5.2. Web コンソールを使用した OpenShift Sandboxed Containers のデプロイ

手順

1. Web コンソールで、Operators OperatorHub に移動します。
2. Filter by keyword フィールドに OpenShift sandboxed containers と入力します。
3. OpenShift sandboxed containers Operator タイルを選択し、Install をクリックします。
4. Install Operator ページで、利用可能な Update Channel オプションの一覧から stable を選択します。

5. Installed Namespace で Operator recommended Namespace が選択されていることを確認します。これにより、Operator が必須の openshift-sandboxed-containers-operator namespace にインストールされます。この namespace がまだ存在しない場合は、自動的に作成されます。

   注記

   OpenShift Sandboxed Containers Operator を openshift-sandboxed-containers-operator 以外の namespace にインストールしようとすると、インストールに失敗します。

6. Approval Strategy で Automatic が選択されていることを確認します。Automatic がデフォルト値であり、新しい z-stream リリースが利用可能になると、OpenShift Sandboxed Containers への自動更新が有効になります。
7. Install をクリックします。
8. Operator Installed Operator に移動して、Operator がインストールされていることを確認します。

手順

1. 次のコマンドを実行して、プロジェクト ID 変数を設定します。

   $ export GCP_PROJECT_ID="<project_id>"

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して Google Cloud にログインします。

   $ gcloud auth login

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、Google Cloud プロジェクト ID を設定します。

   $ gcloud config set project ${GCP_PROJECT_ID}

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行してポート 15150 を開きます。

   $ gcloud compute firewall-rules create allow-port-15150-restricted \
      --project=${GCP_PROJECT_ID} \
      --network=default \
      --allow=tcp:15150 \
      --source-ranges=<external_ip_cidr-1>[,<external_ip_cidr-2>,...] 

   1

   Copy to Clipboard Toggle word wrap

   1

   1 つ以上の IP アドレスまたは範囲を CIDR 形式でコンマで区切って指定します。たとえば、203.0.113.5/32,198.51.100.0/24 です。

手順

1. Google Cloud コンソールで IAM & Admin Service Accounts Keys に移動し、キーを JSON ファイルとして保存します。

2. 次のコマンドを実行して、JSON ファイルを 1 行の文字列に変換します。

   $ cat <key_file>.json | jq -c .

   Copy to Clipboard Toggle word wrap
3. OpenShift Container Platform Web コンソールで、Operators Installed Operators に移動します。
4. OpenShift sandboxed containers Operator タイルをクリックします。
5. 右上隅のインポートアイコン (+) をクリックします。

6. Import YAML ウィンドウに、次の YAML マニフェストを貼り付けます。

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     GCP_CREDENTIALS: "<gc_service_account_key_json>" 

   1

   Copy to Clipboard Toggle word wrap

   1

   <gc_service_account_key_json> は、Google Cloud サービスアカウントキーの JSON ファイルから作成した 1 行の文字列に置き換えます。

7. Save をクリックして変更を適用します。
8. Workloads Secrets に移動して、ピア Pod シークレットを確認します。

手順

1. Compute Engine インスタンスにログインして、次の環境変数を設定します。

   1. 次のコマンドを実行してプロジェクト ID を取得します。

      $ GCP_PROJECT_ID=$(gcloud config get-value project)

      Copy to Clipboard Toggle word wrap

   2. 次のコマンドを実行してゾーンを取得します。

      $ GCP_ZONE=$(gcloud config get-value compute/zone)

      Copy to Clipboard Toggle word wrap

   3. 次のコマンドを実行して、ネットワーク名のリストを取得します。

      $ gcloud compute networks list --format="value(name)"

      Copy to Clipboard Toggle word wrap

   4. 次のコマンドを実行してネットワークを指定します。

      $ GCP_NETWORK=<network_name> 

      1

      Copy to Clipboard Toggle word wrap

      1

      <network_name> は、ネットワークの名前に置き換えます。

2. OpenShift Container Platform Web コンソールで、Operators Installed Operators に移動します。
3. Operator のリストから OpenShift Sandboxed Containers Operator を選択します。
4. 右上隅にあるインポートアイコン (+) をクリックします。

5. Import YAML ウィンドウに、次の YAML マニフェストを貼り付けます。

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "gcp"
     PROXY_TIMEOUT: "5m"
     GCP_PROJECT_ID: "<gcp_project_id>" 

   1

   
     GCP_ZONE: "<gcp_zone>" 

   2

   
     GCP_MACHINE_TYPE: "e2-medium" 

   3

   
     GCP_NETWORK: "<gcp_network>" 

   4

   
     PEERPODS_LIMIT_PER_NODE: "10" 

