10장. PolicyGenTemplate 리소스로 클러스터 정책 정책 관리

프로세스

1. 사이트별 구성 CR에 대한 PolicyGenTemplate CR을 생성합니다.

   1. out/argocd/example/policygentemplates 폴더에서 CR에 대한 적절한 예를 선택합니다(예: example-sno-site.yaml 또는 example-multinode-site.yaml ).

   2. 예제 파일의 spec.bindingRules 필드를 SiteConfig CR에 포함된 사이트별 레이블과 일치하도록 변경합니다. 예제 SiteConfig 파일에서 사이트별 레이블은 sites: example-sno 입니다.

      참고

      PolicyGenTemplate spec.bindingRules 필드에 정의된 라벨이 관련 관리 클러스터 site Config CR에 정의된 라벨에 해당하는지 확인합니다.

   3. 예제 파일의 콘텐츠를 원하는 구성과 일치하도록 변경합니다.

2. 선택 사항: 전체 클러스터에 적용되는 일반적인 구성 CR에 대한 PolicyGenTemplate CR을 생성합니다.

   1. out/argocd/example/policygentemplates 폴더에서 CR에 대한 적절한 예를 선택합니다(예: common-ranGen.yaml ).
   2. 필요한 구성과 일치하도록 예제 파일의 콘텐츠를 변경합니다.

3. 선택 사항: 플릿의 특정 클러스터 그룹에 적용되는 모든 그룹 구성 CR에 대해 PolicyGenTemplate CR을 생성합니다.

   overlaid 사양 파일의 콘텐츠가 필요한 최종 상태와 일치하는지 확인합니다. 참조로 out/source-crs 디렉터리에는 PolicyGenTemplate 템플릿에서 포함할 수 있는 source-crs의 전체 목록이 포함되어 있습니다.

   참고

   클러스터의 특정 요구 사항에 따라 클러스터 유형당 단일 그룹 정책이 필요할 수 있습니다. 특히 예제 그룹 정책에는 각각 동일한 하드웨어 구성으로 구성된 클러스터 집합에서만 공유할 수 있는 단일 PerformancePolicy.yaml 파일이 있습니다.

   1. out/argocd/example/policygentemplates 폴더에서 CR에 대한 적절한 예를 선택합니다(예: group-du-sno-ranGen.yaml ).
   2. 필요한 구성과 일치하도록 예제 파일의 콘텐츠를 변경합니다.
4. 선택 사항입니다. 배포된 클러스터의 GitOps ZTP 설치 및 구성이 완료되면 정책 PolicyGenTemplate CR을 생성합니다. 자세한 내용은 "검토 확인 정보 정책 생성"을 참조하십시오.

5. example out/argocd/example/policygentemplates/ns.yaml 파일과 유사한 YAML 파일에서 모든 정책 네임스페이스를 정의합니다.

   중요

   PolicyGenTemplate CR과 동일한 파일에 Namespace CR을 포함하지 마십시오.

6. out/argocd/example/policygentemplates kustomization.yaml 에 표시된 예제와 유사하게 PolicyGenTemplate CR 및 Namespace CR을 generators 섹션의 kustomization.yaml 파일에 추가합니다.

7. Git 리포지토리에서 PolicyGenTemplate CR, Namespace CR 및 관련 kustomization.yaml 파일을 커밋하고 변경 사항을 내보냅니다.

   ArgoCD 파이프라인은 변경 사항을 감지하고 관리 클러스터 배포를 시작합니다. 변경 사항을 SiteConfig CR 및 PolicyGenTemplate CR에 동시에 푸시할 수 있습니다.

프로세스

1. Topology Aware Lifecycle Manager(TALM)는 클러스터에 바인딩된 구성 정책을 적용합니다.

   클러스터 설치가 완료되고 클러스터가 Ready 가 되면 ran.openshift.io/ztp-deploy-ECDHE 주석에 의해 정의된 정렬된 정책 목록과 함께 이 클러스터에 해당하는 ClusterGroupUpgrade CR이 TALM에 의해 자동으로 생성됩니다. 클러스터의 정책은 ClusterGroupUpgrade CR에 나열된 순서대로 적용됩니다.

   다음 명령을 사용하여 구성 정책 조정의 고급 진행 상황을 모니터링할 수 있습니다.

   $ export CLUSTER=<clusterName>

   $ oc get clustergroupupgrades -n ztp-install $CLUSTER -o jsonpath='{.status.conditions[-1:]}' | jq

   출력 예

   {
     "lastTransitionTime": "2022-11-09T07:28:09Z",
     "message": "Remediating non-compliant policies",
     "reason": "InProgress",
     "status": "True",
     "type": "Progressing"
   }

2. RHACM 대시보드 또는 명령줄을 사용하여 자세한 클러스터 정책 규정 준수 상태를 모니터링할 수 있습니다.

   1. oc 를 사용하여 정책 규정 준수를 확인하려면 다음 명령을 실행합니다.

