Multicluster Global Hub

Multicluster Global Hub Operator には、Multicluster Global Hub のコンポーネントが含まれています。Operator は、グローバルマルチクラスター管理に必要なコンポーネントをすべてデプロイします。コンポーネントには、multicluster-global-hub-manager、multicluster-global-hub-grafana、および Multicluster Global Hub 内の Kafka および PostgreSQL の提供バージョンと、マネージドハブクラスター内の multicluster-global-hub-agent が含まれます。

また、Operator は manifestwork カスタムリソースを利用して、マネージドクラスターに Red Hat Advanced Cluster Management for Kubernetes Operator をデプロイします。Red Hat Advanced Cluster Management Operator がマネージドクラスターにデプロイされると、マネージドクラスターは標準の Red Hat Advanced Cluster Management クラスターになります。このハブクラスターはマネージドハブクラスターになりました。

Multicluster Global Hub マネージャーは、データを postgreSQL データベースに永続化するために使用されます。データは Kafka トランスポートからのものです。また、マネージャーはデータを Kafka トランスポートにポストするため、マネージドハブクラスター上のデータと同期できます。

Multicluster Global Hub エージェントは、マネージドハブクラスター上で実行されます。multicluster global hub クラスターとマネージドハブクラスター間でデータを同期します。たとえば、エージェントは、マネージドハブクラスターからのマネージドクラスターの情報を multicluster global hub と同期し、グローバルハブクラスターとマネージドハブクラスターからのポリシーまたはアプリケーションを同期します。

Grafana は、Multicluster Global Hub の視覚化のメインサービスとして Multicluster Global Hub クラスター上で実行されます。グローバルハブマネージャーによって収集された PostgreSQL データは、デフォルトの DataSource です。multicluster-global-hub-grafana というルートを使用してサービスを公開すると、コンソールにアクセスして Multicluster Global Hub Grafana ダッシュボードにアクセスできます。

Global Hub をインストールするには、次の要件が必要です。

必要なアクセス権限: クラスターの管理者

OpenShift Container Platform Dedicated 環境に必要なアクセス:cluster-admin パーミッションが必要です。デフォルトで、dedicated-admin ロールには OpenShift Container Platform Dedicated 環境で namespace を作成するために必要な権限がありません。

以下のネットワーク要件を参照してください。

サポートされるプラットフォームとコンポーネントを説明します。

非接続環境に Multicluster Global Hub をインストールする前に、次の要件を満たす必要があります。

非接続環境に Multicluster Global Hub をインストールするには、ローカルミラーイメージレジストリーを使用する必要があります。この時点では、OpenShift Container Platform クラスターのインストール中にミラーレジストリーを設定済みであることを前提としています。

以下の手順に従って、Multicluster Global Hub のミラーレジストリーをプロビジョニングします。

クラスターがインターネットでホストされているレジストリーからではなく、ローカルミラーレジストリーから Multicluster Global Hub Operator のコンテナーイメージを取得できるようにするには、非接続クラスターで ImageContentSourcePolicy リソースを設定し、イメージ参照をミラーレジストリーにリダイレクトする必要があります。ImageContentSourcePolicy は、digest イメージを使用したイメージミラーのみをサポートします。

oc adm catalog mirror コマンドを使用してカタログをミラーリングした場合に、必要なイメージコンテンツソースポリシー設定は、そのコマンドによって作成される manifests-* ディレクトリー内の imageContentSourcePolicy.yaml ファイルにあります。

代わりに oc-mirror プラグインを使用してカタログをミラーリングした場合に、imageContentSourcePolicy.yaml ファイルは oc-mirror プラグインによって作成された oc-mirror-workspace/results- ディレクトリー内にあります。

いずれの場合も、oc replace -f ./<path>/imageContentSourcePolicy.yaml のような oc apply または oc replace コマンドを使用して、ネットワーク接続なしのコマンドにポリシーを適用できます。

必要なイメージコンテンツソースポリシーステートメントは、ミラーレジストリーの作成方法によって異なりますが、次の例のようになります。

apiVersion: operator.openshift.io/v1alpha1
kind: ImageContentSourcePolicy
metadata:
  labels:
    operators.openshift.org/catalog: "true"
  name: global-hub-operator-icsp
spec:
  repositoryDigestMirrors:
  - mirrors:
    - myregistry.example.com:5000/multicluster-globalhub
    source: registry.redhat.io/multicluster-globalhub
  - mirrors:
    - myregistry.example.com:5000/openshift4
    source: registry.redhat.io/openshift4
  - mirrors:
    - myregistry.example.com:5000/redhat
    source: registry.redhat.io/redhat