   5

   
     TAGS: "key1=value1,key2=value2" 

   6

   
     DISABLECVM: "true"

   Copy to Clipboard Toggle word wrap

   1

   使用するプロジェクト ID を指定します。

   2

   取得した GCP_ZONE 値を指定します。このゾーンはワークロードを実行します。

   3

   ワークロードの要件に一致するマシンタイプを指定します。

   4

   取得した GCP_NETWORK 値を指定します。

   5

   ノードごとに作成できるピア Pod の最大数を指定します。デフォルト値は 10 です。

   6

   Pod 仮想マシンインスタンスの key:value ペアとしてカスタムタグを設定して、ピア Pod のコストを追跡したり、異なるクラスター内のピア Pod を識別したりできます。

6. Save をクリックして変更を適用します。
7. 新しい config map を表示するには、Workloads ConfigMaps に移動します。

手順

1. 次のコマンドを実行して、OpenShift Sandboxed Containers リポジトリーのクローンを作成します。

   $ git clone https://github.com/openshift/sandboxed-containers-operator.git

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、sandboxed-containers-operator/config/peerpods/podvm/bootc に移動します。

   $ cd sandboxed-containers-operator/config/peerpods/podvm/bootc

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、registry.redhat.io にログインします。

   $ podman login registry.redhat.io

   Copy to Clipboard Toggle word wrap

   podman build プロセスはレジストリーでホストされる Containerfile.rhel コンテナーイメージにアクセスする必要があるため、registry.redhat.io にログインする必要があります。

4. 次のコマンドを実行して、コンテナーレジストリーのイメージパスを設定します。

   $ IMG="<container_registry_url>/<username>/podvm-bootc:latest"

   Copy to Clipboard Toggle word wrap

5. 次のコマンドを実行して、Pod 仮想マシン bootc イメージをビルドします。

   $ podman build -t ${IMG} -f Containerfile.rhel .

   Copy to Clipboard Toggle word wrap

6. 次のコマンドを実行して、コンテナーレジストリーにログインします。

   $ podman login <container_registry_url>

   Copy to Clipboard Toggle word wrap

7. 次のコマンドを実行して、イメージをコンテナーレジストリーにプッシュします。

   $ podman push ${IMG}

   Copy to Clipboard Toggle word wrap

   テストや開発のために、イメージを公開できます。

8. 次のコマンドを実行して、podvm-bootc イメージを確認します。

   $ podman images

   Copy to Clipboard Toggle word wrap

   出力例

   REPOSITORY                               TAG     IMAGE ID      CREATED         SIZE
   example.com/example_user/podvm-bootc     latest  88ddab975a07  2 seconds ago   1.82 GB

   Copy to Clipboard Toggle word wrap

手順

1. OpenShift Container Platform Web コンソールで、Operators Installed Operators に移動します。
2. Operator のリストから OpenShift Sandboxed Containers Operator を選択します。
3. 右上隅にあるインポートアイコン (+) をクリックします。

4. Import YAML ウィンドウに、次の YAML マニフェストを貼り付けます。

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: gc-podvm-image-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     IMAGE_TYPE: pre-built
     PODVM_IMAGE_URI: <container_registry_url>/<username>/podvm-bootc:latest
     IMAGE_BASE_NAME: "podvm-image"
     IMAGE_VERSION: "0-0-0"
   
     INSTALL_PACKAGES: "no"
     DISABLE_CLOUD_CONFIG: "true"
     UPDATE_PEERPODS_CM: "yes"
     BOOT_FIPS: "no"
   
     BOOTC_BUILD_CONFIG: |
       [[customizations.user]]
       name = "peerpod"
       password = "peerpod"
       groups = ["wheel", "root"]
   
       [[customizations.filesystem]]
       mountpoint = "/"
       minsize = "5 GiB"
   
       [[customizations.filesystem]]
       mountpoint = "/var/kata-containers"
       minsize = "15 GiB"

   Copy to Clipboard Toggle word wrap
5. Save をクリックして変更を適用します。
6. 新しい config map を表示するには、Workloads ConfigMaps に移動します。

手順

1. カスタムポリシーを含む policy.rego ファイルを作成します。次の例では、デモ用に exec と log を有効にした、設定可能なすべての API を示しています。

   package agent_policy
   
   import future.keywords.in
   import input
   
   default CopyFileRequest := false
   default CreateContainerRequest := false
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true  # Enabled to allow exec API
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default OnlineCPUMemRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := true   # Enabled to allow log API
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StatsContainerRequest := true
   default TtyWinResizeRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := false

