19.4. 정책 및 PolicyGenTemplate 리소스를 사용하여 관리형 클러스터 구성

절차

1. 사이트별 구성 CR에 대한 PolicyGenTemplate CR을 생성합니다.

   1. out/argocd/example/policygentemplates 폴더(예: example-sno-site.yaml 또는 example-multinode-site.yaml )에서 CR에 대한 적절한 예를 선택합니다.

   2. 예제 파일의 바인딩Rules 필드를 site Config CR에 포함된 사이트별 레이블과 일치하도록 변경합니다. 예제 site Config 파일에서 사이트 별 레이블은 sites: example-sno 입니다.

      참고

      PolicyGenTemplate bindingRules 필드에 정의된 레이블이 관련 관리 클러스터 site Config CR에 정의된 라벨과 일치하는지 확인합니다.

   3. 예제 파일의 내용을 원하는 구성과 일치하도록 변경합니다.

2. 선택 사항: 전체 클러스터에 적용되는 공통 구성 CR에 대해 PolicyGenTemplate CR을 생성합니다.

   1. out/argocd/example/policygentemplates 폴더에 있는 CR에 대한 적절한 예를 선택합니다(예: common-ranGen.yaml ).
   2. 예제 파일의 내용을 원하는 구성과 일치하도록 변경합니다.

3. 선택 사항: 플롯의 특정 클러스터 그룹에 적용되는 모든 그룹 구성 CR에 대해 PolicyGenTemplate CR을 생성합니다.

   overlaid 사양 파일의 콘텐츠가 원하는 최종 상태와 일치하는지 확인합니다. out/source-crs 디렉터리에는 PolicyGenTemplate 템플릿에서 포함 및 덮어쓸 수 있는 source-crs의 전체 목록이 포함되어 있습니다.

   참고

   클러스터의 특정 요구 사항에 따라 클러스터 유형당 단일 그룹 정책이 필요할 수 있습니다. 특히 예제 그룹 정책에는 동일한 하드웨어 구성으로 구성된 클러스터 세트에서만 공유할 수 있는 단일 PerformancePolicy.yaml 파일이 있습니다.

   1. out/argocd/example/policygentemplates 폴더(예: group-du-sno-ranGen.yaml )에서 CR에 대한 적절한 예를 선택합니다.
   2. 예제 파일의 내용을 원하는 구성과 일치하도록 변경합니다.
4. 선택사항입니다. 검증기를 생성하여 배포된 클러스터의 ZTP 설치 및 구성이 완료될 때 알리도록 정책 PolicyGenTemplate CR에 알릴 수 있습니다. 자세한 내용은 "Create a validator inform policy"를 참조하십시오.

5. 예제 out/argocd/example/policygentemplates/ns.yaml 파일과 유사한 YAML 파일에 모든 정책 네임스페이스를 정의합니다.

   중요

   PolicyGenTemplate CR을 사용하여 동일한 파일에 Namespace CR을 포함하지 마십시오.

6. out/argocd/example/policygentemplates/ kustomization.yaml 에 표시된 예제와 유사한 generators 섹션의 kustomization.yaml 파일에 PolicyGenTemplate CR 및 Namespace CR을 추가합니다.

7. Git 리포지토리에 PolicyGenTemplate CR, 네임 스페이스 CR 및 관련 kustomization.yaml 파일을 커밋하고 변경 사항을 내보냅니다.

   ArgoCD 파이프라인은 변경 사항을 감지하고 관리형 클러스터 배포를 시작합니다. 변경 사항을 site Config CR 및 PolicyGenTemplate CR에 동시에 푸시할 수 있습니다.

절차

1. TALM(토폴로지 라이프사이클 관리자)은 클러스터에 바인딩된 구성 정책을 적용합니다.

   클러스터 설치가 완료되고 클러스터가 Ready 상태가 되면 이 클러스터에 해당하는 ClusterGroupUpgrade CR이 되며, ran.openshift.io/ztp-deploy-ECDHE 주석에 의해 정의된 정렬된 정책 목록이 TALM에 의해 자동으로 생성됩니다. 클러스터 정책은 ClusterGroupUpgrade CR에 나열된 순서대로 적용됩니다.

   다음 명령을 사용하여 구성 정책 조정의 상위 수준 진행 상황을 모니터링할 수 있습니다.

   $ export CLUSTER=<clusterName>

   $ oc get clustergroupupgrades -n ztp-install $CLUSTER -o jsonpath='{.status.conditions[-1:]}' | jq

   출력 예

   {
     "lastTransitionTime": "2022-11-09T07:28:09Z",
     "message": "The ClusterGroupUpgrade CR has upgrade policies that are still non compliant",
     "reason": "UpgradeNotCompleted",
     "status": "False",
     "type": "Ready"
   }

2. RHACM 대시보드 또는 명령줄을 사용하여 자세한 클러스터 정책 준수 상태를 모니터링할 수 있습니다.

   1. oc 를 사용하여 정책 준수를 확인하려면 다음 명령을 실행합니다.

