5.9.3. 安全でない sysctl の有効化

手順

1. ラベルを安全でない sysctl が設定されたコンテナーが実行されるマシン設定プールに追加します。

   $ oc edit machineconfigpool worker

   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfigPool
   metadata:
     creationTimestamp: 2019-02-08T14:52:39Z
     generation: 1
     labels:
       custom-kubelet: sysctl 1

   1

   key: pair ラベルを追加します。

2. KubeletConfig カスタムリソース (CR) を作成します。

   apiVersion: machineconfiguration.openshift.io/v1
   kind: KubeletConfig
   metadata:
     name: custom-kubelet
   spec:
     machineConfigPoolSelector:
       matchLabels:
         custom-kubelet: sysctl 1
     kubeletConfig:
       allowedUnsafeSysctls: 2
         - "kernel.msg*"
         - "net.ipv4.route.min_pmtu"

   1

   マシン設定プールからラベルを指定します。

   2

   許可する必要のある安全でない sysctl を一覧表示します。

3. オブジェクトを作成します。

   $ oc apply -f set-sysctl-worker.yaml

   99-worker-XXXXXX-XXXXX-XXXX-XXXXX-kubelet 形式で指定される新規の MachineConfig オブジェクトが作成されます。

4. machineconfigpool オブジェクトの status フィールドを使用してクラスターが再起動するのを待機します。

   以下に例を示します。

   status:
     conditions:
       - lastTransitionTime: '2019-08-11T15:32:00Z'
         message: >-
           All nodes are updating to
           rendered-worker-ccbfb5d2838d65013ab36300b7b3dc13
         reason: ''
         status: 'True'
         type: Updating

   クラスターの準備ができると、以下のようなメッセージが表示されます。

      - lastTransitionTime: '2019-08-11T16:00:00Z'
         message: >-
           All nodes are updated with
           rendered-worker-ccbfb5d2838d65013ab36300b7b3dc13
         reason: ''
         status: 'True'
         type: Updated

5. クラスターが準備状態になる場合、新規 MachineConfig オブジェクトでマージされた KubeletConfig オブジェクトを確認します。

   $ oc get machineconfig 99-worker-XXXXXX-XXXXX-XXXX-XXXXX-kubelet -o json | grep ownerReference -A7

           "ownerReferences": [
               {
                   "apiVersion": "machineconfiguration.openshift.io/v1",
                   "blockOwnerDeletion": true,
                   "controller": true,
                   "kind": "KubeletConfig",
                   "name": "custom-kubelet",
                   "uid": "3f64a766-bae8-11e9-abe8-0a1a2a4813f2"

   安全でない sysctl を必要に応じて Pod に追加することができるようになります。