第17章 インストール設定

手順

1. RHEL 8 システムを登録します。

   # subscription-manager register

2. RHEL 8 システムにサブスクリプションを割り当てます。

   # subscription-manager attach --auto

3. ソフトウェアとコンテナーのビルドに必要なソフトウェアをインストールします。

   # yum install podman make git -y

4. kmod-via-containers リポジトリーのクローンを作成します。

   1. リポジトリーのフォルダーを作成します。

      $ mkdir kmods; cd kmods

   2. リポジトリーのクローンを作成します。

      $ git clone https://github.com/kmods-via-containers/kmods-via-containers

5. RHEL 8 ビルドホストに KVC フレームワークインスタンスをインストールし、モジュールをテストします。これにより、kmods-via-container systemd サービスが追加され、読み込まれます。

   1. kmod-via-containers ディレクトリーに移動します。

      $ cd kmods-via-containers/

   2. KVC フレームワークインスタンスをインストールします。

      $ sudo make install

   3. systemd マネージャー設定を再読み込みします。

      $ sudo systemctl daemon-reload

6. カーネルモジュールのソースコードを取得します。ソースコードは、制御下になく、他から提供されるサードパーティーモジュールをビルドするために使用される可能性があります。システムに対してクローン作成できる以下の kvc-simple-kmod サンプルのコンテンツと同様のコンテンツが必要になります。

   $ cd .. ; git clone https://github.com/kmods-via-containers/kvc-simple-kmod

7. この例では、設定ファイル simple-kmod.conf を編集し、Dockerfile の名前を Dockerfile.rhel に変更します。

   1. kvc-simple-kmod ディレクトリーに移動します。

      $ cd kvc-simple-kmod

   2. Dockerfile の名前を変更します。

      $ cat simple-kmod.conf

      Dockerfile の例

      KMOD_CONTAINER_BUILD_CONTEXT="https://github.com/kmods-via-containers/kvc-simple-kmod.git"
      KMOD_CONTAINER_BUILD_FILE=Dockerfile.rhel
      KMOD_SOFTWARE_VERSION=dd1a7d4
      KMOD_NAMES="simple-kmod simple-procfs-kmod"

8. この例ではカーネルモジュール simple-kmod の kmods-via-containers@.service のインスタンスを作成します。

   $ sudo make install

9. kmods-via-containers@.service インスタンスを有効にします。

   $ sudo kmods-via-containers build simple-kmod $(uname -r)

10. systemd サービスを有効にし、起動します。

    $ sudo systemctl enable kmods-via-containers@simple-kmod.service --now

    1. サービスのステータスを確認します。

       $ sudo systemctl status kmods-via-containers@simple-kmod.service

       出力例

       ● kmods-via-containers@simple-kmod.service - Kmods Via Containers - simple-kmod
          Loaded: loaded (/etc/systemd/system/kmods-via-containers@.service;
                 enabled; vendor preset: disabled)
          Active: active (exited) since Sun 2020-01-12 23:49:49 EST; 5s ago...

11. カーネルモジュールがロードされていることを確認するには、lsmod コマンドを使用してモジュールを一覧表示します。

    $ lsmod | grep simple_

    出力例

    simple_procfs_kmod     16384  0
    simple_kmod            16384  0

12. オプション。他の方法を使用して simple-kmod のサンプルが機能していることを確認します。

    • dmesg を使ってカーネルリングバッファーで Hello world メッセージを探します。

      $ dmesg | grep 'Hello world'

      出力例

      [ 6420.761332] Hello world from simple_kmod.

    • /proc で simple-procfs-kmod の値を確認します。

      $ sudo cat /proc/simple-procfs-kmod

      出力例

      simple-procfs-kmod number = 0

    • spkut コマンドを実行して、モジュールの詳細情報を取得します。

      $ sudo spkut 44

      出力例

      KVC: wrapper simple-kmod for 4.18.0-147.3.1.el8_1.x86_64
      Running userspace wrapper using the kernel module container...
      + podman run -i --rm --privileged
         simple-kmod-dd1a7d4:4.18.0-147.3.1.el8_1.x86_64 spkut 44
      simple-procfs-kmod number = 0
      simple-procfs-kmod number = 44