      $ oc get policies -n $CLUSTER

      출력 예

      NAME                                                     REMEDIATION ACTION   COMPLIANCE STATE   AGE
      ztp-common.common-config-policy                          inform               Compliant          3h42m
      ztp-common.common-subscriptions-policy                   inform               NonCompliant       3h42m
      ztp-group.group-du-sno-config-policy                     inform               NonCompliant       3h42m
      ztp-group.group-du-sno-validator-du-policy               inform               NonCompliant       3h42m
      ztp-install.example1-common-config-policy-pjz9s          enforce              Compliant          167m
      ztp-install.example1-common-subscriptions-policy-zzd9k   enforce              NonCompliant       164m
      ztp-site.example1-config-policy                          inform               NonCompliant       3h42m
      ztp-site.example1-perf-policy                            inform               NonCompliant       3h42m

   2. RHACM 웹 콘솔에서 정책 상태를 확인하려면 다음 작업을 수행합니다.

      1. Governance policies 찾기를 클릭합니다.
      2. 클러스터 정책을 클릭하여 상태를 확인합니다.

프로세스

1. 정책에 대한 자세한 정보를 표시하려면 다음 명령을 실행합니다.

   $ oc describe -n openshift-gitops application policies

2. Status: Conditions: 를 확인하여 오류 로그를 표시합니다. 예를 들어 잘못된 sourceFile 항목을 fileName: 로 설정하면 다음과 같이 오류가 생성됩니다.

   Status:
     Conditions:
       Last Transition Time:  2021-11-26T17:21:39Z
       Message:               rpc error: code = Unknown desc = `kustomize build /tmp/https___git.com/ran-sites/policies/ --enable-alpha-plugins` failed exit status 1: 2021/11/26 17:21:40 Error could not find test.yaml under source-crs/: no such file or directory Error: failure in plugin configured via /tmp/kust-plugin-config-52463179; exit status 1: exit status 1
       Type:  ComparisonError

3. 상태 확인: 동기화:. Status: Conditions: 에 로그 오류가 있는 경우 Status: Sync: shows Unknown or Error:

   Status:
     Sync:
       Compared To:
         Destination:
           Namespace:  policies-sub
           Server:     https://kubernetes.default.svc
         Source:
           Path:             policies
           Repo URL:         https://git.com/ran-sites/policies/.git
           Target Revision:  master
       Status:               Error

4. RHACM(Red Hat Advanced Cluster Management)에서 ManagedCluster 오브젝트에 정책이 적용되는 것을 인식하면 정책 CR 오브젝트가 클러스터 네임스페이스에 적용됩니다. 정책이 클러스터 네임스페이스에 복사되었는지 확인합니다.

   $ oc get policy -n $CLUSTER

   출력 예

   NAME                                         REMEDIATION ACTION   COMPLIANCE STATE   AGE
   ztp-common.common-config-policy              inform               Compliant          13d
   ztp-common.common-subscriptions-policy       inform               Compliant          13d
   ztp-group.group-du-sno-config-policy         inform               Compliant          13d
   ztp-group.group-du-sno-validator-du-policy   inform               Compliant          13d
   ztp-site.example-sno-config-policy           inform               Compliant          13d

   RHACM은 적용 가능한 모든 정책을 클러스터 네임스페이스에 복사합니다. 복사된 정책 이름의 형식은 < PolicyGenTemplate.Namespace>.<PolicyGenTemplate.Name>-<policyName >입니다.

5. 클러스터 네임스페이스에 복사되지 않은 모든 정책의 배치 규칙을 확인합니다. 해당 정책에 대한 PlacementRule 의 matchSelector 는 ManagedCluster 오브젝트의 라벨과 일치해야 합니다.

   $ oc get PlacementRule -n $NS

6. 다음 명령을 사용하여 누락된 정책, 공통, 그룹 또는 사이트에 적절한 PlacementRule 이름을 확인합니다.

   $ oc get PlacementRule -n $NS <placement_rule_name> -o yaml

   • status-decisions에는 클러스터 이름이 포함되어야 합니다.
   • 사양에 있는 matchSelector 의 키-값 쌍은 관리 클러스터의 라벨과 일치해야 합니다.

7. 다음 명령을 사용하여 ManagedCluster 오브젝트에서 라벨을 확인합니다.

