네트워크 설정 구성

프로세스

1. 다음 내용을 포함하여 tuning-example.yaml 과 같은 네트워크 연결 정의를 만듭니다.

   apiVersion: "k8s.cni.cncf.io/v1"
   kind: NetworkAttachmentDefinition
   metadata:
     name: <name>
     namespace: default
   spec:
     config: '{
       "cniVersion": "0.4.0",
       "name": "<name>",
       "plugins": [{
          "type": "<main_CNI_plugin>"
         },
         {
          "type": "tuning",
          "sysctl": {
               "net.ipv4.conf.IFNAME.accept_redirects": "1"
           }
         }
        ]
   }

   다음과 같습니다.

   metadata.name

   생성할 추가 네트워크 연결의 이름을 지정합니다. 이름은 지정된 namespace 내에서 고유해야 합니다.

   metadata.namespace

   개체가 연결된 네임스페이스를 지정합니다.

   spec.config.cniVersion

   CNI 사양 버전을 지정합니다.

   spec.config.name

   구성의 이름을 지정합니다. 구성 이름이 네트워크 연결 정의의 name 값과 일치하는 것이 좋습니다.

   spec.config.plugins.type

   구성할 주요 CNI 플러그인의 이름을 지정합니다.

   spec.config.plugins.tuning.sysctl

   설정할 sysctl을 지정합니다. 인터페이스 이름은 IFNAME 토큰으로 표현되며 런타임에 인터페이스의 실제 이름으로 대체됩니다.

   네트워크 연결 정의 예

   apiVersion: "k8s.cni.cncf.io/v1"
   kind: NetworkAttachmentDefinition
   metadata:
     name: tuningnad
     namespace: default
   spec:
     config: '{
       "cniVersion": "0.4.0",
       "name": "tuningnad",
       "plugins": [{
         "type": "bridge"
         },
         {
         "type": "tuning",
         "sysctl": {
            "net.ipv4.conf.IFNAME.accept_redirects": "1"
           }
       }
     ]
   }'

2. 다음 명령을 실행하여 YAML을 적용합니다.

   $ oc apply -f tuning-example.yaml

   출력 예

   networkattachmentdefinition.k8.cni.cncf.io/tuningnad created

3. 다음과 유사한 네트워크 연결 정의를 사용하여 examplepod.yaml 과 같은 포드를 만듭니다.

   apiVersion: v1
   kind: Pod
   metadata:
     name: tunepod
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/networks: tuningnad
   spec:
     containers:
     - name: podexample
       image: centos
       command: ["/bin/bash", "-c", "sleep INF"]
       securityContext:
         runAsUser: 2000
         runAsGroup: 3000
         allowPrivilegeEscalation: false
         capabilities:
           drop: ["ALL"]
     securityContext:
       runAsNonRoot: true
       seccompProfile:
         type: RuntimeDefault

   다음과 같습니다.

   metadata.annotations.k8s.v1.cni.cncf.io/networks

   구성된 NetworkAttachmentDefinition 의 이름을 지정합니다.

   spec.containers.securityContext.runAsUser

   컨테이너가 실행되는 사용자 ID를 지정합니다.

   spec.containers.securityContext.runAsGroup

   컨테이너가 실행되는 기본 그룹 ID를 지정합니다.

   spec.containers.securityContext.allowPrivilegeEscalation

   Pod에서 권한 에스컬레이션을 허용하도록 요청할 수 있는지 여부를 지정합니다. 지정하지 않으면 기본적으로 true로 설정됩니다. 이 부울은 no_new_privs 플래그가 컨테이너 프로세스에 설정되는지 여부를 직접 제어합니다.

   spec.containers.securityContext.capabilities

   전체 루트 액세스 권한을 부여하지 않고 권한 있는 작업을 지정합니다. 이 정책은 모든 기능이 포드에서 삭제되도록 보장합니다.

   spec.securityContext.runAsNonRoot: true

   컨테이너가 0이 아닌 다른 UID를 가진 사용자로 실행되도록 지정합니다.

   spec.securityContext.seccompProfile

   Pod 또는 컨테이너 워크로드에 대한 기본 seccomp 프로필을 지정합니다.

4. 다음 명령을 실행하여 yaml을 적용합니다.

   $ oc apply -f examplepod.yaml

5. 다음 명령을 실행하여 Pod가 생성되었는지 확인하세요.

