OVN-Kubernetes ネットワークプラグイン

• クラスターの所有者である。
• アカウントには十分な権限がある。
• クラスターに既存の Virtual Private Cloud (VPC) がある。
• プロキシーは、クラスターの VPC および VPC のプライベートサブネットにアクセスできる。プロキシーは、クラスターの VPC および VPC のプライベートサブネットからもアクセスできる必要があります。

• 次のエンドポイントが VPC エンドポイントに追加されている。

  • ec2.<aws_region>.amazonaws.com
  • elasticloadbalancing.<aws_region>.amazonaws.com

  • s3.<aws_region>.amazonaws.com

    これらのエンドポイントは、ノードから AWS EC2 API への要求を完了するために必要です。プロキシーはノードレベルではなくコンテナーレベルで機能するため、これらの要求を AWS プライベートネットワークを使用して AWS EC2 API にルーティングする必要があります。プロキシーサーバーの許可リストに EC2 API のパブリック IP アドレスを追加するだけでは不十分です。

    重要

    クラスター全体のプロキシーを使用する場合は、s3.<aws_region>.amazonaws.com エンドポイントを Gateway のタイプとして設定する必要があります。

前提条件

• クラスターがインストールされている VPC からプロキシーにアクセスできることを確認している。プロキシーは VPC のプライベートサブネットからもアクセスできる必要があります。

手順

• クラスターの作成時にプロキシー設定を指定します。

  $ rosa create cluster \
   <other_arguments_here> \
   --additional-trust-bundle-file <path_to_ca_bundle_file> \ 

  1

  2

  3

  
   --http-proxy http://<username>:<password>@<ip>:<port> \ 

  4

  5

  
   --https-proxy https://<username>:<password>@<ip>:<port> \ 

  6

  7

  
   --no-proxy example.com 

  8

  1 4 6

  additional-trust-bundle-file、http-proxy 引数、および https-proxy 引数はすべてオプションです。

  2

  additional-trust-bundle-file 引数は、PEM でエンコードされた X.509 証明書のバンドルを指すファイルパスであり、これはすべて連結されています。TLS 検査プロキシーを使用する場合、プロキシーのアイデンティティー証明書が Red Hat Enterprise Linux CoreOS (RHCOS) 信頼バンドルの認証局によって署名されていない限り、additional-trust-bundle-file 引数が必要です。これは、プロキシーが透過的であるか、http-proxy および https-proxy 引数を使用して明示的な設定を必要とするかに関係なく適用されます。

  3 5 7

  http-proxy 引数および https-proxy 引数は、有効な URL を指している必要があります。

  8

  プロキシーを除外する宛先ドメイン名、IP アドレス、またはネットワーク CIDR のコンマ区切りのリスト。

  サブドメインのみと一致するように、ドメインの前に . を付けます。たとえば、.y.com は x.y.com に一致しますが、y.com には一致しません。* を使用し、すべての宛先のプロキシーをバイパスします。インストール設定で networking.machineNetwork[].cidr フィールドで定義されるネットワークに含まれていないワーカーをスケールアップする場合、それらをこのリストに追加し、接続の問題を防ぐ必要があります。

  httpProxy または httpsProxy フィールドのいずれも設定されていない場合に、このフィールドは無視されます。

前提条件

• Red Hat OpenShift Service on AWS クラスターがある。
• クラスターが VPC にデプロイされている。

検証

• Networking ページの Virtual Private Cloud (VPC) セクションで、クラスターのプロキシー設定が想定どおりであることを確認します。

前提条件

• インストールホストに、最新の ROSA (rosa) および OpenShift (oc) CLI をインストールして設定している。
• VPC にデプロイされた Red Hat OpenShift Service on AWS クラスターがある。

手順

• クラスター設定を編集して、クラスター全体のプロキシーの詳細を追加または更新します。

  $ rosa edit cluster \
   --cluster $CLUSTER_NAME \
   --additional-trust-bundle-file <path_to_ca_bundle_file> \ 

  1

  2

  3

  
   --http-proxy http://<username>:<password>@<ip>:<port> \ 

  4

  5

  
   --https-proxy https://<username>:<password>@<ip>:<port> \ 

  6

  7

  
    --no-proxy example.com 

  8

  1 4 6

  additional-trust-bundle-file、http-proxy 引数、および https-proxy 引数はすべてオプションです。

  2

  additional-trust-bundle-file 引数は、PEM でエンコードされた X.509 証明書のバンドルを指すファイルパスであり、これはすべて連結されています。additional-trust-bundle-file 引数は、PEM でエンコードされた X.509 証明書のバンドルを指すファイルパスであり、これはすべて連結されています。TLS 検査プロキシーを使用する場合、プロキシーのアイデンティティー証明書が Red Hat Enterprise Linux CoreOS (RHCOS) 信頼バンドルの認証局によって署名されていない限り、additional-trust-bundle-file 引数が必要です。これは、プロキシーが透過的であるか、http-proxy および https-proxy 引数を使用して明示的な設定を必要とするかに関係なく適用されます。

  重要

  プロキシーまたは追加の信頼バンドル設定をクラスターで直接変更しようとしないでください。変更は、ROSA CLI (rosa) または Red Hat OpenShift Cluster Manager を使用して適用する必要があります。クラスター上のマネージドリソースに直接加えられた変更は、自動的に元に戻ります。

