第2章 ベアメタル上に機密コンテナーをデプロイする

initdata 仕様は、実行時にワークロード固有のデータを使用して Pod を初期化する柔軟な方法を提供し、そのようなデータを仮想マシン (VM) イメージに埋め込む必要性を回避します。

このアプローチにより、機密情報の漏洩が減り、セキュリティーが強化され、カスタムイメージビルドがなくなることで柔軟性が向上します。たとえば、initdata には次の 3 つの設定を含めることができます。

initdata コンテンツは次のコンポーネントを設定します。

initdata.toml ファイルを作成し、それを gzip 形式の Base64 エンコード文字列に変換します。Pod マニフェストにアノテーションを追加することで、initdata 文字列をワークロードに適用します。

デプロイメントモード MachineConfig、DaemonSet、または DaemonSetFallback を使用して、Operator が Kata ランタイムをインストールおよび設定する方法を選択できます。osc-feature-gates config map で data.deploymentMode キーを指定します。この柔軟性により、Operator は Machine Config Operator (MCO) の有無にかかわらず、クラスター内で一貫して動作できます。