   $ oc get pod

   출력 예

   NAME      READY   STATUS    RESTARTS   AGE
   tunepod   1/1     Running   0          47s

6. 다음 명령을 실행하여 Pod에 로그인합니다.

   $ oc rsh tunepod

7. 구성된 sysctl 플래그의 값을 확인합니다. 예를 들어, 다음 명령을 실행하여 net.ipv4.conf.net1.accept_redirects 값을 찾으세요.

   sh-4.4# sysctl net.ipv4.conf.net1.accept_redirects

   예상 출력

   net.ipv4.conf.net1.accept_redirects = 1

프로세스

1. 다음 내용을 포함하여 tuning-example.yaml 과 같은 네트워크 연결 정의를 만듭니다.

   apiVersion: "k8s.cni.cncf.io/v1"
   kind: NetworkAttachmentDefinition
   metadata:
     name: <name>
     namespace: default
   spec:
     config: '{
       "cniVersion": "0.4.0",
       "name": "<name>",
       "plugins": [{
          "type": "<main_CNI_plugin>"
         },
         {
          "type": "tuning",
          "allmulti": true
           }
         }
        ]
   }

   다음과 같습니다.

   <name>

   생성할 추가 네트워크 연결의 이름을 지정합니다. 이름은 지정된 namespace 내에서 고유해야 합니다.

   default

   개체가 연결된 네임스페이스를 지정합니다.

   "0.4.0"

   CNI 사양 버전을 지정합니다.

   "<name>"

   구성의 이름을 지정합니다. 구성 이름을 네트워크 연결 정의의 이름 값과 일치시킵니다.

   "<main_CNI_plugin>"

   구성할 주요 CNI 플러그인의 이름을 지정합니다.

   "tuning"

   CNI 메타 플러그인의 이름을 지정합니다.

   "true"

   인터페이스의 all-multicast 모드를 지정합니다. 이 기능을 활성화하면 네트워크의 모든 멀티캐스트 패킷이 인터페이스에서 수신됩니다.

   네트워크 연결 정의 예

   apiVersion: "k8s.cni.cncf.io/v1"
   kind: NetworkAttachmentDefinition
   metadata:
     name: setallmulti
     namespace: default
   spec:
     config: '{
       "cniVersion": "0.4.0",
       "name": "setallmulti",
       "plugins": [
         {
           "type": "bridge"
         },
         {
           "type": "tuning",
           "allmulti": true
         }
       ]
     }'

2. 다음 명령을 실행하여 YAML 파일에 지정된 설정을 적용합니다.

   $ oc apply -f tuning-allmulti.yaml

   출력 예

   networkattachmentdefinition.k8s.cni.cncf.io/setallmulti created

3. 다음 examplepod.yaml 샘플 파일에 지정된 것과 유사한 네트워크 연결 정의를 사용하여 Pod를 만듭니다.

   apiVersion: v1
   kind: Pod
   metadata:
     name: allmultipod
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/networks: setallmulti
   spec:
     containers:
     - name: podexample
       image: centos
       command: ["/bin/bash", "-c", "sleep INF"]
       securityContext:
         runAsUser: 2000
         runAsGroup: 3000
         allowPrivilegeEscalation: false
         capabilities:
           drop: ["ALL"]
     securityContext:
       runAsNonRoot: true
       seccompProfile:
         type: RuntimeDefault

   다음과 같습니다.

   metadata.annotations.k8s.v1.cni.cncf.io/networks

   구성된 NetworkAttachmentDefinition 의 이름을 지정합니다.

   spec.containers.securityContext.runAsUser

   컨테이너가 실행되는 사용자 ID를 지정합니다.

   spec.containers.securityContext.runAsGroup

   컨테이너가 실행되는 기본 그룹 ID를 지정합니다.

   spec.containers.securityContext.allowPrivilegeEscalation

   Pod에서 권한 에스컬레이션을 허용하도록 요청할 수 있는지 여부를 지정합니다. 지정하지 않으면 기본적으로 true로 설정됩니다. 이 부울은 no_new_privs 플래그가 컨테이너 프로세스에 설정되는지 여부를 직접 제어합니다.

   spec.containers.securityContext.capabilities

   전체 루트 액세스 권한을 부여하지 않고 권한 있는 작업을 지정합니다. 이 정책은 모든 기능이 포드에서 삭제되도록 보장합니다.

   spec.containers.securityContext.runAsNonRoot: true

   컨테이너가 0이 아닌 다른 UID를 가진 사용자로 실행되도록 지정합니다.

   spec.containers.securityContext.seccompProfile

   Pod 또는 컨테이너 워크로드에 대한 기본 seccomp 프로필을 지정합니다.

