下は例になります。

   $ oc expose service mysql-80-rhel7
   route "mysql-80-rhel7" exposed

4. cURL などのツールを使用し、サービスのクラスター IP アドレスを使用してサービスに到達できることを確認します。

   $ curl <pod_ip>:<port>

   以下は例になります。

   $ curl 172.30.131.89:3306

   このセクションの例では、クライアントアプリケーションを必要とする MySQL サービスを使用しています。Got packets out of order のメッセージと共に文字ストリングを取得する場合は、このサービスに接続されていることになります。

   MySQL クライアントがある場合は、標準 CLI コマンドでログインします。

   $ mysql -h 172.30.131.89 -u admin -p
   Enter password:
   Welcome to the MariaDB monitor.  Commands end with ; or \g.
   
   MySQL [(none)]>

手順

1. サービスの新規プロジェクトを作成します。

   $ oc new-project <project_name>

   以下は例になります。

   $ oc new-project myproject

2. oc new-app コマンドを使用してサービスを作成します。以下は例になります。

   $ oc new-app \
       -e MYSQL_USER=admin \
       -e MYSQL_PASSWORD=redhat \
       -e MYSQL_DATABASE=mysqldb \
       registry.redhat.io/rhscl/mysql-80-rhel7

3. 以下のコマンドを実行して新規サービスが作成されていることを確認します。

   $ oc get svc -n myproject
   NAME             TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   mysql-80-rhel7   ClusterIP   172.30.63.31   <none>        3306/TCP   4m55s

   デフォルトで、新規サービスには外部 IP アドレスがありません。

1. OpenShift Container Platform にログインします。

2. 公開するサービスが置かれているプロジェクトにログインします。

   $ oc project project1

3. アプリケーションのノードポートを公開するには、以下のコマンドを入力します。OpenShift Container Platform は 30000-32767 範囲の利用可能なポートを自動的に選択します。

   $ oc expose dc mysql-80-rhel7 --type=NodePort --name=mysql-ingress

4. オプション: サービスが公開されるノードポートで利用可能なことを確認するには、以下のコマンドを入力します。

   $ oc get svc -n myproject
   NAME             TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)          AGE
   mysql-80-rhel7   ClusterIP   172.30.217.127   <none>        3306/TCP         9m44s
   mysql-ingress    NodePort    172.30.107.72    <none>        3306:31345/TCP   39s

5. オプション: oc new-app コマンドによって自動的に作成されたサービスを削除するには、以下のコマンドを入力します。

   $ oc delete svc mysql-80-rhel7