手順

1. TPM v2 暗号化を各ノードの BIOS で有効にする必要があるかどうかを確認します。これは、ほとんどの Dell システムで必要になります。コンピューターのマニュアルを確認してください。

2. インストールノードで、インストールプログラムが含まれるディレクトリーに切り替え、クラスターの Kubernetes マニフェストを生成します。

   $ ./openshift-install create manifests --dir <installation_directory> 1

   1

   <installation_directory> は、インストールファイルを保存するディレクトリーへのパスに置き換えます。

3. マシン設定ファイルを作成し、TPM v2 暗号化モードを使用してコントロールプレーンまたはコンピュートノードのブートディスクを暗号化します。

   重要

   影響を受けるノードでブートディスクのミラーリングも設定する場合も、この手順を省略します。ブートディスクのミラーリングを設定する際にディスクの暗号化を設定します。

   • コントロールプレーンノードで暗号化を設定するには、以下のマシン設定サンプルを <installation_directory>/openshift ディレクトリーのファイルに保存します。たとえば、ファイルに 99-openshift-master-tpmv2-encryption.yaml などの名前を付けます。

     apiVersion: machineconfiguration.openshift.io/v1
     kind: MachineConfig
     metadata:
       name: master-tpm
       labels:
         machineconfiguration.openshift.io/role: master
     spec:
       config:
         ignition:
           version: 3.2.0
         storage:
           luks:
             - name: root
               device: /dev/disk/by-partlabel/root
               clevis:
                 tpm2: true 1
               options: [--cipher, aes-cbc-essiv:sha256]
               wipeVolume: true
           filesystems:
             - device: /dev/mapper/root
               format: xfs
               wipeFilesystem: true
               label: root

     1

     Trusted Platform Module (TPM) セキュア暗号化プロセッサーを使用して root ファイルシステムを暗号化する場合は、この属性を true に設定します。

   • コンピュートノードで暗号化を設定するには、以下のマシン設定サンプルを <installation_directory>/openshift ディレクトリーのファイルに保存します。たとえば、ファイルに 99-openshift-worker-tpmv2-encryption.yaml などの名前を付けます。

     apiVersion: machineconfiguration.openshift.io/v1
     kind: MachineConfig
     metadata:
       name: worker-tpm
       labels:
         machineconfiguration.openshift.io/role: worker
     spec:
       config:
         ignition:
           version: 3.2.0
         storage:
           luks:
             - name: root
               device: /dev/disk/by-partlabel/root
               clevis:
                 tpm2: true 1
               options: [--cipher, aes-cbc-essiv:sha256]
               wipeVolume: true
           filesystems:
             - device: /dev/mapper/root
               format: xfs
               wipeFilesystem: true
               label: root

     1

     Trusted Platform Module (TPM) セキュア暗号化プロセッサーを使用して root ファイルシステムを暗号化する場合は、この属性を true に設定します。

4. YAML ファイルのバックアップコピーを作成します。元の YAML ファイルは Ignition 設定ファイルの作成時に使用されます。
5. 残りの OpenShift Container Platform のデプロイメントを継続します。

手順

1. Tang サーバーを設定するか、または既存のサーバーにアクセスします。手順については、NBDE (Network-Bound Disk Encryption) を参照してください。

2. クラスターについて Red Hat Enterprise Linux CoreOS (RHCOS) インストールを実行する際にネットワークを設定するためにカーネル引数を追加します。たとえば、DHCP ネットワークを設定するには、ip=dhcp を特定するか、またはカーネルコマンドラインにパラメーターを追加する際に静的ネットワークを設定します。DHCP と静的ネットワークの両方の場合、rd.neednet=1 カーネル引数も指定する必要があります。

   重要

   このステップを省略すると、2 番目の起動に失敗します。

4. RHEL 8 マシンに clevis パッケージがインストールされていない場合はインストールします。

   $ sudo yum install clevis

5. RHEL 8 マシンで以下のコマンドを実行し、交換キーのサムプリントを生成します。http://tang.example.com:7500 を Tang サーバーの URL に置き換えます。

   $ clevis-encrypt-tang '{"url":"http://tang.example.com:7500"}' < /dev/null > /dev/null 1

   1

   この例では、tangd.socket は Tang サーバーのポート 7500 でリッスンしています。

   注記

   このステップでは、clevis-encrypt-tang コマンドを使用して、交換キーのサムプリントを生成します。この時点で暗号化用のデータがコマンドに渡されないため、/dev/null はプレーンテキストではなく、インプットとして提供されます。この手順には必要ないため、暗号化された出力は /dev/null に送信されます。

   出力例

   The advertisement contains the following signing keys:
   