4. 다음 명령을 실행하여 YAML 파일에 지정된 설정을 적용합니다.

   $ oc apply -f examplepod.yaml

5. 다음 명령을 실행하여 Pod가 생성되었는지 확인하세요.

   $ oc get pod

   출력 예

   NAME          READY   STATUS    RESTARTS   AGE
   allmultipod   1/1     Running   0          23s

6. 다음 명령을 실행하여 Pod에 로그인합니다.

   $ oc rsh allmultipod

7. 다음 명령을 실행하여 Pod와 연결된 모든 인터페이스를 나열합니다.

   sh-4.4# ip link

   출력 예

   1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
       link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
   2: eth0@if22: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 8901 qdisc noqueue state UP mode DEFAULT group default
       link/ether 0a:58:0a:83:00:10 brd ff:ff:ff:ff:ff:ff link-netnsid 0
   3: net1@if24: <BROADCAST,MULTICAST,ALLMULTI,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default
       link/ether ee:9b:66:a4:ec:1d brd ff:ff:ff:ff:ff:ff link-netnsid 0

   다음과 같습니다.

   eth0@if22

   기본 인터페이스를 지정합니다.

   net1@if24

   all-multicast 모드(ALLMULTI 플래그)를 지원하는 network-attachment-definition으로 구성된 보조 인터페이스를 지정합니다.

프로세스

1. 클러스터의 클러스터 네트워크 범위와 호스트 접두사를 얻으려면 다음 명령을 입력하세요.

   $ oc get network.operator.openshift.io \
     -o jsonpath="{.items[0].spec.clusterNetwork}"

   출력 예

   [{"cidr":"10.217.0.0/22","hostPrefix":23}]

2. 클러스터 네트워크 IP 주소 범위를 확장하려면 다음 명령을 입력하세요. 이전 명령의 출력에서 반환된 CIDR IP 주소 범위와 호스트 접두사를 사용합니다.

   $ oc patch Network.config.openshift.io cluster --type='merge' --patch \
     '{
       "spec":{
         "clusterNetwork": [ {"cidr":"<network>/<cidr>","hostPrefix":<prefix>} ],
         "networkType": "OVNKubernetes"
       }
     }'

   다음과 같습니다.

   <network>

   이전 단계에서 얻은 cidr 필드의 네트워크 부분을 지정합니다. 이 값은 변경할 수 없습니다.

   <cidr>

   네트워크 접두사 길이를 지정합니다. 예: 10.0.0.0/16 클러스터 네트워크 범위를 확장하려면 이 값을 이전 단계의 출력 값보다 작은 숫자로 변경하세요.

   <prefix>

   클러스터의 현재 호스트 접두사를 지정합니다. 이 값은 이전 단계에서 얻은 hostPrefix 필드의 값과 동일해야 합니다.

   명령 예

   $ oc patch Network.config.openshift.io cluster --type='merge' --patch \
     '{
       "spec":{
         "clusterNetwork": [ {"cidr":"10.217.0.0/14","hostPrefix": 23} ],
         "networkType": "OVNKubernetes"
       }
     }'

   출력 예

   network.config.openshift.io/cluster patched

3. 구성이 활성 상태인지 확인하려면 다음 명령을 입력합니다. 변경 사항이 적용되려면 최대 30분이 걸릴 수 있습니다.

   $ oc get network.operator.openshift.io \
     -o jsonpath="{.items[0].spec.clusterNetwork}"

   출력 예

   [{"cidr":"10.217.0.0/14","hostPrefix":23}]

프로세스

1. IP 페일오버 서비스 계정을 생성합니다.

   $ oc create sa ipfailover

2. hostNetwork의 SCC(보안 컨텍스트 제약 조건)를 업데이트합니다.

