12.4. 컨트롤 플레인 머신 세트를 사용하여 컨트롤 플레인 시스템 관리

프로세스

1. 클라우드 공급자의 웹 포털 또는 콘솔에서 다음 작업을 수행합니다.

   1. 적절한 로드 밸런서 구성 요소를 찾아서 삭제합니다.

      • AWS의 경우 외부 로드 밸런서를 삭제합니다. 프라이빗 영역의 API DNS 항목은 동일한 설정을 사용하는 내부 로드 밸런서를 가리키므로 내부 로드 밸런서를 변경할 필요가 없습니다.
   2. 퍼블릭 영역의 api.$clustername.$yourdomain DNS 항목을 삭제합니다.

2. 컨트롤 플레인 머신 세트 사용자 정의 리소스에서 다음 행을 삭제하여 외부 로드 밸런서를 제거합니다.

   providerSpec:
     value:
       loadBalancers:
       - name: lk4pj-ext 1
         type: network 2
       - name: lk4pj-int
         type: network

   1 2

   이 행을 삭제합니다.

프로세스

1. providerSpec 필드 아래의 다음 행을 편집합니다.

   providerSpec:
     value:
       ...
       instanceType: <compatible_aws_instance_type> 1

   1

   이전 선택과 동일한 기준으로 더 큰 AWS 인스턴스 유형을 지정합니다. 예를 들어 m6i.xlarge 를 m6i.2xlarge 또는 m6i.4xlarge 로 변경할 수 있습니다.

2. 변경 사항을 저장하십시오.

프로세스

1. 텍스트 편집기에서 기존 머신 세트의 YAML 파일을 열거나 새 머신을 생성합니다.

2. providerSpec 필드 아래의 다음 행을 편집합니다.

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   # ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             instanceType: <supported_instance_type> 1
             networkInterfaceType: EFA 2
             placement:
               availabilityZone: <zone> 3
               region: <region> 4
             placementGroupName: <placement_group> 5
   # ...

   1

   EFA를 지원하는 인스턴스 유형을 지정합니다.

   2

   EFA 네트워크 인터페이스 유형을 지정합니다.

   3

   영역을 지정합니다(예: us-east-1a ).

   4

   리전을 지정합니다(예: us-east-1 ).

   5

   머신을 배포할 기존 AWS 배치 그룹의 이름을 지정합니다.

프로세스

1. 클라우드 공급자의 웹 포털 또는 콘솔에서 다음 작업을 수행합니다.

   1. 적절한 로드 밸런서 구성 요소를 찾아서 삭제합니다.

      • Azure의 경우 로드 밸런서의 api-internal 규칙을 삭제합니다.
   2. 퍼블릭 영역의 api.$clustername.$yourdomain DNS 항목을 삭제합니다.

2. 컨트롤 플레인 머신 세트 사용자 정의 리소스에서 다음 행을 삭제하여 외부 로드 밸런서를 제거합니다.

   providerSpec:
     value:
       loadBalancers:
       - name: lk4pj-ext 1
         type: network 2
       - name: lk4pj-int
         type: network

   1 2

   이 행을 삭제합니다.

프로세스

1. 다음 명령 중 하나를 실행하여 사용 가능한 모든 OpenShift Container Platform 이미지를 표시합니다.

   • 북아메리카:

     $  az vm image list --all --offer rh-ocp-worker --publisher redhat -o table

     출력 예

     Offer          Publisher       Sku                 Urn                                                             Version
     -------------  --------------  ------------------  --------------------------------------------------------------  -----------------
     rh-ocp-worker  RedHat          rh-ocp-worker       RedHat:rh-ocp-worker:rh-ocp-worker:413.92.2023101700            413.92.2023101700
     rh-ocp-worker  RedHat          rh-ocp-worker-gen1  RedHat:rh-ocp-worker:rh-ocp-worker-gen1:413.92.2023101700       413.92.2023101700

   • EMEA:

     $  az vm image list --all --offer rh-ocp-worker --publisher redhat-limited -o table

     출력 예

     Offer          Publisher       Sku                 Urn                                                                     Version
     -------------  --------------  ------------------  --------------------------------------------------------------          -----------------
     rh-ocp-worker  redhat-limited  rh-ocp-worker       redhat-limited:rh-ocp-worker:rh-ocp-worker:413.92.2023101700            413.92.2023101700
     rh-ocp-worker  redhat-limited  rh-ocp-worker-gen1  redhat-limited:rh-ocp-worker:rh-ocp-worker-gen1:413.92.2023101700       413.92.2023101700

   참고

   설치하는 OpenShift Container Platform 버전에 관계없이 사용할 Azure Marketplace 이미지의 올바른 버전은 4.13입니다. 필요한 경우 설치 프로세스의 일부로 VM이 자동으로 업그레이드됩니다.

2. 다음 명령 중 하나를 실행하여 제안의 이미지를 검사합니다.

