5.9. コンテナーでの sysctl の使用

1. 以下の例に示されるように、Pod を定義する YAML ファイルを変更し、securityContext 仕様を追加します。

   apiVersion: v1
   kind: Pod
   metadata:
     name: sysctl-example
   spec:
     securityContext:
       sysctls:
       - name: kernel.shm_rmid_forced
         value: "0"
       - name: net.ipv4.route.min_pmtu
         value: "552"
       - name: kernel.msgmax
         value: "65536"
     ...

2. Pod を作成します。

   $ oc apply -f <file-name>.yaml

   安全でない sysctl がノードに許可されていない場合、Pod はスケジュールされますが、デプロイはされません。

   $ oc get pod
   
   NAME        READY   STATUS            RESTARTS   AGE
   hello-pod   0/1     SysctlForbidden   0          14s

手順

1. ラベルを安全でない sysctl が設定されたコンテナーが実行される MachineConfigPool に追加します。

   $ oc edit machineconfigpool worker

   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfigPool
   metadata:
     creationTimestamp: 2019-02-08T14:52:39Z
     generation: 1
     labels:
       custom-kubelet: sysctl 1

   1

   key: pair ラベルを追加します。

2. KubeletConfig カスタムリソース (CR) を作成します。

   apiVersion: machineconfiguration.openshift.io/v1
   kind: KubeletConfig
   metadata:
     name: custom-kubelet
   spec:
     machineConfigPoolSelector:
       matchLabels:
         custom-kubelet: sysctl 1
     kubeletConfig:
       allowedUnsafeSysctls: 2
         - "kernel.msg*"
         - "net.ipv4.route.min_pmtu"

   1

   MachineConfigPool からラベルを指定します。

   2

   許可する必要のある安全でない sysctl を一覧表示します。

3. オブジェクトを作成します。

   $ oc apply -f set-sysctl-worker.yaml

   99-worker-XXXXXXXXX-xxxxx-XXXX-xxxxx-kubelet 形式の新規の MachineConfig が作成されます。

4. machineconfigpool オブジェクトの status フィールドを使用してクラスターが再起動するのを待機します。

   以下は例になります。

   status:
     conditions:
       - lastTransitionTime: '2019-08-11T15:32:00Z'
         message: >-
           All nodes are updating to
           rendered-worker-ccbfb5d2838d65013ab36300b7b3dc13
         reason: ''
         status: 'True'
         type: Updating

   クラスターの準備ができると、以下のようなメッセージが表示されます。

      - lastTransitionTime: '2019-08-11T16:00:00Z'
         message: >-
           All nodes are updated with
           rendered-worker-ccbfb5d2838d65013ab36300b7b3dc13
         reason: ''
         status: 'True'
         type: Updated

5. クラスターが準備状態になる場合、新規 MachineConfig でマージされた KubeletConfig を確認します。

   $ oc get machineconfig 99-worker-XXXXXX-XXXXX-XXXX-XXXXX-kubelet -o json | grep ownerReference -A7

           "ownerReferences": [
               {
                   "apiVersion": "machineconfiguration.openshift.io/v1",
                   "blockOwnerDeletion": true,
                   "controller": true,
                   "kind": "KubeletConfig",
                   "name": "custom-kubelet",
                   "uid": "3f64a766-bae8-11e9-abe8-0a1a2a4813f2"

   安全でない sysctl を必要に応じて Pod に追加することができるようになります。