   $ oc adm policy add-scc-to-user privileged -z ipfailover

   $ oc adm policy add-scc-to-user hostnetwork -z ipfailover

3. Red Hat OpenStack Platform(RHOSP)만 해당: RHOSP 포트에서 장애 조치 VIP 주소에 도달할 수 있도록 다음 단계를 완료하세요.

   1. RHOSP CLI를 사용하여 RHOSP 클러스터의 allowed_address_pairs 매개변수에 기본 RHOSP API 및 VIP 주소를 표시합니다.

      $ openstack port show <cluster_name> -c allowed_address_pairs

      출력 예

      *Field*                  *Value*
      allowed_address_pairs    ip_address='192.168.0.5', mac_address='fa:16:3e:31:f9:cb'
                               ip_address='192.168.0.7', mac_address='fa:16:3e:31:f9:cb'

   2. RHOSP CLI에 다음 명령을 입력하여 IP 장애 조치 배포에 다른 VIP 주소를 설정하고 RHOSP 포트에서 해당 주소에 도달할 수 있도록 합니다. IP 장애 조치 배포에 대한 장애 조치 VIP 주소로 기본 RHOSP API 및 VIP 주소를 설정하지 마세요.

      RHOSP 포트에서 허용 주소로 1.1.1.1 장애 조치 IP 주소를 추가하는 예입니다.

      $ openstack port set <cluster_name> --allowed-address ip-address=1.1.1.1,mac-address=fa:fa:16:3e:31:f9:cb

   3. 배포에 대한 IP 장애 조치를 구성하려면 배포 YAML 파일을 만듭니다. 이후 단계에서 "IP 장애 조치 구성을 위한 예제 배포 YAML"을 참조하세요.

   4. IP 장애 조치 배포에서 다음 사양을 지정하여 장애 조치 VIP 주소를 OPENSHIFT_HA_VIRTUAL_IPS 환경 변수에 전달합니다.

      OPENSHIFT_HA_VIRTUAL_IPS 에 1.1.1.1 VIP 주소를 추가하는 예

      apiVersion: apps/v1
      kind: Deployment
      metadata:
        name: ipfailover-keepalived
      # ...
            spec:
                env:
                - name: OPENSHIFT_HA_VIRTUAL_IPS
                value: "1.1.1.1"
      # ...

4. IP 페일오버를 구성하기 위해 배포 YAML 파일을 만듭니다.

   참고

   Red Hat OpenStack Platform(RHOSP)의 경우 배포 YAML 파일을 다시 만들 필요가 없습니다. 이 파일은 이전 지침의 일부로 이미 생성되었습니다.

   IP 페일오버 구성을 위한 배포 YAML의 예

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: ipfailover-keepalived
     labels:
       ipfailover: hello-openshift
   spec:
     strategy:
       type: Recreate
     replicas: 2
     selector:
       matchLabels:
         ipfailover: hello-openshift
     template:
       metadata:
         labels:
           ipfailover: hello-openshift
       spec:
         serviceAccountName: ipfailover
         privileged: true
         hostNetwork: true
         nodeSelector:
           node-role.kubernetes.io/worker: ""
         containers:
         - name: openshift-ipfailover
           image: registry.redhat.io/openshift4/ose-keepalived-ipfailover-rhel9:v4.19
           ports:
           - containerPort: 63000
             hostPort: 63000
           imagePullPolicy: IfNotPresent
           securityContext:
             privileged: true
           volumeMounts:
           - name: lib-modules
             mountPath: /lib/modules
             readOnly: true
           - name: host-slash
             mountPath: /host
             readOnly: true
             mountPropagation: HostToContainer
           - name: etc-sysconfig
             mountPath: /etc/sysconfig
             readOnly: true
           - name: config-volume
             mountPath: /etc/keepalive
           env:
           - name: OPENSHIFT_HA_CONFIG_NAME
             value: "ipfailover"
           - name: OPENSHIFT_HA_VIRTUAL_IPS
             value: "1.1.1.1-2"
           - name: OPENSHIFT_HA_VIP_GROUPS
             value: "10"
           - name: OPENSHIFT_HA_NETWORK_INTERFACE
             value: "ens3" #The host interface to assign the VIPs
           - name: OPENSHIFT_HA_MONITOR_PORT
             value: "30060"
           - name: OPENSHIFT_HA_VRRP_ID_OFFSET
             value: "10"
           - name: OPENSHIFT_HA_REPLICA_COUNT
             value: "2" #Must match the number of replicas in the deployment
           - name: OPENSHIFT_HA_USE_UNICAST
             value: "false"
           #- name: OPENSHIFT_HA_UNICAST_PEERS
             #value: "10.0.148.40,10.0.160.234,10.0.199.110"
           - name: OPENSHIFT_HA_IPTABLES_CHAIN
             value: "INPUT"
           #- name: OPENSHIFT_HA_NOTIFY_SCRIPT
           #  value: /etc/keepalive/mynotifyscript.sh
           - name: OPENSHIFT_HA_CHECK_SCRIPT
             value: "/etc/keepalive/mycheckscript.sh"
           - name: OPENSHIFT_HA_PREEMPTION
             value: "preempt_delay 300"
           - name: OPENSHIFT_HA_CHECK_INTERVAL
             value: "2"
           livenessProbe:
             initialDelaySeconds: 10
             exec:
               command:
               - pgrep
               - keepalived
         volumes:
         - name: lib-modules
           hostPath:
             path: /lib/modules
         - name: host-slash
           hostPath:
             path: /
         - name: etc-sysconfig
           hostPath:
             path: /etc/sysconfig
         # config-volume contains the check script
         # created with `oc create configmap keepalived-checkscript --from-file=mycheckscript.sh`
         - configMap:
             defaultMode: 0755
             name: keepalived-checkscript
           name: config-volume
         imagePullSecrets:
           - name: openshift-pull-secret

