1.4. 확인된 문제

OpenShift 샌드박스 컨테이너를 사용하는 경우 OpenShift Container Platform 클러스터의 hostPath 볼륨에서 마운트된 파일 또는 디렉터리에 액세스할 때 SELinux 거부가 발생할 수 있습니다. 권한 있는 샌드박스 컨테이너를 실행할 때 권한 있는 샌드박스 컨테이너가 SELinux 검사를 비활성화하지 않기 때문에 이러한 거부가 발생할 수 있습니다.

호스트의 SELinux 정책을 따라 기본적으로 샌드박스 워크로드에서 호스트 파일 시스템을 완전히 격리할 수 있으며 virtiofsd 데몬 또는 QEMU의 잠재적인 보안 결함에 대해 보다 강력한 보호 기능을 제공합니다.

마운트된 파일 또는 디렉터리에 호스트에 특정 SELinux 요구 사항이 없는 경우 대신 로컬 영구 볼륨을 사용할 수 있습니다. 컨테이너 런타임에 대한 SELinux 정책에 따라 파일이 container_file_t 로 자동 레이블이 다시 지정됩니다. 자세한 내용은 로컬 볼륨을 사용한 영구저장장치를 참조하십시오.

자동 레이블 지정은 마운트된 파일 또는 디렉터리가 호스트에 특정 SELinux 레이블이 있을 것으로 예상되는 경우 옵션이 아닙니다. 대신 virtiofsd 데몬이 이러한 특정 라벨에 액세스할 수 있도록 호스트에 사용자 지정 SELinux 규칙을 설정할 수 있습니다. (BZ#1904609)

MCO(Machine Config Operator) Pod가 CrashLoopBackOff 상태로 변경되는 문제와 Pod의 openshift.io/scc 주석이 기본 hostmount-anyuid 값 대신 sandboxed-containers-operator-scc 를 표시하는 문제가 발생할 수 있습니다.

이 경우, 샌드박스-containers-operator-scc SCC의 seLinuxOptions 전략을 덜 제한적인 RunAsAny 로 변경하므로 승인 프로세스가 hostmount-anyuid SCC보다 우선하지 않습니다.

Pod에 사용 가능한 CPU 수를 늘리기 위해 컨테이너 CPU 리소스 제한을 사용하는 OpenShift 샌드박스 컨테이너 Operator Pod는 요청된 CPU보다 적은 수의 CPU를 수신할 수 있습니다. 컨테이너 내에서 기능을 사용할 수 있는 경우 oc rsh <pod >를 사용하고 lscpu 명령을 실행하여 CPU 리소스를 진단할 수 있습니다.

lscpu

$ lscpu

CPU(s):                          16
On-line CPU(s) list:             0-12,14,15
Off-line CPU(s) list:            13

CPU(s):                          16
On-line CPU(s) list:             0-12,14,15
Off-line CPU(s) list:            13

사용 가능한 오프라인 CPU 목록은 예기치 않은 방식으로 실행되도록 실행에서 변경될 수 있습니다.

이 문제를 해결하려면 Pod 주석을 사용하여 CPU 제한을 설정하지 않고 추가 CPU를 요청할 수 있습니다. 프로세서 할당 방법은 다르며 Pod 주석을 통해 요청한 CPU는 이 문제의 영향을 받지 않습니다. CPU 제한을 설정하는 대신 Pod의 메타데이터에 다음 주석을 추가해야 합니다.

metadata:
  annotations:
    io.katacontainers.config.hypervisor.default_vcpus: "16"

metadata:
  annotations:
    io.katacontainers.config.hypervisor.default_vcpus: "16"

(KATA-1376)

런타임 설치 진행률이 kataConfig CR의 상태 섹션에 표시됩니다. 그러나 다음 조건이 모두 해당되는 경우 진행률이 표시되지 않습니다.

이 경우 Operator는 노드가 마스터 및 작업자 역할이 모두 있는 통합 클러스터라고 가정하므로 마스터 노드에서 설치가 시작됩니다. kataConfig CR의 status 섹션은 설치 중에 업데이트되지 않습니다. (KATA-1017)