4.3. Kernel Module Management Operator 구성

프로세스

1. 설정을 수정하려면 다음 명령을 입력하여 ConfigMap 데이터를 편집합니다.

   $ oc edit configmap -n "$namespace" kmm-operator-manager-config

   출력 예

   healthProbeBindAddress: :8081
   job:
     gcDelay: 1h
   leaderElection:
     enabled: true
     resourceID: kmm.sigs.x-k8s.io
   webhook:
     disableHTTP2: true  # CVE-2023-44487
     port: 9443
   metrics:
     enableAuthnAuthz: true
     disableHTTP2: true  # CVE-2023-44487
     bindAddress: 0.0.0.0:8443
     secureServing: true
   worker:
     runAsUser: 0
     seLinuxType: spc_t
     setFirmwareClassPath: /var/lib/firmware

   Expand

   표 4.1. Operator 구성 매개변수

   매개변수	설명
   healthProbeBindAddress	Operator에서 kubelet 상태 프로브를 모니터링하는 주소를 정의합니다. 권장 값은 :8081 입니다.
   job.gcDelay	빌드 Pod를 삭제하기 전에 성공적으로 유지해야 하는 기간을 정의합니다. 이 설정에 권장되는 값은 없습니다. 이 설정에 유효한 값에 대한 자세한 내용은 ParseDuration 을 참조하십시오.
   leaderElection.enabled	언제든지 KMM Operator의 복제본이 실행 중인지 확인하는 데 리더 선택을 사용할지 여부를 결정합니다. 자세한 내용은 Leases 를 참조하십시오. 권장 값은 true 입니다.
   leaderElection.resourceID	리더 선택에서 리더 잠금을 유지하는 데 사용하는 리소스의 이름을 결정합니다. 권장 값은 kmm.sigs.x-k8s.io 입니다.
   webhook.disableHTTP2	true 인 경우 cve-2023-44487 의 완화 조치로 웹 후크 서버의 HTTP/2를 비활성화합니다. 권장 값은 true 입니다.
   webhook.port	Operator가 Webhook 요청을 모니터링하는 포트를 정의합니다. 권장 값은 9443 입니다.
   metrics.enableAuthnAuthz	kube-apiserver와 함께 SubjectAccessReviews 를 사용하여 TokenReviews 를 사용하여 메트릭이 인증되었는지 여부를 확인합니다. 인증 및 권한 부여의 경우 컨트롤러에 다음 규칙이 있는 ClusterRole 이 필요합니다. apiGroups: authentication.k8s.io, resources: tokenreviews, verbs: create apiGroups: authorization.k8s.io, resources: subjectaccessreviews, verbs: create 예를 들어 Prometheus를 사용하여 메트릭을 스크랩하려면 클라이언트에 다음 규칙이 있는 ClusterRole 이 필요합니다. nonResourceURLs: "/metrics", verbs: get 권장 값은 true 입니다.
   metrics.disableHTTP2	true 인 경우 지표 서버의 HTTP/2를 CVE-2023-44487 의 완화 조치로 비활성화합니다. 권장 값은 true 입니다.
   metrics.bindAddress	지표 서버의 바인딩 주소를 결정합니다. 지정되지 않은 경우 기본값은 :8080 입니다. 메트릭 서버를 비활성화하려면 0 으로 설정합니다. 권장 값은 0.0.0.0:8443 입니다.
   metrics.secureServing	HTTP 대신 HTTPS를 통해 메트릭이 제공되는지 여부를 결정합니다. 권장 값은 true 입니다.
   worker.runAsUser	작업자 컨테이너의 보안 컨텍스트의 runAsUser 필드 값을 결정합니다. 자세한 내용은 SecurityContext 를 참조하십시오. 권장 값은 9443 입니다.
   worker.seLinuxType	작업자 컨테이너의 보안 컨텍스트의 seLinuxOptions.type 필드의 값을 결정합니다. 자세한 내용은 SecurityContext 를 참조하십시오. 권장 값은 spc_t 입니다.
   worker.setFirmwareClassPath	커널의 펌웨어 검색 경로를 노드의 /sys/module/firmware_class/parameters/path 파일로 설정합니다. 작업자 앱을 통해 해당 값을 설정해야 하는 경우 권장 값은 /var/lib/firmware 입니다. 그렇지 않으면 설정되지 않습니다.

   Show more

2. 설정을 수정한 후 다음 명령을 사용하여 컨트롤러를 다시 시작합니다.

   $ oc delete pod -n "<namespace>" -l app.kubernetes.io/component=kmm

   참고

   <namespace>의 값은 원래 설치 방법에 따라 다릅니다.