3.2. ノードのカスタマイズ

手順

1. RHEL 8 システムを取得して、これを登録し、サブスクライブします。

   # subscription-manager register
   Username: yourname
   Password: ***************
   # subscription-manager attach --auto

2. ソフトウェアとコンテナーのビルドに必要なソフトウェアをインストールします。

   # yum install podman make git -y

3. kmod-via-containers リポジトリーのクローンを作成します。

   $ mkdir kmods; cd kmods
   $ git clone https://github.com/kmods-via-containers/kmods-via-containers

4. RHEL 8 ビルドホストに KVC フレームワークインスタンスをインストールし、モジュールをテストします。これにより kmods-via-container systemd サービスが追加され、ロードされます。

   $ cd kmods-via-containers/
   $ sudo make install
   $ sudo systemctl daemon-reload

5. カーネルモジュールのソースコードを取得します。ソースコードは、制御下になく、他から提供されるサードパーティーモジュールをビルドするために使用される可能性があります。システムに対してクローン作成できる以下の kvc-simple-kmod サンプルのコンテンツと同様のコンテンツが必要になります。

   $ cd ..
   $ git clone https://github.com/kmods-via-containers/kvc-simple-kmod

6. この例では、設定ファイル simple-kmod.conf を編集し、Dockerfile の名前を Dockerfile.rhel に変更し、ファイルが以下のように表示されるようにします。

   $ cd kvc-simple-kmod
   $ cat simple-kmod.conf
   
   KMOD_CONTAINER_BUILD_CONTEXT="https://github.com/kmods-via-containers/kvc-simple-kmod.git"
   KMOD_CONTAINER_BUILD_FILE=Dockerfile.rhel
   KMOD_SOFTWARE_VERSION=dd1a7d4
   KMOD_NAMES="simple-kmod simple-procfs-kmod"

7. この例ではカーネルモジュール simple-kmod の kmods-via-containers@.service のインスタンスを作成し、これを有効にします。

   $ sudo make install
   $ sudo kmods-via-containers build simple-kmod $(uname -r)

8. systemd サービスを有効にしてから起動し、ステータスを確認します。

   $ sudo systemctl enable kmods-via-containers@simple-kmod.service
   $ sudo systemctl start kmods-via-containers@simple-kmod.service
   $ sudo systemctl status kmods-via-containers@simple-kmod.service
   ● kmods-via-containers@simple-kmod.service - Kmods Via Containers - simple-kmod
      Loaded: loaded (/etc/systemd/system/kmods-via-containers@.service;
             enabled; vendor preset: disabled)
      Active: active (exited) since Sun 2020-01-12 23:49:49 EST; 5s ago...

9. カーネルモジュールがロードされていることを確認するには、lsmod コマンドを使用してモジュールを一覧表示します。

   $ lsmod | grep simple_
   simple_procfs_kmod     16384  0
   simple_kmod            16384  0

10. simple-kmod のサンプルでは、それが機能するかどうかをテストする他のいくつかの方法も使用できます。dmesg を使ってカーネルリングバッファーで「Hello world」メッセージを探します。

    $ dmesg | grep 'Hello world'
    [ 6420.761332] Hello world from simple_kmod.

    /proc で simple-procfs-kmod の値を確認します。

    $ sudo cat /proc/simple-procfs-kmod
    simple-procfs-kmod number = 0

    spkut コマンドを実行して、モジュールの詳細情報を取得します。

    $ sudo spkut 44
    KVC: wrapper simple-kmod for 4.18.0-147.3.1.el8_1.x86_64
    Running userspace wrapper using the kernel module container...
    + podman run -i --rm --privileged
       simple-kmod-dd1a7d4:4.18.0-147.3.1.el8_1.x86_64 spkut 44
    simple-procfs-kmod number = 0
    simple-procfs-kmod number = 44

手順

1. TPM v2 暗号化を各ノードの BIOS で有効にする必要があるかどうかを確認します。これは、ほとんどの Dell システムで必要になります。コンピューターのマニュアルを確認してください。

2. クラスターの Kubernetes マニフェストを生成します。

   $ ./openshift-install create manifests --dir=<installation_directory>

3. openshift ディレクトリーで、マスターおよび/またはワーカーファイルを作成し、それらのノードのディスクを暗号化します。以下は、それらの 2 つのファイルの例になります。

   $ cat << EOF > ./99_openshift-worker-tpmv2-encryption.yaml
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     name: worker-tpm
     labels:
       machineconfiguration.openshift.io/role: worker
   spec:
     config:
       ignition:
         version: 2.2.0
       storage:
         files:
         - contents:
             source: data:text/plain;base64,e30K
           filesystem: root
           mode: 420
           path: /etc/clevis.json
   EOF