      $ oc get policies -n $CLUSTER

      출력 예

      NAME                                                     REMEDIATION ACTION   COMPLIANCE STATE   AGE
      ztp-common.common-config-policy                          inform               Compliant          3h42m
      ztp-common.common-subscriptions-policy                   inform               NonCompliant       3h42m
      ztp-group.group-du-sno-config-policy                     inform               NonCompliant       3h42m
      ztp-group.group-du-sno-validator-du-policy               inform               NonCompliant       3h42m
      ztp-install.example1-common-config-policy-pjz9s          enforce              Compliant          167m
      ztp-install.example1-common-subscriptions-policy-zzd9k   enforce              NonCompliant       164m
      ztp-site.example1-config-policy                          inform               NonCompliant       3h42m
      ztp-site.example1-perf-policy                            inform               NonCompliant       3h42m

   2. RHACM 웹 콘솔에서 정책 상태를 확인하려면 다음 작업을 수행합니다.

      1. 관리 정책 찾기를 클릭합니다.
      2. 클러스터 정책을 클릭하여 상태를 확인합니다.

절차

1. 정책에 대한 자세한 정보를 표시하려면 다음 명령을 실행합니다.

   $ oc describe -n openshift-gitops application policies

2. 오류 로그를 표시하려면 Status: Conditions: 를 확인합니다. 예를 들어 잘못된 sourceFileECDHEfileName을 설정하면 아래와 같은 오류가 생성됩니다.

   Status:
     Conditions:
       Last Transition Time:  2021-11-26T17:21:39Z
       Message:               rpc error: code = Unknown desc = `kustomize build /tmp/https___git.com/ran-sites/policies/ --enable-alpha-plugins` failed exit status 1: 2021/11/26 17:21:40 Error could not find test.yaml under source-crs/: no such file or directory Error: failure in plugin configured via /tmp/kust-plugin-config-52463179; exit status 1: exit status 1
       Type:  ComparisonError

3. Status: Sync:. Status: Conditions: 에 로그 오류가 있는 경우 Status: Sync: show Unknown 또는 Error:를 표시합니다.

   Status:
     Sync:
       Compared To:
         Destination:
           Namespace:  policies-sub
           Server:     https://kubernetes.default.svc
         Source:
           Path:             policies
           Repo URL:         https://git.com/ran-sites/policies/.git
           Target Revision:  master
       Status:               Error

4. RHACM(Red Hat Advanced Cluster Management)에서 정책이 ManagedCluster 오브젝트에 적용되는 것을 인식하면 정책 CR 오브젝트가 클러스터 네임스페이스에 적용됩니다. 정책이 클러스터 네임스페이스에 복사되었는지 확인합니다.

   $ oc get policy -n $CLUSTER

   출력 예:

   NAME                                         REMEDIATION ACTION   COMPLIANCE STATE   AGE
   ztp-common.common-config-policy              inform               Compliant          13d
   ztp-common.common-subscriptions-policy       inform               Compliant          13d
   ztp-group.group-du-sno-config-policy         inform               Compliant          13d
   Ztp-group.group-du-sno-validator-du-policy   inform               Compliant          13d
   ztp-site.example-sno-config-policy           inform               Compliant          13d

   RHACM은 적용 가능한 모든 정책을 클러스터 네임스페이스에 복사합니다. 복사된 정책 이름에는 <policy GenTemplate.Namespace>.<policyGenTemplate.Name>-<policyName > 포멧이 있습니다.

5. 클러스터 네임스페이스에 복사되지 않은 정책의 배치 규칙을 확인합니다. 해당 정책에 대한 PlacementRule 의 matchSelector 는 ManagedCluster 오브젝트의 라벨과 일치해야 합니다.

   $ oc get placementrule -n $NS

6. 다음 명령을 사용하여 누락된 정책, 공통, 그룹 또는 사이트에 적합한 PlacementRule 이름을 기록해 둡니다.

   $ oc get placementrule -n $NS <placementRuleName> -o yaml

   • status-decisions에는 클러스터 이름이 포함되어야 합니다.
   • 사양에 있는 matchSelector 의 키-값 쌍은 관리 클러스터의 라벨과 일치해야 합니다.

7. 다음 명령을 사용하여 ManagedCluster 오브젝트의 라벨을 확인합니다.

   $ oc get ManagedCluster $CLUSTER -o jsonpath='{.metadata.labels}' | jq

8. 다음 명령을 사용하여 호환되는 정책을 확인하십시오.

   $ oc get policy -n $CLUSTER

   Namespace,OperatorGroup, Subscription 정책이 준수하지만 Operator 구성 정책이 일치하지 않으면 Operator가 관리 클러스터에 설치되지 않은 것입니다. 이로 인해 CRD가 아직 스포크에 적용되지 않기 때문에 Operator 구성 정책이 적용되지 않습니다.

절차

1. 관리형 클러스터가 Ready 가 되면 Topology Aware Lifecycle Manager의 ztp-install 네임스페이스에 ClusterGroupUpgrade CR이 생성됩니다.

   $ export CLUSTER=<clusterName>

   $ oc get clustergroupupgrades -n ztp-install $CLUSTER

2. 예기치 않은 문제가 있고 정책이 구성된 시간 내에 불만이 발생하지 않는 경우 (기본값은 4 시간) ClusterGroupUpgrade CR의 상태에 UpgradeTimedOut 이 표시됩니다.

   $ oc get clustergroupupgrades -n ztp-install $CLUSTER -o jsonpath='{.status.conditions[?(@.type=="Ready")]}'

3. UpgradeTimedOut 상태의 ClusterGroupUpgrade CR은 매시간마다 정책 조정을 자동으로 다시 시작합니다. 정책을 변경한 경우 기존 ClusterGroupUpgrade CR을 삭제하여 즉시 재시도를 시작할 수 있습니다. 이렇게 하면 정책을 즉시 조정하기 시작하는 새 ClusterGroupUpgrade CR의 자동 생성이 트리거됩니다.

   $ oc delete clustergroupupgrades -n ztp-install $CLUSTER