   $ oc get ManagedCluster $CLUSTER -o jsonpath='{.metadata.labels}' | jq

8. 다음 명령을 사용하여 호환되는 정책을 확인합니다.

   $ oc get policy -n $CLUSTER

   네임스페이스 ,OperatorGroup 및 서브스크립션 정책이 호환되지만 Operator 구성 정책이 적용되지 않은 경우 Operator가 관리 클러스터에 설치되지 않을 수 있습니다. 이로 인해 CRD가 아직 spoke에 적용되지 않았기 때문에 Operator 구성 정책이 적용되지 않습니다.

프로세스

1. ClusterGroupUpgrade CR은 관리 클러스터가 Ready 가 된 후 토폴로지 Aware Lifecycle Manager를 통해 ztp-install 네임스페이스에 생성됩니다.

   $ export CLUSTER=<clusterName>

   $ oc get clustergroupupgrades -n ztp-install $CLUSTER

2. 예기치 않은 문제가 있고 정책이 구성된 시간 내에 불만이 발생하지 않는 경우(기본값은 4시간) ClusterGroupUpgrade CR의 상태에 UpgradeTimedOut 이 표시됩니다.

   $ oc get clustergroupupgrades -n ztp-install $CLUSTER -o jsonpath='{.status.conditions[?(@.type=="Ready")]}'

3. UpgradeTimedOut 상태의 ClusterGroupUpgrade CR은 시간마다 정책 조정을 자동으로 다시 시작합니다. 정책을 변경한 경우 기존 ClusterGroupUpgrade CR을 삭제하여 즉시 재시도를 시작할 수 있습니다. 이렇게 하면 새 ClusterGroupUpgrade CR의 자동 생성이 트리거되고 즉시 정책 조정이 시작됩니다.

   $ oc delete clustergroupupgrades -n ztp-install $CLUSTER

프로세스

1. 영향을 받는 CR에서 더 이상 필요하지 않은 콘텐츠를 제거합니다. 이 예에서는 disableDrain: false 행이 SriovOperatorConfig CR에서 제거되었습니다.

   CR 예

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovOperatorConfig
   metadata:
     name: default
     namespace: openshift-sriov-network-operator
   spec:
     configDaemonNodeSelector:
       "node-role.kubernetes.io/$mcp": ""
     disableDrain: true
     enableInjector: true
     enableOperatorWebhook: true

2. 영향을 받는 정책의 complianceType 을 group-du-sno-ranGen.yaml 파일에서 mustonlyhave 로 변경합니다.

   YAML의 예

   - fileName: SriovOperatorConfig.yaml
     policyName: "config-policy"
     complianceType: mustonlyhave

3. ClusterGroupUpdates CR을 생성하고 CR 변경 사항을 받아야 하는 클러스터를 지정합니다.

   ClusterGroupUpdates CR의 예

   apiVersion: ran.openshift.io/v1alpha1
   kind: ClusterGroupUpgrade
   metadata:
     name: cgu-remove
     namespace: default
   spec:
     managedPolicies:
       - ztp-group.group-du-sno-config-policy
     enable: false
     clusters:
     - spoke1
     - spoke2
     remediationStrategy:
       maxConcurrency: 2
       timeout: 240
     batchTimeoutAction:

4. 다음 명령을 실행하여 ClusterGroupUpgrade CR을 생성합니다.

   $ oc create -f cgu-remove.yaml

5. 적절한 유지 관리 기간 동안 변경 사항을 적용할 준비가 되면 다음 명령을 실행하여 spec.enable 필드의 값을 true 로 변경합니다.

   $ oc --namespace=default patch clustergroupupgrade.ran.openshift.io/cgu-remove \
   --patch '{"spec":{"enable":true}}' --type=merge

검증

1. 다음 명령을 실행하여 정책의 상태를 확인합니다.

   $ oc get <kind> <changed_cr_name>

   출력 예

   NAMESPACE   NAME                                                   REMEDIATION ACTION   COMPLIANCE STATE   AGE
   default     cgu-ztp-group.group-du-sno-config-policy               enforce                                 17m
   default     ztp-group.group-du-sno-config-policy                   inform               NonCompliant       15h

   정책의 COMPLIANCE STATE 가 Compliant 인 경우 CR이 업데이트되고 원하지 않는 콘텐츠가 제거됨을 의미합니다.

2. 관리 클러스터에서 다음 명령을 실행하여 정책이 대상 클러스터에서 제거되었는지 확인합니다.

   $ oc get <kind> <changed_cr_name>

   결과가 없는 경우 관리 클러스터에서 CR이 제거됩니다.