第14章 Hosted Control Plane のネットワーク

コントロールプレーンには、専用の namespace の管理クラスターで実行される Pod が含まれます。Pod は、ホストされたコントロールプレーンの kube-apiserver コンポーネント、OAuth、Ignition サーバー、および Konnectivity サービスを公開します。ホストされたクラスターノードは、データプレーンネットワーク経由でこれらのサービスにアクセスするため、ファイアウォールが実施されている場合でも、サービスはデータプレーンネットワークから到達可能である必要があります。

Management クラスターはさまざまなコントロールプレーンをホストし、それらのサービスはネットワークを介して公開されます。API によるネットワークのセグメント化は現在サポートされていません。

データプレーンには、ワークロードとアプリケーションが実行されるコンピューティング、ストレージ、ネットワークが含まれます。少なくとも 2 つのコンピュートノードがあります。

たとえば、データプレーンには、ベアメタルサーバーまたは OpenShift Virtualization でホストされる VM によって表されるコンピュートノードが含まれます。OpenShift Virtualization では、管理クラスターでさまざまなデータプレーンをホストできます。ベアメタルサーバーまたは外部の OpenShift Virtualization クラスターの場合、外部インフラストラクチャー によってデータプレーンをホストできます。

以下の条件に該当する場合、VLAN ベースのネットワークセグメント化が可能である場合があります。

データプレーン上のホストされたクラスターのノードプールは、Konnectivity、Ignition、OAuth などのコントロールプレーンで実行されるコンポーネントによって異なります。デフォルトでは、これらのコンポーネントは ルート エンドポイント公開ストラテジーを使用してインストールされ、それらをデフォルトの Ingress コントローラーで許可します。これは多くの場合、Management クラスターのプライマリーネットワークにインストールされます。この実装をセカンダリーネットワークでセグメント化するには、コントロールプレーンとデータプレーン間の複数のネットワークフローを変更する必要があります。