   다음과 같습니다.

   ipfailover-keepalived

   IP 페일오버 배포의 이름을 지정합니다.

   OPENSHIFT_HA_VIRTUAL_IPS

   복제할 IP 주소 범위의 lis t를 지정합니다. 이 정보를 제공해야 합니다. 예: 1.2.3.4-6,1.2.3.9.

   OPENSHIFT_HA_VIP_GROUPS

   VRRP에 대해 생성할 그룹 수를 지정합니다. 설정하지 않으면 OPENSHIFT_HA_VIP_GROUPS 변수로 지정된 각 가상 IP 범위에 대해 그룹이 생성됩니다.

   OPENSHIFT_HA_NETWORK_INTERFACE

   IP 페일오버가 VRRP 트래픽을 보내는 데 사용하는 인터페이스 이름을 지정합니다. 기본적으로 eth0이 사용됩니다.

   OPENSHIFT_HA_MONITOR_PORT

   IP 페일오버 pod는 각 VIP에서 이 포트에 대한 TCP 연결을 열려고 합니다. 연결이 설정되면 서비스가 실행 중인 것으로 간주됩니다. 이 포트가 0으로 설정되면 테스트가 항상 통과합니다. 기본값은 80입니다.

   OPENSHIFT_HA_VRRP_ID_OFFSET

   가상 라우터 ID를 설정하는 데 사용되는 오프셋 값을 지정합니다. 다른 오프셋 값을 사용하면 동일한 클러스터 내에 여러 IP 페일오버 구성이 존재할 수 있습니다. 기본 오프셋은 0이며 허용되는 범위는 0에서 255 사이입니다.

   OPENSHIFT_HA_REPLICA_COUNT

   생성할 복제본 수를 지정합니다. 이는 IP 페일오버 구성의 spec.replicas 값과 일치해야 합니다. 기본값은 2입니다.

   OPENSHIFT_HA_USE_UNICAST

   VRRP에 유니캐스트 모드를 사용할지 여부를 지정합니다. 기본값은 false입니다.

   OPENSHIFT_HA_UNICAST_PEERS

   유니캐스트 피어의 IP 주소 목록을 지정합니다. OPENSHIFT_HA_USE_UNICAST 가 true 로 설정된 경우 이 값을 제공해야 합니다.

   OPENSHIFT_HA_IPTABLES_CHAIN

   VRRP 트래픽을 허용하는 iptables 규칙을 자동으로 추가할 iptables 체인의 이름을 지정합니다. 값을 설정하지 않으면 iptables 규칙이 추가되지 않습니다. 체인이 존재하지 않으면 이 체인이 생성되지 않으며 Keepalived는 유니캐스트 모드로 작동합니다. 기본값은 INPUT입니다.

   OPENSHIFT_HA_NOTIFY_SCRIPT

   상태가 변경될 때마다 실행되는 스크립트의 Pod 파일 시스템에서 전체 경로 이름을 지정합니다.

   OPENSHIFT_HA_CHECK_SCRIPT

   애플리케이션이 작동하는지 확인하기 위해 주기적으로 실행되는 스크립트의 Pod 파일 시스템에서 전체 경로 이름을 지정합니다.

