13.4.2. マウント namespace のカプセル化の設定

手順

1. 次の YAML を使用して、mount_namespace_config.yaml という名前のファイルを作成します。

   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     labels:
       machineconfiguration.openshift.io/role: master
     name: 99-kubens-master
   spec:
     config:
       ignition:
         version: 3.2.0
       systemd:
         units:
         - enabled: true
           name: kubens.service
   ---
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     labels:
       machineconfiguration.openshift.io/role: worker
     name: 99-kubens-worker
   spec:
     config:
       ignition:
         version: 3.2.0
       systemd:
         units:
         - enabled: true
           name: kubens.service

2. 次のコマンドを実行して、マウント namespace MachineConfig CR を適用します。

   $ oc apply -f mount_namespace_config.yaml

   出力例

   machineconfig.machineconfiguration.openshift.io/99-kubens-master created
   machineconfig.machineconfiguration.openshift.io/99-kubens-worker created

3. MachineConfig CR がクラスターに適用されるまでには、最大 30 分かかる場合があります。次のコマンドを実行して、MachineConfig CR のステータスをチェックできます。

   $ oc get mcp

   出力例

   NAME     CONFIG                                             UPDATED   UPDATING   DEGRADED   MACHINECOUNT   READYMACHINECOUNT   UPDATEDMACHINECOUNT   DEGRADEDMACHINECOUNT   AGE
   master   rendered-master-03d4bc4befb0f4ed3566a2c8f7636751   False     True       False      3              0                   0                     0                      45m
   worker   rendered-worker-10577f6ab0117ed1825f8af2ac687ddf   False     True       False      3              1                   1

4. 次のコマンドを実行した後、MachineConfig CR がすべてのコントロールプレーンとワーカーノードに正常に適用されるまで待ちます。

   $ oc wait --for=condition=Updated mcp --all --timeout=30m

   出力例

   machineconfigpool.machineconfiguration.openshift.io/master condition met
   machineconfigpool.machineconfiguration.openshift.io/worker condition met

検証

1. クラスターホストへのデバッグシェルを開きます。

   $ oc debug node/<node_name>

2. chroot セッションを開きます。

   sh-4.4# chroot /host

3. systemd マウント namespace を確認します。

   sh-4.4# readlink /proc/1/ns/mnt

   出力例

   mnt:[4026531953]

4. kubelet マウント namespace をチェックします。

   sh-4.4# readlink /proc/$(pgrep kubelet)/ns/mnt

   出力例

   mnt:[4026531840]

5. CRI-O マウント namespace を確認します。

   sh-4.4# readlink /proc/$(pgrep crio)/ns/mnt

   出力例

   mnt:[4026531840]

   これらのコマンドは、systemd、kubelet、およびコンテナーランタイムに関連付けられたマウント namespace を返します。OpenShift Container Platform では、コンテナーランタイムは CRI-O です。

   カプセル化は、前述の出力例のように、systemd が kubelet および CRI-O とは異なるマウントネームスペースにある場合に有効になります。3 つのプロセスすべてが同じマウント namespace にある場合、カプセル化は有効ではありません。