  3 5 7

  http-proxy 引数および https-proxy 引数は、有効な URL を指している必要があります。

  8

  プロキシーを除外する宛先ドメイン名、IP アドレス、またはネットワーク CIDR のコンマ区切りのリスト。

  サブドメインのみと一致するように、ドメインの前に . を付けます。たとえば、.y.com は x.y.com に一致しますが、y.com には一致しません。* を使用し、すべての宛先のプロキシーをバイパスします。

  インストール設定で networking.machineNetwork[].cidr フィールドで定義されるネットワークに含まれていないワーカーをスケールアップする場合、それらをこのリストに追加し、接続の問題を防ぐ必要があります。

  httpProxy または httpsProxy フィールドのいずれも設定されていない場合に、このフィールドは無視されます。

前提条件

• クラスター管理者の権限がある。
• ROSA CLI (rosa) ツールをインストールしている。

手順

• rosa edit コマンドを使用して、プロキシーを変更します。--http-proxy および --https-proxy 引数に空の文字列を渡して、クラスターからプロキシーをクリアする必要があります。

  $ rosa edit cluster -c <cluster_name> --http-proxy "" --https-proxy ""

  注記

  プロキシーはプロキシー引数の 1 つしか使用しない場合がありますが、空のフィールドは無視されるため、空の文字列を --http-proxy 引数と --https-proxy 引数の両方に渡しても問題は発生しません。

  出力例

  I: Updated cluster <cluster_name>

検証

• rosa describe コマンドを使用して、プロキシーがクラスターから削除されたことを確認できます。

  $ rosa describe cluster -c <cluster_name>

  削除する前に、プロキシー IP がプロキシーセクションに表示されます。

  Name:                       <cluster_name>
  ID:                         <cluster_internal_id>
  External ID:                <cluster_external_id>
  OpenShift Version:          4.0
  Channel Group:              stable
  DNS:                        <dns>
  AWS Account:                <aws_account_id>
  API URL:                    <api_url>
  Console URL:                <console_url>
  Region:                     us-east-1
  Multi-AZ:                   false
  Nodes:
   - Control plane:           3
   - Infra:                   2
   - Compute:                 2
  Network:
   - Type:                    OVNKubernetes
   - Service CIDR:            <service_cidr>
   - Machine CIDR:            <machine_cidr>
   - Pod CIDR:                <pod_cidr>
   - Host Prefix:             <host_prefix>
  Proxy:
   - HTTPProxy:               <proxy_url>
  Additional trust bundle:    REDACTED

  プロキシーを削除すると、プロキシーセクションが削除されます。

  Name:                       <cluster_name>
  ID:                         <cluster_internal_id>
  External ID:                <cluster_external_id>
  OpenShift Version:          4.0
  Channel Group:              stable
  DNS:                        <dns>
  AWS Account:                <aws_account_id>
  API URL:                    <api_url>
  Console URL:                <console_url>
  Region:                     us-east-1
  Multi-AZ:                   false
  Nodes:
   - Control plane:           3
   - Infra:                   2
   - Compute:                 2
  Network:
   - Type:                    OVNKubernetes
   - Service CIDR:            <service_cidr>
   - Machine CIDR:            <machine_cidr>
   - Pod CIDR:                <pod_cidr>
   - Host Prefix:             <host_prefix>
  Additional trust bundle:    REDACTED

前提条件

• クラスター管理者の権限がある。
• ROSA CLI (rosa) ツールをインストールしている。
• クラスターには認証局が追加されている。

手順

• rosa edit コマンドを使用して、CA 信頼バンドルを変更します。--additional-trust-bundle-file 引数に空の文字列を渡して、クラスターから信頼バンドルを消去する必要があります。

  $ rosa edit cluster -c <cluster_name> --additional-trust-bundle-file ""

  出力例

  I: Updated cluster <cluster_name>

検証

• rosa describe コマンドを使用して、信頼バンドルがクラスターから削除されたことを確認できます。

  $ rosa describe cluster -c <cluster_name>

  削除する前に、追加の信頼バンドルセクションが表示され、セキュリティー上の目的でその値が編集されます。

  Name:                       <cluster_name>
  ID:                         <cluster_internal_id>
  External ID:                <cluster_external_id>
  OpenShift Version:          4.0
  Channel Group:              stable
  DNS:                        <dns>
  AWS Account:                <aws_account_id>
  API URL:                    <api_url>
  Console URL:                <console_url>
  Region:                     us-east-1
  Multi-AZ:                   false
  Nodes:
   - Control plane:           3
   - Infra:                   2
   - Compute:                 2
  Network:
   - Type:                    OVNKubernetes
   - Service CIDR:            <service_cidr>
   - Machine CIDR:            <machine_cidr>
   - Pod CIDR:                <pod_cidr>
   - Host Prefix:             <host_prefix>
  Proxy:
   - HTTPProxy:               <proxy_url>
  Additional trust bundle:    REDACTED

  プロキシーを削除すると、追加の信頼バンドルセクションが削除されます。

  Name:                       <cluster_name>
  ID:                         <cluster_internal_id>
  External ID:                <cluster_external_id>
  OpenShift Version:          4.0
  Channel Group:              stable
  DNS:                        <dns>
  AWS Account:                <aws_account_id>
  API URL:                    <api_url>
  Console URL:                <console_url>
  Region:                     us-east-1
  Multi-AZ:                   false
  Nodes:
   - Control plane:           3
   - Infra:                   2
   - Compute:                 2
  Network:
   - Type:                    OVNKubernetes
   - Service CIDR:            <service_cidr>
   - Machine CIDR:            <machine_cidr>
   - Pod CIDR:                <pod_cidr>
   - Host Prefix:             <host_prefix>
  Proxy:
   - HTTPProxy:               <proxy_url>