   PLjNyRdGw03zlRoGjQYMahSZGu9 1

   1

   エクスチェンジキーのサムプリント。

   Do you want to trust these keys? [ynYN] のプロンプトが表示されたら、Y と入力します 。

   注記

   RHEL 8 には、Clevis バージョン 15 が同梱されており、SHA-1 ハッシュアルゴリズムを使用してサムプリントを生成します。その他のディストリビューションには、Clevis バージョン 17 以降があり、サムプリントに SHA-256 ハッシュアルゴリズムを使用します。サムプリントを作成するために SHA-1 を使用する Clevis バージョンを使用し、OpenShift Container Platform クラスターノードに Red Hat Enterprise Linux CoreOS (RHCOS) のインストール時に Clevis バインディングの問題を防ぐ必要があります。

6. Kubernetes マニフェストを生成していない場合は、インストールノードでインストールプログラムが含まれるディレクトリーに移動してマニフェストを作成します。

   $ ./openshift-install create manifests --dir <installation_directory> 1

   1

   <installation_directory> は、インストールファイルを保存するディレクトリーへのパスに置き換えます。

7. マシン設定ファイルを作成して Tang 暗号化モードを使用し、コントロールプレーンまたはコンピュートノードのブートディスクを暗号化します。

   重要

   影響を受けるノードでブートディスクのミラーリングを設定する場合も、後で使用するためにエクスチェンジキーのサムプリントを記録し、この手順を省略します。ブートディスクのミラーリングを設定する際にディスクの暗号化を設定します。

   • コントロールプレーンノードで暗号化を設定するには、以下のマシン設定サンプルを <installation_directory>/openshift ディレクトリーのファイルに保存します。たとえば、ファイルに 99-openshift-master-tang-encryption.yaml などの名前を付けます。

     apiVersion: machineconfiguration.openshift.io/v1
     kind: MachineConfig
     metadata:
       name: master-tang
       labels:
         machineconfiguration.openshift.io/role: master
     spec:
       config:
         ignition:
           version: 3.2.0
         storage:
           luks:
             - name: root
               device: /dev/disk/by-partlabel/root
               clevis:
                 tang:
                   - url: http://tang.example.com:7500 1
                     thumbprint: PLjNyRdGw03zlRoGjQYMahSZGu9 2
               options: [--cipher, aes-cbc-essiv:sha256]
               wipeVolume: true
           filesystems:
             - device: /dev/mapper/root
               format: xfs
               wipeFilesystem: true
               label: root
       kernelArguments:
         - rd.neednet=1 3

     1

     Tang サーバーの URL を指定します。この例では、tangd.socket は Tang サーバーのポート 7500 でリッスンしています。

     2

     前述のステップで生成された Exchange キーサムプリントを指定します。

     3

     rd.neednet=1 カーネル引数を追加して、initramfs でネットワークを起動します。この引数は必須です。

   • コンピュートノードで暗号化を設定するには、以下のマシン設定サンプルを <installation_directory>/openshift ディレクトリーのファイルに保存します。たとえば、ファイルに 99-openshift-worker-tang-encryption.yaml などの名前を付けます。

     apiVersion: machineconfiguration.openshift.io/v1
     kind: MachineConfig
     metadata:
       name: worker-tang
       labels:
         machineconfiguration.openshift.io/role: worker
     spec:
       config:
         ignition:
           version: 3.2.0
         storage:
           luks:
             - name: root
               device: /dev/disk/by-partlabel/root
               clevis:
                 tang:
                   - url: http://tang.example.com:7500 1
                     thumbprint: PLjNyRdGw03zlRoGjQYMahSZGu9 2
               options: [--cipher, aes-cbc-essiv:sha256]
               wipeVolume: true
           filesystems:
             - device: /dev/mapper/root
               format: xfs
               wipeFilesystem: true
               label: root
       kernelArguments:
         - rd.neednet=1 3

     1

     Tang サーバーの URL を指定します。この例では、tangd.socket は Tang サーバーのポート 7500 でリッスンしています。

     2

     前述のステップで生成された Exchange キーサムプリントを指定します。

     3

     rd.neednet=1 カーネル引数を追加して、initramfs でネットワークを起動します。この引数は必須です。

8. YAML ファイルのバックアップコピーを作成します。元の YAML ファイルは Ignition 設定ファイルの作成時に使用されます。
9. 残りの OpenShift Container Platform インストールを継続します。