ManagedClusterImageRegistry を使用して、マネージドハブごとに異なるイメージレジストリーを設定できます。ManagedClusterImageRegistry API を使用してエージェントイメージを置き換える方法は、ManagedClusterImageRegistry を持つクラスターのインポート を参照してください。

前の手順を完了すると、選択した ManagedCluster にラベルとアノテーションが追加されます。これは、クラスター内のエージェントイメージがミラーイメージに置き換えられることを意味します。

oc get pods -n multicluster-global-hub
NAME                                                READY   STATUS    RESTARTS   AGE
multicluster-global-hub-operator-687584cb7c-fnftj   1/1     Running   0          2m12s

独自の Kafka インスタンスがある場合は、Multicluster Global Hub のトランスポートとして使用できます。Kafka 3.3 はテスト済みバージョンです。Kafka のインスタンスを統合するには、次の手順を実行します。

独自の PostgreSQL リレーショナルデータベースがある場合は、Multicluster Global Hub のストレージとして使用できます。PostgreSQL 13 はテスト済みバージョンです。

最小要件のストレージサイズは 20GB です。この量では、250 のマネージドクラスターを含む 3 つのマネージドハブと、マネージドハブごとに 50 のポリシーを 18 か月間保存できます。multicluster-global-hub namespace に multicluster-global-hub-storage という名前のシークレットを作成する必要があります。シークレットには以下のフィールドが含まれている必要があります。

oc create secret generic multicluster-global-hub-storage -n multicluster-global-hub \
    --from-literal=database_uri=<postgresql-uri> \
    --from-literal=database_uri_with_readonlyuser=<postgresql-uri-with-readonlyuser> \
    --from-file=ca.crt=<CA-for-postgres-server>

ホストは、Multicluster Global Hub クラスターからアクセスできる必要があります。PostgreSQL データベースが Kubernetes クラスターにある場合は、nodePort または LoadBalancer でサービスタイプを使用してデータベースを公開することを検討してください。詳細は、トラブルシューティングのためのプロビジョニングされた postgres データベースへのアクセス を参照してください。

独自の Grafana に依存して Prometheus などの複数のソースからメトリクスを取得し、異なるクラスターからメトリクスを自分で集計する場合、既存の Grafana インスタンスを使用すると、Multicluster Global Hub で機能する可能性があります。Multicluster Global Hub データを独自の Grafana に取得するには、データソースを設定し、ダッシュボードをインポートする必要があります。

シークレットから ca.crt 証明書を抽出する方法は、STRIMZI ドキュメントの User authentication を参照してください。

シークレットから user.crt 証明書を抽出する手順は、STRIMZI ドキュメントの User authentication を参照してください。

グローバルハブ Grafana データにアクセスした後、管理されているハブクラスター環境を通じて設定されたポリシーを監視できます。

Multicluster Global Hub ダッシュボードから、選択した時間範囲におけるシステムのポリシーのコンプライアンスステータスを特定できます。ポリシーのコンプライアンスステータスは毎日更新されるため、ダッシュボードには当日のステータスが翌日まで表示されません。

Multicluster Global Hub ダッシュボードを操作するには、policy または cluster 別にグループ化することで、ポリシーデータの確認および絞り込みが可能です。

policy グループを使用してポリシーデータを調べる場合は、Global Hub - Policy Group Compliancy Overview というダッシュボードから開始します。

このダッシュボードでは、standard、category および control に基づいてポリシーデータをフィルタリングできます。グラフで特定の時点を選択すると、Global Hub - Offending Policies ダッシュボードに移動します。Global Hub - Offending Policies ダッシュボードには、その時点で準拠していないポリシーまたは不明なポリシーがリストされます。ターゲットポリシーを選択した後、Global Hub - What’s Changed / Policies ダッシュボードにアクセスして、関連イベントを表示し、変更内容を確認できます。

同様に、cluster グループごとにポリシーデータを調べる場合は、まず Global Hub - Cluster Group Compliancy Overview ダッシュボードを使用します。ナビゲーションフローは policy グループ化フローと同じですが、マネージドクラスターの labels や values など、クラスターに関連するフィルターを選択します。すべてのクラスターのポリシーイベントを表示する代わりに、Global Hub - What’s Changed / Clusters ダッシュボードに到達した後、個々のクラスターに関連するポリシーイベントを表示できます。