   • 북아메리카:

     $ az vm image show --urn redhat:rh-ocp-worker:rh-ocp-worker:<version>

   • EMEA:

     $ az vm image show --urn redhat-limited:rh-ocp-worker:rh-ocp-worker:<version>

3. 다음 명령 중 하나를 실행하여 제안 조건을 검토합니다.

   • 북아메리카:

     $ az vm image terms show --urn redhat:rh-ocp-worker:rh-ocp-worker:<version>

   • EMEA:

     $ az vm image terms show --urn redhat-limited:rh-ocp-worker:rh-ocp-worker:<version>

4. 다음 명령 중 하나를 실행하여 제공 조건을 수락하십시오.

   • 북아메리카:

     $ az vm image terms accept --urn redhat:rh-ocp-worker:rh-ocp-worker:<version>

   • EMEA:

     $ az vm image terms accept --urn redhat-limited:rh-ocp-worker:rh-ocp-worker:<version>

5. 제안의 이미지 세부 정보, 특히 publisher, offer, sku, version 값을 기록합니다.

6. 제안의 이미지 세부 정보를 사용하여 머신 세트 YAML 파일의 providerSpec 섹션에 다음 매개변수를 추가합니다.

   Azure Marketplace 머신의 샘플 providerSpec 이미지 값

   providerSpec:
     value:
       image:
         offer: rh-ocp-worker
         publisher: redhat
         resourceID: ""
         sku: rh-ocp-worker
         type: MarketplaceWithPlan
         version: 413.92.2023101700

1. secureBoot 필드 사용.
2. virtualizedTrustedPlatformModule 필드 사용

프로세스

1. 텍스트 편집기에서 기존 머신 세트의 YAML 파일을 열거나 새 머신을 생성합니다.

2. providerSpec 필드 아래의 다음 섹션을 편집하여 유효한 구성을 제공합니다.

   UEFI Secure Boot 및 vTPM이 활성화된 샘플 유효한 구성

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   # ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             securityProfile:
               settings:
                 securityType: TrustedLaunch 1
                 trustedLaunch:
                   uefiSettings: 2
                     secureBoot: Enabled 3
                     virtualizedTrustedPlatformModule: Enabled 4
   # ...

   1

   Azure 가상 머신에 대한 신뢰할 수 있는 시작 기능을 활성화합니다. 이 값은 모든 유효한 구성에 필요합니다.

   2

   사용할 UEFI 보안 기능을 지정합니다. 이 섹션은 모든 유효한 구성에 필요합니다.

   3

   UEFI Secure Boot를 활성화합니다.

   4

   vTPM 사용을 활성화합니다.

프로세스

1. 텍스트 편집기에서 기존 머신 세트의 YAML 파일을 열거나 새 머신을 생성합니다.

2. providerSpec 필드 아래의 다음 섹션을 편집합니다.

   샘플 구성

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   # ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             osDisk:
               # ...
               managedDisk:
                 securityProfile: 1
                   securityEncryptionType: VMGuestStateOnly 2
               # ...
             securityProfile: 3
               settings:
                   securityType: ConfidentialVM 4
                   confidentialVM:
                     uefiSettings: 5
                       secureBoot: Disabled 6
                       virtualizedTrustedPlatformModule: Enabled 7
             vmSize: Standard_DC16ads_v5 8
   # ...

   1

   기밀 VM을 사용할 때 관리 디스크에 대한 보안 프로필 설정을 지정합니다.

   2

   VMGS(VM 게스트 상태) Blob의 암호화를 활성화합니다. 이 설정을 사용하려면 vTPM을 사용해야 합니다.

   3

   기밀 VM의 보안 프로필 설정을 지정합니다.

   4

   기밀 VM을 사용할 수 있습니다. 이 값은 모든 유효한 구성에 필요합니다.

   5

   사용할 UEFI 보안 기능을 지정합니다. 이 섹션은 모든 유효한 구성에 필요합니다.

   6

   UEFI Secure Boot를 비활성화합니다.

   7

   vTPM 사용을 활성화합니다.

   8

   기밀 VM을 지원하는 인스턴스 유형을 지정합니다.

프로세스

1. 텍스트 편집기에서 기존 머신 세트의 YAML 파일을 열거나 새 머신을 생성합니다.

2. providerSpec 필드 아래의 다음 섹션을 편집합니다.

   샘플 구성

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   # ...
   spec:
     template:
       machines_v1beta1_machine_openshift_io:
         spec:
           providerSpec:
             value:
               capacityReservationGroupID: <capacity_reservation_group> 1
   # ...

   1

   시스템이 머신을 배포하도록 설정할 용량 예약 그룹의 ID를 지정합니다.

프로세스

1. 텍스트 편집기에서 기존 머신 세트의 YAML 파일을 열거나 새 머신을 생성합니다.

