Red Hat Summit9.3. 사용자 지정 VPC 사용 정보
OpenShift Container Platform 4.15에서는 기존 IBM® VPC(Virtual Private Cloud)의 서브넷에 클러스터를 배포할 수 있습니다. 기존 VPC에 OpenShift Container Platform을 배포하면 새 계정의 제한 조건을 방지하거나 회사의 지침에 따른 운영 제한을 보다 쉽게 준수할 수 있습니다. VPC를 직접 생성하는 데 필요한 인프라 생성 권한을 받을 수 없는 경우 이 설치 옵션을 사용합니다.
설치 프로그램에서 기존 서브넷에 있는 다른 구성 요소가 무엇인지 알 수 없으므로 서브넷 CIDR 등을 선택할 수 없습니다. 클러스터를 설치할 서브넷에 대한 네트워킹을 구성해야 합니다.
9.3.1. VPC 사용 요구사항
클러스터를 설치하기 전에 기존 VPC 및 해당 서브넷을 올바르게 구성해야 합니다. 설치 프로그램에서 다음 구성 요소를 생성하지 않습니다.
- NAT 게이트웨이
- 서브넷
- 라우팅 테이블
- VPC 네트워크
설치 프로그램은 다음을 수행할 수 없습니다.
- 클러스터가 사용할 네트워크 범위를 세분화
- 서브넷의 경로 테이블 설정
- DHCP와 같은 VPC 옵션 설정
설치 프로그램을 사용하려면 클라우드 제공 DNS 서버를 사용해야 합니다. 사용자 지정 DNS 서버 사용은 지원되지 않으며 설치가 실패합니다.
9.3.2. VPC 검증
VPC와 모든 서브넷은 기존 리소스 그룹에 있어야 합니다. 클러스터는 기존 VPC에 배포됩니다.
설치의 일부로 install-config.yaml 파일에서 다음을 지정합니다.
-
VPC 및 서브넷이 포함된 기존 리소스 그룹의 이름(
networkResourceGroupName) -
기존 VPC의 이름(
vpcName) -
컨트롤 플레인 시스템 및 컴퓨팅 머신에 대해 생성된 서브넷(
controlPlaneSubnets및computeSubnets)
추가 설치 관리자 프로비저닝 클러스터 리소스는 별도의 리소스 그룹(resourceGroupName)에 배포됩니다. 클러스터를 설치하기 전에 이 리소스 그룹을 지정할 수 있습니다. 정의되지 않은 경우 클러스터에 새 리소스 그룹이 생성됩니다.
제공하는 서브넷이 적합한지 확인하기 위해 설치 프로그램에서 다음을 확인합니다.
- 지정한 모든 서브넷이 있습니다.
리전의 각 가용성 영역에 대해 다음을 지정합니다.
- 컨트롤 플레인 시스템용 서브넷 1개
- 컴퓨팅 시스템용 서브넷 1개
- 지정한 시스템 CIDR에는 컴퓨팅 시스템 및 컨트롤 플레인 시스템의 서브넷이 포함됩니다.
서브넷 ID는 지원되지 않습니다.
9.3.3. 클러스터 간 격리
OpenShift Container Platform을 기존 네트워크에 배포하면 클러스터 서비스 격리가 다음과 같은 방식으로 감소합니다.
- 동일한 VPC에 여러 OpenShift Container Platform 클러스터를 설치할 수 있습니다.
- ICMP 인그레스가 전체 네트워크에 허용됩니다.
- TCP 포트 22 인그레스(SSH)가 전체 네트워크에 허용됩니다.
- 컨트롤 플레인 TCP 6443 인그레스(Kubernetes API)가 전체 네트워크에 허용됩니다.
- 컨트롤 플레인 TCP 22623 인그레스(MCS)가 전체 네트워크에 허용됩니다.
9.3.4. 끝점 게이트웨이 트래픽 허용
IBM Cloud® Virtual Private 엔드포인트를 사용하는 경우 엔드포인트 게이트웨이로의 트래픽을 허용하도록 VPC(Virtual Private Cloud)를 구성해야 합니다.
VPC의 기본 보안 그룹은 모든 아웃바운드 트래픽을 엔드포인트 게이트웨이로 허용하도록 구성되어 있습니다. 따라서 VPC와 끝점 게이트웨이 간의 트래픽을 허용하는 가장 간단한 방법은 포트 443에서 인바운드 트래픽을 허용하도록 기본 보안 그룹을 수정하는 것입니다.
새 보안 그룹을 구성하도록 선택하는 경우 인바운드 및 아웃바운드 트래픽을 허용하도록 보안 그룹을 구성해야 합니다.
사전 요구 사항
-
IBM Cloud® 명령줄 인터페이스 유틸리티(
ibmcloud)를 설치했습니다.
프로세스
다음 명령을 실행하여 기본 보안 그룹의 식별자를 가져옵니다.
DEFAULT_SG=$(ibmcloud is vpc <your_vpc_name> --output JSON | jq -r '.default_security_group.id')
$ DEFAULT_SG=$(ibmcloud is vpc <your_vpc_name> --output JSON | jq -r '.default_security_group.id')Copy to Clipboard Copied! 다음 명령을 실행하여 포트 443에서 인바운드 트래픽을 허용하는 규칙을 추가합니다.
ibmcloud is security-group-rule-add $DEFAULT_SG inbound tcp --remote 0.0.0.0/0 --port-min 443 --port-max 443
$ ibmcloud is security-group-rule-add $DEFAULT_SG inbound tcp --remote 0.0.0.0/0 --port-min 443 --port-max 443Copy to Clipboard Copied!
엔드포인트 게이트웨이가 이 보안 그룹을 사용하도록 구성되어 있는지 확인합니다.
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}