Kafka デプロイメントと Postgres データベースの健全性とパフォーマンスを把握するには、それらのメトリクスを収集します。メトリクスを確認すると、問題が重大になる前に特定し、リソースの割り当てや容量計画について情報に基づいた決定を下すことができます。メトリクスを収集して確認しないと、Kafka デプロイメントの動作の可視性が制限され、トラブルシューティングが困難になる可能性があります。

ダッシュボードとそのメトリクスは、Multicluster Global Hub Grafana で確認できます。Strimzi フォルダーでは、次のダッシュボードを表示できます。

Postgres 設定の健全性とパフォーマンスを理解するには、Grafana ダッシュボードで Postgres メトリクスを収集して確認します。Postgres フォルダーでは、以下のダッシュボードを表示できます。

マネージドクラスターをフィルタリングし、その詳細およびイベントを表示するには、Grafana ダッシュボードを使用します。Grafana ダッシュボードを使用すると、hub、labels および name に基づいてマネージドクラスターをフィルタリングできます。さらに、hub、status、cloud、および version に基づいて、マネージドクラスターのディストリビューションを表示できます。

Cluster フォルダーでは、次のダッシュボードを表示できます。

デフォルトの Grafana アラートルールで要件にあった情報が得られない場合は、multicluster-global-hub-custom-alerting config map に deleteRules セクションを含めることによって、Grafana アラートルールを削除できます。multicluster-global-hub-custom-alerting config map の詳細は、Grafana アラートリソースのカスタマイズ を参照してください。

デフォルトのアラートをすべて削除するには、deleteRules 設定セクションは次の例のようになります。

    deleteRules:
      - orgId: 1
        uid: globalhub_suspicious_policy_change
      - orgId: 1
        uid: globalhub_cluster_compliance_status_change_frequently
      - orgId: 1
        uid: globalhub_high_number_of_policy_events
      - orgId: 1
        uid: globalhub_data_retention_job
      - orgId: 1
        uid: globalhub_local_compliance_job

Multicluster Global Hub は、カスタム Grafana アラートの作成をサポートします。Grafana アラートをカスタマイズするには、次の手順を実行します。

apiVersion: v1
kind: Secret
metadata:
  name: multicluster-global-hub-custom-grafana-config
  namespace: multicluster-global-hub
type: Opaque
stringData:
  grafana.ini: |
    [smtp]
    enabled = true
    host = smtp.google.com:465
    user = <example@google.com>
    password = <password>
    ;cert_file =
    ;key_file =
    skip_verify = true
    from_address = <example@google.com>
    from_name = Grafana
    ;ehlo_identity = dashboard.example.com 1

apiVersion: v1
data:
  alerting.yaml: |
    contactPoints:
      - orgId: 1
        name: globalhub_policy
        receivers:
          - uid: globalhub_policy_alert_email
            type: email
            settings:
              addresses: <example@redhat.com>
              singleEmail: false
          - uid: globalhub_policy_alert_slack
            type: slack
            settings:
              url: <Slack-webhook-URL>
              title: |
                {{ template "globalhub.policy.title" . }}
              text: |
                {{ template "globalhub.policy.message" . }}
    policies:
      - orgId: 1
        receiver: globalhub_policy
        group_by: ['grafana_folder', 'alertname']
        matchers:
          - grafana_folder = Policy
        repeat_interval: 1d
    deleteRules:
      - orgId: 1
        uid: [Alert Rule Uid]
    muteTimes:
      - orgId: 1
        name: mti_1
        time_intervals:
          - times:
              - start_time: '06:00'
                end_time: '23:59'
                location: 'UTC'
            weekdays: ['monday:wednesday', 'saturday', 'sunday']
            months: ['1:3', 'may:august', 'december']
            years: ['2020:2022', '2030']
            days_of_month: ['1:5', '-3:-1']
kind: ConfigMap
metadata:
  name: multicluster-global-hub-custom-alerting
  namespace: multicluster-global-hub

Multicluster Global Hub を復元する必要がある場合は、新しいハブクラスターの準備 を参照してください。Multicluster Global Hub Operator をインストールしますが、CR は自動的に復元されるため、Multicluster Global Hub カスタムリソース (CR) は作成しないでください。

グローバル検索を有効にするには、次のコマンドを実行して、search-v2-operator リソースに global-search-preview=true アノテーションを追加します。

oc annotate search search-v2-operator -n open-cluster-management global-search-preview=true

検索 Operator が次のステータス状態で更新されます。

status:
  conditions:
    - lastTransitionTime: '2024-05-31T19:49:37Z'
      message: None
      reason: None
      status: 'True'
      type: GlobalSearchReady