第1章 サービスの概要

Microsoft Azure 環境で受信および送信のファイアウォールルールを作成し、IP セキュリティー NAT トラバーサルポート (デフォルトでは 4500/UDP) を開き、Submariner 通信を有効にします。

# create inbound nat rule
$ az network lb inbound-nat-rule create --lb-name <lb-name> \
--resource-group <res-group> \
--name <name> \
--protocol Udp --frontend-port <ipsec-port> \
--backend-port <ipsec-port> \
--frontend-ip-name <frontend-ip-name>

# add your vm network interface to the created inbound nat rule
$ az network nic ip-config inbound-nat-rule add \
--lb-name <lb-name> --resource-group <res-group> \
--inbound-nat-rule <nat-name> \
--nic-name <nic-name> --ip-config-name <pipConfig>

lb-name は、ロードバランサー名に置き換えます。

res-group は、リソースグループ名に置き換えます。

nat-name は、ロードバランシングの受信 NAT ルール名に置き換えます。

ipsec-port は、実際の IPsec ポートに置き換えます。

pipConfig は、クラスターのフロントエンド IP 設定名に置き換えます。

nic-name は、実際のネットワークインターフェイスカード (NIC) 名に置き換えます。

Submariner ゲートウェイメトリクス要求を転送する負荷分散の受信 NAT ルールを 1 つ作成します。

# create inbound nat rule
$ az network lb inbound-nat-rule create --lb-name <lb-name> \
--resource-group <res-group> \
--name <name> \
--protocol Tcp --frontend-port 8080 --backend-port 8080 \
--frontend-ip-name <frontend-ip-name>

# add your vm network interface to the created inbound nat rule
$ az network nic ip-config inbound-nat-rule add \
--lb-name <lb-name> --resource-group <res-group> \
--inbound-nat-rule <nat-name> \
--nic-name <nic-name> --ip-config-name <pipConfig>

lb-name は、ロードバランサー名に置き換えます。

res-group は、リソースグループ名に置き換えます。

nat-name は、ロードバランシングの受信 NAT ルール名に置き換えます。

pipConfig は、クラスターのフロントエンド IP 設定名に置き換えます。

nic-name は、実際のネットワークインターフェイスカード (NIC) 名に置き換えます。

Azure でネットワークセキュリティーグループ {NSG) セキュリティールールを作成し、Submariner の NAT トラバーサルポート (デフォルトでは 4500/UDP) を開きます。

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Inbound --access Allow \
--protocol Udp --destination-port-ranges <ipsec-port>

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Outbound --access Allow \
--protocol Udp --destination-port-ranges <ipsec-port>
Replace `res-group` with your resource group name.
+
Replace `nsg-name` with your NSG name.
+
Replace `priority` with your rule priority.
+
Replace `name` with your rule name.
+
Replace `ipsec-port` with your IPsec port.

NSG ルールを作成し、4800/UDP ポートを開き、ワーカーノードおよびマスターノードから Submariner Gateway ノードに Pod トラフィックをカプセル化します。

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Inbound --access Allow \
--protocol Udp --destination-port-ranges 4800 \

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Outbound --access Allow \
--protocol Udp --destination-port-ranges 4800

res-group は、リソースグループ名に置き換えます。

nsg-name を、実際の NSG 名に置き換えます。

priority を、ルールの優先度に置き換えます。

name を、実際のルール名に置き換えます。

NSG ルールを作成して 8080/TCP ポートを開き、Submariner ゲートウェイノードからメトリクスサービスをエクスポートします。

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Inbound --access Allow \
--protocol Tcp --destination-port-ranges 8080 \

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Outbound --access Allow \
--protocol Udp --destination-port-ranges 8080

res-group は、リソースグループ名に置き換えます。

nsg-name を、実際の NSG 名に置き換えます。

priority を、ルールの優先度に置き換えます。

name を、実際のルール名に置き換えます。

ManagedClusterSets の手順に従って、ハブクラスターに ManagedClusterSet の作成および管理 を作成します。ManagedClusterSet のエントリーは以下のような内容になります。

apiVersion: cluster.open-cluster-management.io/v1alpha1
kind: ManagedClusterSet
metadata:
  name: <managed-cluster-set-name>

managed-cluster-set-name は、作成する ManagedClusterSet の名前に置き換えます。

注記: Kubernetes namespace の名前の最大長は 63 文字であるため、<managed-cluster-set-name> の最大長さは 56 文字です。<managed-cluster-set-name> の長さが 56 を超える場合には、<managed-cluster-set-name> は、先頭から 56 文字で省略されます。

ManagedClusterSet が作成されたら、submariner-addon は <managed-cluster-set-name>-broker と呼ばれる namespace を作成し、その namespace に Submariner ブローカーをデプロイします。

以下のコマンドを入力して、マネージドクラスターを 1 つ ManagedClusterSet に追加します。

oc label managedclusters <managed-cluster-name> "cluster.open-cluster-management.io/clusterset=<managed-cluster-set-name>" --overwrite

managedcluster-name は、ManagedClusterSet に追加するマネージドクラスターの名前に置き換えます。

ManagedClusterSet-name は、マネージドクラスターを追加する ManagedClusterSet の名前に置き換えます。

以下のコマンドを入力してマネージドクラスターで Submariner をデプロイします。

cat << EOF | oc apply -f -
apiVersion: addon.open-cluster-management.io/v1alpha1
kind: ManagedClusterAddOn
metadata:
     name: submariner
     namespace: <managed-cluster-name>
spec:
     installNamespace: submariner-operator

managedcluster-name は、Submariner で使用するマネージドクラスターの名前に置き換えます。

ManagedClusterAddOn の仕様の installNamespace フィールドは、Submariner をインストールするマネージドクラスター上の namespace に置き換えます。現在、Submariner-operator namespace に Submariner をインストールする必要があります。

ManagedClusterAddOn の作成後に、submariner-addon は Submariner をマネージドクラスターの submariner-operator namespace にデプロイします。この ManagedClusterAddOn のステータスから Submariner のデプロイメントステータスを表示できます。

注記: ManagedClusterAddOn の名前は submariner である必要があります。

マネージドクラスターに Submariner をデプロイしたら、以下のコマンドを入力して、Submariner ManagedClusterAddOn のステータスを確認して Submariner のデプロイメントのステータスを確認できます。

oc -n <managed-cluster-name> get managedclusteraddons submariner -oyaml

cluster-name は、マネージドクラスターの名前に置き換えます。

Submariner ManagedClusterAddOn のステータスの 3 つの条件により、Submariner のデプロイメントステータスが分かります。