   OPENSHIFT_HA_PREEMPTION

   더 높은 우선 순위 호스트를 처리하기 위한 전략을 지정합니다. 기본값은 preempt_delay 300으로, 우선순위가 낮은 마스터가 VIP를 보유하는 경우 Keepalived 인스턴스가 5분 후에 VIP를 넘겨받습니다.

   OPENSHIFT_HA_CHECK_INTERVAL

   검사 스크립트가 실행되는 기간(초)을 지정합니다. 기본값은 2입니다.

   openshift-pull-secret

   IP 페일오버 배포에 사용할 풀 시크릿의 이름을 지정합니다. 배포를 만들기 전에 풀 시크릿을 생성합니다. 그렇지 않으면 배포를 생성할 때 오류가 발생합니다.

프로세스

1. 원하는 스크립트를 만들고 이를 보관할 ConfigMap 객체를 만듭니다. 스크립트에는 입력 인수가 없으며 OK의 경우 0을fail의 경우 1을 반환해야 합니다.

   검사 스크립트, mycheckscript.sh:

   #!/bin/bash
       # Whatever tests are needed
       # E.g., send request and verify response
   exit 0

2. 다음 명령을 실행하여 ConfigMap 오브젝트를 생성합니다.

   $ oc create configmap mycustomcheck --from-file=mycheckscript.sh

3. pod에 스크립트를 추가합니다. 마운트된 ConfigMap 오브젝트 파일의 defaultMode 는 oc 명령을 사용하거나 IP 페일오버 구성을 편집하여 실행할 수 있어야 합니다.

   1. 다음 명령을 실행하여 Pod에 스크립트를 추가합니다. 0755,493 10진수 값이 일반적입니다. 예를 들면 다음과 같습니다.

      $ oc set env deploy/ipfailover-keepalived \
          OPENSHIFT_HA_CHECK_SCRIPT=/etc/keepalive/mycheckscript.sh

      $ oc set volume deploy/ipfailover-keepalived --add --overwrite \
          --name=config-volume \
          --mount-path=/etc/keepalive \
          --source='{"configMap": { "name": "mycustomcheck", "defaultMode": 493}}'

      참고

      oc set env 명령은 공백 문자를 구분합니다. = 기호 양쪽에 공백이 없어야 합니다.

   2. 또는 다음 명령을 실행하여 ipfailover-keepalived 구성을 편집합니다.

      $ oc edit deploy ipfailover-keepalived

      ipfailover-keepalived 구성 예

          spec:
            containers:
            - env:
              - name: OPENSHIFT_HA_CHECK_SCRIPT
                value: /etc/keepalive/mycheckscript.sh
      ...
              volumeMounts:
              - mountPath: /etc/keepalive
                name: config-volume
            dnsPolicy: ClusterFirst
      ...
            volumes:
            - configMap:
                defaultMode: 0755
                name: customrouter
              name: config-volume
      ...

      다음과 같습니다.

      spec.container.env.name

      마운트된 스크립트 파일을 가리키는 OPENSHIFT_HA_CHECK_SCRIPT 환경 변수를 지정합니다.

      spec.container.volumeMounts

      마운트 지점을 생성할 spec.container.volumeMounts 필드를 지정합니다.

      spec.volumes

      구성 맵을 언급할 새 spec.volumes 필드를 지정합니다.

      spec.volumes.configMap.defaultMode

      파일에 대한 실행 권한을 지정합니다. 다시 읽으면 10진수 493으로 표시됩니다.

   3. 변경 사항을 저장하고 편집기를 종료합니다. 이렇게 하면 ipfailover-keepalived 구성이 다시 시작됩니다.

프로세스

1. 선택 사항: 구성 맵으로 저장된 점검 및 알림 스크립트를 식별하고 삭제합니다.

   1. IP 페일오버에 대한 Pod가 구성 맵을 볼륨으로 사용하는지 여부를 확인합니다.

      $ oc get pod -l ipfailover \
        -o jsonpath="\
      {range .items[?(@.spec.volumes[*].configMap)]}
      {'Namespace: '}{.metadata.namespace}
      {'Pod:       '}{.metadata.name}
      {'Volumes that use config maps:'}
      {range .spec.volumes[?(@.configMap)]}  {'volume:    '}{.name}
        {'configMap: '}{.configMap.name}{'\n'}{end}
      {end}"

      출력 예

      Namespace: default
      Pod:       keepalived-worker-59df45db9c-2x9mn
      Volumes that use config maps:
        volume:    config-volume
        configMap: mycustomcheck

   2. 이전 단계에서 볼륨으로 사용되는 구성 맵의 이름을 제공한 경우 구성 맵을 삭제합니다.