2. providerSpec 필드 아래의 다음 행을 편집합니다.

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             disks:
               type: pd-ssd 1

   1

   컨트롤 플레인 노드는 pd-ssd 디스크 유형을 사용해야 합니다.

프로세스

1. 텍스트 편집기에서 기존 머신 세트의 YAML 파일을 열거나 새 머신을 생성합니다.

2. providerSpec 필드 아래의 다음 섹션을 편집합니다.

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             confidentialCompute: Enabled 1
             onHostMaintenance: Terminate 2
             machineType: n2d-standard-8 3
   ...

   1

   기밀성 VM이 활성화되었는지 여부를 지정합니다. 유효한 값은 Disabled 또는 Enabled 입니다.

   2

   호스트 유지 관리 이벤트 중 하드웨어 또는 소프트웨어 업데이트와 같은 VM의 동작을 지정합니다. 기밀성 VM을 사용하는 시스템의 경우 이 값은 VM을 중지하도록 Terminate 로 설정해야 합니다. 기밀 VM은 실시간 VM 마이그레이션을 지원하지 않습니다.

   3

   기밀성 VM을 지원하는 머신 유형을 지정합니다. 기밀 VM은 N2D 및 C2D 일련의 머신 유형을 지원합니다.

프로세스

1. 텍스트 편집기에서 기존 머신 세트의 YAML 파일을 열거나 새 머신을 생성합니다.

2. providerSpec 필드 아래의 다음 섹션을 편집합니다.

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   # ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             shieldedInstanceConfig: 1
               integrityMonitoring: Enabled 2
               secureBoot: Disabled 3
               virtualizedTrustedPlatformModule: Enabled 4
   # ...

   1

   이 섹션에서는 원하는 모든 Shielded VM 옵션을 지정합니다.

   2

   무결성 모니터링이 활성화되었는지 여부를 지정합니다. 유효한 값은 Disabled 또는 Enabled 입니다.

   참고

   무결성 모니터링이 활성화되면 신뢰할 수 있는 가상 플랫폼 모듈(vTPM)을 비활성화해서는 안 됩니다.

   3

   UEFI Secure Boot가 활성화되었는지 여부를 지정합니다. 유효한 값은 Disabled 또는 Enabled 입니다.

   4

   vTPM이 활성화되었는지 여부를 지정합니다. 유효한 값은 Disabled 또는 Enabled 입니다.

프로세스

1. 특정 서비스 계정이 KMS 키를 사용하도록 허용하고 서비스 계정에 올바른 IAM 역할을 부여하려면 KMS 키 이름, 키 링 이름 및 위치로 다음 명령을 실행합니다.

   $ gcloud kms keys add-iam-policy-binding <key_name> \
     --keyring <key_ring_name> \
     --location <key_ring_location> \
     --member "serviceAccount:service-<project_number>@compute-system.iam.gserviceaccount.com” \
     --role roles/cloudkms.cryptoKeyEncrypterDecrypter

2. 사용자가 머신 세트 YAML 파일의 providerSpec 필드에 암호화 키를 구성할 수 있습니다. 예를 들면 다음과 같습니다.

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             disks:
             - type:
               encryptionKey:
                 kmsKey:
                   name: machine-encryption-key 1
                   keyRing: openshift-encrpytion-ring 2
                   location: global 3
                   projectID: openshift-gcp-project 4
                 kmsKeyServiceAccount: openshift-service-account@openshift-gcp-project.iam.gserviceaccount.com 5

   1

   디스크 암호화에 사용되는 고객 관리 암호화 키의 이름입니다.

   2

   KMS 키가 속한 KMS 키 링의 이름입니다.

   3

   KMS 키 링이 있는 GCP 위치입니다.

   4

   선택 사항: KMS 키 링이 존재하는 프로젝트의 ID입니다. 프로젝트 ID가 설정되지 않은 경우 머신 세트가 사용된 머신 세트의 projectID를 설정합니다.

   5

   선택 사항: 지정된 KMS 키의 암호화 요청에 사용되는 서비스 계정입니다. 서비스 계정이 설정되지 않은 경우 Compute Engine 기본 서비스 계정이 사용됩니다.

   업데이트된 providerSpec 오브젝트 구성을 사용하여 새 머신을 생성하면 디스크 암호화 키가 KMS 키로 암호화됩니다.

프로세스

1. providerSpec 필드 아래의 다음 행을 편집합니다.

   providerSpec:
     value:
   # ...
       flavor: m1.xlarge 1

   1

   기존 선택 사항과 동일한 기반이 있는 RHOSP 플레이버 유형을 지정합니다. 예를 들어 m6i.xlarge 를 m6i.2xlarge 또는 m6i.4xlarge 로 변경할 수 있습니다. 수직 확장 요구 사항에 따라 더 크거나 작은 플레이버를 선택할 수 있습니다.

2. 변경 사항을 저장하십시오.