   $ cat << EOF > ./99_openshift-master-tpmv2-encryption.yaml
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     name: master-tpm
     labels:
       machineconfiguration.openshift.io/role: master
   spec:
     config:
       ignition:
         version: 2.2.0
       storage:
         files:
         - contents:
             source: data:text/plain;base64,e30K
           filesystem: root
           mode: 420
           path: /etc/clevis.json
   EOF

4. YAML ファイルのバックアップコピーを作成します。ファイルはクラスターの作成時に削除されるため、これを実行する必要があります。
5. 残りの OpenShift Container Platform のデプロイメントを継続します。

手順

1. 暗号化の設定を構成し、openshift-install を実行してクラスターをインストールし、oc を使用してクラスターを操作するために Red Hat Enterprise Linux サーバーにアクセスします。
2. 既存の Tang サーバーを設定するか、またはこれにアクセスします。手順については、「NBDE (Network-Bound Disk Encryption)」を参照してください。タグの表示についての詳細は、Securing Automated Decryption New Cryptography and Techniques を参照してください。
3. クラスターについて Red Hat Enterprise Linux CoreOS (RHCOS) インストールを実行する際にネットワークを設定するためにカーネル引数を追加します。たとえば、DHCP ネットワークを設定するには、ip=dhcp を特定するか、またはカーネルコマンドラインにパラメーターを追加する際に静的ネットワークを設定します。DHCP と静的ネットワークの両方の場合、rd.neednet=1 カーネル引数も指定する必要があります。

4. サムプリントを生成します。(まだインストールされていない場合は) clevis パッケージをインストールし、Tang サーバーからサムプリントを生成します。url の値を Tang サーバーの URL に置き換えます。

   $ sudo yum install clevis -y
   $ echo nifty random wordwords \
        | clevis-encrypt-tang \
          '{"url":"https://tang.example.org"}'
   
   The advertisement contains the following signing keys:
   
   PLjNyRdGw03zlRoGjQYMahSZGu9
   
   Do you wish to trust these keys? [ynYN] y
   eyJhbmc3SlRyMXpPenc3ajhEQ01tZVJiTi1oM...

5. Base64 でエンコードされたファイルを作成します。値を Tang サーバーの URL (url) と生成したサムプリント (thp) で置き換えます。

   $ (cat <<EOM
   {
    "url": "https://tang.example.com",
    "thp": "PLjNyRdGw03zlRoGjQYMahSZGu9"
   }
   EOM
   ) | base64 -w0
   
   ewogInVybCI6ICJodHRwczovL3RhbmcuZXhhbXBsZS5jb20iLAogInRocCI6ICJaUk1leTFjR3cwN3psVExHYlhuUWFoUzBHdTAiCn0K

6. TPM2 の例の「source」を、ワーカーおよび/またはマスターノードのサンプルのいずれか、またはそれら両方の Base64 でエンコードされたファイルに置き換えます。

   重要

   rd.neednet=1 カーネル引数を追加する必要があります。

   $ cat << EOF > ./99-openshift-worker-tang-encryption.yaml
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     name: worker-tang
     labels:
       machineconfiguration.openshift.io/role: worker
   spec:
     config:
       ignition:
         version: 2.2.0
       storage:
         files:
         - contents:
             source: data:text/plain;base64,e30K
             source: data:text/plain;base64,ewogInVybCI6ICJodHRwczovL3RhbmcuZXhhbXBsZS5jb20iLAogInRocCI6ICJaUk1leTFjR3cwN3psVExHYlhuUWFoUzBHdTAiCn0K
           filesystem: root
           mode: 420
           path: /etc/clevis.json
     kernelArguments:
       - rd.neednet=1 <.>
   EOF

   必須。

   $ cat << EOF > ./99_openshift-master-encryption.yaml
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     name: master-tang
     labels:
       machineconfiguration.openshift.io/role: master
   spec:
     config:
       ignition:
         version: 2.2.0
       storage:
         files:
         - contents:
             source: data:text/plain;base64,e30K
             source: data:text/plain;base64,ewogInVybCI6ICJodHRwczovL3RhbmcuZXhhbXBsZS5jb20iLAogInRocCI6ICJaUk1leTFjR3cwN3psVExHYlhuUWFoUzBHdTAiCn0K
           filesystem: root
           mode: 420
           path: /etc/clevis.json
     kernelArguments:
       - rd.neednet=1 <.>
   EOF

   必須。

7. 残りの OpenShift Container Platform のデプロイメントを継続します。