      $ oc delete configmap <configmap_name>

2. IP 페일오버를 위한 기존 배포를 식별합니다.

   $ oc get deployment -l ipfailover

   출력 예

   NAMESPACE   NAME         READY   UP-TO-DATE   AVAILABLE   AGE
   default     ipfailover   2/2     2            2           105d

3. 배포를 삭제합니다.

   $ oc delete deployment <ipfailover_deployment_name>

4. ipfailover 서비스 계정을 제거합니다.

   $ oc delete sa ipfailover

5. IP 페일오버를 처음 구성할 때 추가된 IP 테이블 규칙을 제거하는 작업을 실행합니다.

   1. 다음 예와 유사한 콘텐츠를 사용하여 remove-ipfailover-job.yaml과 같은 파일을 생성합니다.

      apiVersion: batch/v1
      kind: Job
      metadata:
        generateName: remove-ipfailover-
        labels:
          app: remove-ipfailover
      spec:
        template:
          metadata:
            name: remove-ipfailover
          spec:
            containers:
            - name: remove-ipfailover
              image: registry.redhat.io/openshift4/ose-keepalived-ipfailover-rhel9:v4.19
              command: ["/var/lib/ipfailover/keepalived/remove-failover.sh"]
            nodeSelector:
              kubernetes.io/hostname: <host_name>
            restartPolicy: Never

      • nodeSelector는 이전 IP 장애 조치 배포에 사용된 선택기와 동일할 가능성이 높습니다.
      • IP 페일오버용으로 구성된 클러스터의 각 노드에 대해 작업을 실행하고 매번 호스트 이름을 바꿉니다.

   2. 작업을 실행합니다.

      $ oc create -f remove-ipfailover-job.yaml

      출력 예

      job.batch/remove-ipfailover-2h8dm created

프로세스

1. HTTPS 연결 프록시에 필요한 추가 CA 인증서가 포함된 ConfigMap을 생성합니다.

   참고

   프록시의 신원 인증서가 Red Hat Enterprise Linux CoreOS(RHCOS) 신뢰 번들의 기관에서 서명된 경우 이 단계를 건너뛸 수 있습니다.

   1. user-ca-bundle.yaml 이라는 파일을 만들고 PEM으로 인코딩된 인증서 값을 제공합니다.

      apiVersion: v1
      data:
        ca-bundle.crt: | 

      1

      
          <MY_PEM_ENCODED_CERTS> 

      2

      
      kind: ConfigMap
      metadata:
        name: user-ca-bundle 

      3

      
        namespace: openshift-config 

      4

      다음과 같습니다.

      data.ca-bundle.crt

      ca-bundle.crt 라는 이름의 데이터 키를 지정합니다.

      <MY_PEM_ENCODED_CERTS>

      프록시의 ID 인증서에 서명하는 데 사용되는 PEM 인코딩 X.509 인증서를 하나 이상 지정합니다.

      user-ca-bundle

      프록시 오브젝트에서 참조하는 구성 맵 이름을 지정합니다.

      openshift-config

      구성 맵이 있어야 하는 네임스페이스를 지정합니다.

   2. 다음 명령을 입력하여 user-ca-bundle.yaml 파일에서 구성 맵을 만듭니다.

      $ oc create -f user-ca-bundle.yaml

2. oc edit 명령을 사용하여 프록시 오브젝트를 수정합니다.

   $ oc edit proxy/cluster

3. 프록시에 필요한 필드를 구성합니다.

   apiVersion: config.openshift.io/v1
   kind: Proxy
   metadata:
     name: cluster
   spec:
     httpProxy: http://<username>:<pswd>@<ip>:<port> 

   1

   
     httpsProxy: https://<username>:<pswd>@<ip>:<port> 

   2

   
     noProxy: example.com 

   3

   
     readinessEndpoints:
     - http://www.google.com 

   4

   
     - https://www.google.com
     trustedCA:
       name: user-ca-bundle 

   5

   다음과 같습니다.

   httpProxy

   클러스터 외부에서 HTTP 연결을 생성하는 데 사용할 프록시 URL을 지정합니다. URL 스키마는 http여야 합니다.

