4.12. RHCOS 설치 및 OpenShift Container Platform 부트스트랩 프로세스 시작

프로세스

1. IBM® Secure Execution를 지원할 RHEL KVM 호스트를 준비합니다.

   • 기본적으로 KVM 호스트는 IBM® Secure Execution 모드에서 게스트를 지원하지 않습니다. IBM® 보안 실행 모드에서 게스트를 지원하려면 KVM 호스트는 커널 매개변수 사양 prot_virt=1 을 사용하여 LPAR 모드에서 부팅해야 합니다. RHEL 8에서 prot_virt=1 을 활성화하려면 다음 단계를 따르십시오.

     1. /boot/loader/entries/ 로 이동하여 부트로더 구성 파일 *.conf 를 수정합니다.
     2. 커널 명령줄 매개변수 prot_virt=1 을 추가합니다.

     3. zipl 명령을 실행하고 시스템을 재부팅합니다.

        IBM® Secure Execution for Linux에서 성공적으로 지원하는 KVM 호스트는 다음 커널 메시지를 발행합니다.

        prot_virt: Reserving <amount>MB as ultravisor base storage.

     4. KVM 호스트가 IBM® 보안 실행을 지원하는지 확인하려면 다음 명령을 실행합니다.

        # cat /sys/firmware/uv/prot_virt_host

        출력 예

        1

        이 속성의 값은 보안 호스트의 값과 일치하는 환경을 감지하는 Linux 인스턴스의 경우 1입니다. 다른 인스턴스의 경우 값은 0입니다.

2. Ignition을 통해 KVM 게스트에 호스트 키를 추가합니다.

   첫 번째 부팅 중에 RHCOS는 호스트 키를 찾아 다시 암호화합니다. RHCOS는 /etc/se-hostkeys 디렉토리에서 ibm-z-hostkey- 로 시작하는 파일을 검색합니다. 클러스터가 실행 중인 각 시스템의 모든 호스트 키는 관리자가 디렉터리에 로드해야 합니다. 처음 부팅한 후에는 다른 머신에서 VM을 실행할 수 없습니다.

   참고

   안전한 시스템에서 Ignition 파일을 준비해야 합니다. 예를 들어 다른 IBM® Secure Execution 게스트가 있습니다.

   예를 들면 다음과 같습니다.

   {
     "ignition": { "version": "3.0.0" },
     "storage": {
       "files": [
         {
           "path": "/etc/se-hostkeys/ibm-z-hostkey-<your-hostkey>.crt",
           "contents": {
             "source": "data:;base64,<base64 encoded hostkey document>"
           },
           "mode": 420
         },
         {
           "path": "/etc/se-hostkeys/ibm-z-hostkey-<your-hostkey>.crt",
           "contents": {
             "source": "data:;base64,<base64 encoded hostkey document>"
           },
           "mode": 420
         }
       ]
     }
   }
   ```

   참고

   노드가 여러 IBM Z® 시스템에서 실행할 수 있도록 하려면 필요한 만큼 호스트 키를 추가할 수 있습니다.

3. Base64로 인코딩된 문자열을 생성하려면 다음 명령을 실행합니다.

   base64 <your-hostkey>.crt

   IBM® Secure Execution를 실행하지 않는 게스트와 비교하여 전체 이미지가 Ignition 단계 전에 무작위로 생성된 LUKS 암호로 암호화되므로 시스템의 첫 번째 부팅 시간이 길어집니다.

4. Ignition 보호 추가

   Ignition 구성 파일에 저장된 시크릿을 읽거나 수정하지 못하도록 보호하려면 Ignition 구성 파일을 암호화해야 합니다.

   참고

   원하는 보안을 위해 IBM® Secure Execution를 실행할 때 기본적으로 Ignition 로깅 및 로컬 로그인이 비활성화됩니다.

   1. secex-qemu.qcow2 이미지에 대한 공개 GPG 키를 가져오고 다음 명령을 실행하여 키를 사용하여 Ignition 구성을 암호화합니다.

      gpg --recipient-file /path/to/ignition.gpg.pub --yes --output /path/to/config.ign.gpg --verbose --armor --encrypt /path/to/config.ign

5. IBM® Secure Execution QCOW 이미지를 사용하여 노드를 설치하려면 RHCOS의 빠른 설치를 따르십시오.

   참고

   VM을 시작하기 전에 serial=ignition 을 serial=ignition_crypted 로 교체하고 launchSecurity 매개변수를 추가합니다.