   Copy to Clipboard Toggle word wrap

   このポリシーは、exec (ExecProcessRequest) および log (ReadStreamRequest) API を有効にします。必要に応じて、true または false の値を調整してポリシーをさらにカスタマイズします。

2. 次のコマンドを実行して、policy.rego ファイルを Base64 でエンコードされた文字列に変換します。

   $ base64 -w0 policy.rego

   Copy to Clipboard Toggle word wrap

   yaml ファイルで使用するために出力を保存します。

3. OpenShift Container Platform Web コンソールで、Operators Installed Operators に移動します。
4. Operator のリストから OpenShift Sandboxed Containers Operator を選択します。
5. 右上隅にあるインポートアイコン (+) をクリックします。

6. Import YAML ウィンドウで、次の YAML マニフェストを貼り付け、Base64 でエンコードされたポリシーを追加します。

   apiVersion: v1
   kind: Pod
   metadata:
     name: <pod_name>
     annotations:
       io.katacontainers.config.agent.policy: <base64_encoded_policy>
   spec:
     runtimeClassName: kata-remote
     containers:
     - name: <container_name>
       image: registry.access.redhat.com/ubi9/ubi:latest
       command:
       - sleep
       - "36000"
       securityContext:
         privileged: false
         seccompProfile:
           type: RuntimeDefault

   Copy to Clipboard Toggle word wrap
7. Save をクリックして変更を適用します。

手順

1. OpenShift Container Platform Web コンソールで、Operators Installed Operators に移動します。
2. OpenShift sandboxed containers Operator を選択します。
3. KataConfig タブで、Create KataConfig をクリックします。

4. 以下の詳細を入力します。

   • Name: オプション: デフォルト名は example-kataconfig です。
   • Labels: オプション: 関連する識別属性を KataConfig リソースに入力します。各ラベルはキーと値のペアを表します。
   • enablePeerPods: パブリッククラウド、IBM Z®、および IBM® LinuxONE デプロイメントの場合に選択します。

   • kataConfigPoolSelector。オプション: 選択したノードに kata-remote をインストールするには、選択したノードのラベルに一致する式を追加します。

     1. kataConfigPoolSelector エリアを展開します。
     2. kataConfigPoolSelector エリアで、matchExpressions を展開します。これは、ラベルセレクターの要件のリストです。
     3. Add matchExpressions をクリックします。
     4. Key フィールドに、セレクターの適用先のラベルキーを入力します。
     5. Operator フィールドに、キーとラベル値の関係を入力します。有効な演算子は、In、NotIn、Exists、DoesNotExist です。
     6. Values エリアを展開し、Add value をクリックします。
     7. Value フィールドで、true または false を key ラベル値として入力します。
   • logLevel: ランタイムクラスが kata-remote のノードに対して取得されるログデータのレベルを定義します。

5. Create をクリックします。KataConfig CR が作成され、ワーカーノードに kata-remote ランタイムクラスをインストールします。

   インストールを確認する前に、kata-remote のインストールが完了し、ワーカーノードが再起動するまで待ちます。

検証

1. KataConfig タブで、KataConfig CR をクリックして詳細を表示します。

2. YAML タブをクリックして status スタンザを表示します。

   status スタンザには、conditions および kataNodes キーが含まれています。status.kataNodes の値はノード配列であり、各ノードには kata-remote インストールの特定の状態にあるノードがリストされます。更新があるたびにメッセージが表示されます。

3. Reload をクリックして、YAML を更新します。

   status.kataNodes 配列内のすべてのワーカーに、値 installed と、理由が指定されていない conditions.InProgress: False が表示される場合、kata-remote はクラスターにインストールされています。

手順

1. Workloads ConfigMaps に移動します。
2. プロバイダー config map をクリックすると、詳細が表示されます。
3. YAML タブをクリックします。

4. YAML ファイルの status スタンザを確認します。

   PODVM_IMAGE_NAME パラメーターが入力されている場合は、Pod 仮想マシンイメージが正常に作成されています。

トラブルシューティング

1. 次のコマンドを実行してイベントログを取得します。

   $ oc get events -n openshift-sandboxed-containers-operator --field-selector involvedObject.name=osc-podvm-image-creation

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、ジョブログを取得します。

   $ oc logs -n openshift-sandboxed-containers-operator jobs/osc-podvm-image-creation

   Copy to Clipboard Toggle word wrap

手順

1. 次の例のように、各 Pod テンプレート化されたワークロードオブジェクトのマニフェストに spec.runtimeClassName: kata-remote を追加します。

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata-remote
   # ...

   Copy to Clipboard Toggle word wrap

   OpenShift Container Platform はワークロードオブジェクトを作成し、スケジュールを開始します。