   httpsProxy

   클러스터 외부에서 HTTPS 연결을 생성하는 데 사용할 프록시 URL을 지정합니다. URL 체계는 http 또는 https 여야 합니다. URL 체계를 지원하는 프록시에 대한 URL을 지정합니다. 예를 들어, 대부분의 프록시는 https를 사용하도록 구성되었지만 http 만 지원하는 경우 오류를 보고합니다. 이 실패 메시지는 로그에 전파되지 않을 수 있으며 대신 네트워크 연결 실패로 나타날 수 있습니다. 클러스터에서 https 연결을 수신하는 프록시를 사용하는 경우 프록시가 사용하는 CA 및 인증서를 수락하도록 클러스터를 구성해야 할 수도 있습니다.

   noProxy

   대상 도메인 이름, 도메인, IP 주소(또는 기타 네트워크 CIDR)의 쉼표로 구분된 목록과 프록시를 제외할 포트 번호를 지정합니다. 포트 번호는 IPv6 주소를 구성할 때만 지원됩니다. IPv4 주소를 구성할 때 포트 번호는 지원되지 않습니다.

   하위 도메인과 일치하려면 도메인 앞에 .을 입력합니다. 예를 들어, .y.com은 x.y.com과 일치하지만 y.com은 일치하지 않습니다. *를 사용하여 모든 대상에 대해 프록시를 바이패스합니다.

   noproxy 필드에 도메인 주소를 포함해야 하는 경우 noproxy 필드에 FQDN 또는 접두사 일치 하위 도메인을 명시적으로 지정해야 합니다. 도메인을 캡슐화하는 IP 주소나 CIDR 범위를 사용할 수 없습니다. 이는 클러스터가 경로 연결을 할당하기 전에 DNS가 IP 주소를 반환할 때까지 기다리지 않고, 요청이 접수되었는지 명시적으로 확인하기 때문입니다. 예를 들어, noproxy 필드에 10.0.0.0/24 와 같은 CIDR 블록 값이 있고 해당 필드가 https://10.0.0.11에 액세스하려고 시도하는 경우 주소가 성공적으로 일치합니다. 그러나 A 레코드 항목이 10.0.0.11 인 https://exampleserver.externaldomain.com 에 액세스하려고 하면 실패합니다. noproxy 필드에 .externaldomain.com 의 추가 값이 필요합니다.

   networking.machineNetwork[].cidr 필드에 의해 정의된 네트워크에 포함되어 있지 않은 작업자를 설치 구성에서 확장하려면 연결 문제를 방지하기 위해 이 목록에 해당 작업자를 추가해야 합니다.

   httpProxy와 httpsProxy 필드가 모두 설정되지 않은 경우 이 필드는 무시됩니다.

   readinessEndpoints

   httpProxy 및 httpsProxy 값을 상태에 쓰기 전에 준비 검사를 수행하는 데 사용할 클러스터 외부의 URL을 하나 이상 지정합니다.

   trustedCA

   HTTPS 연결을 프록시하는 데 필요한 추가 CA 인증서가 포함된 openshift-config 네임스페이스의 구성 맵에 대한 참조를 지정합니다. 여기서 ConfigMap을 참조하기 전에 ConfigMap이 이미 존재해야 합니다. 프록시의 ID 인증서를 RHCOS 트러스트 번들에 있는 기관에서 서명하지 않은 경우 이 필드가 있어야 합니다.

4. 파일을 저장하여 변경 사항을 적용합니다.

프로세스

1. 프록시를 수정하려면 oc edit 명령을 사용합니다.

   $ oc edit proxy/cluster

2. 프록시 오브젝트에서 모든 spec 필드를 제거합니다. 예를 들면 다음과 같습니다.

   apiVersion: config.openshift.io/v1
   kind: Proxy
   metadata:
     name: cluster
   spec: {}

3. 파일을 저장하여 변경 사항을 적용합니다.

프로세스

1. oc 명령을 사용하여 프록시 구성 상태를 확인하세요.

   $ oc get proxy/cluster -o yaml

2. 출력의 프록시 필드를 확인하여 구성과 일치하는지 확인하세요. 구체적으로 spec.httpProxy , spec.httpsProxy , spec.noProxy , spec.trustedCA 필드를 확인하세요.

3. 프록시 개체의 상태를 검사합니다.

   $ oc get proxy/cluster -o jsonpath='{.status}'

   출력 예

   {
   status:
       httpProxy: http://user:xxx@xxxx:3128
       httpsProxy: http://user:xxx@xxxx:3128
       noProxy: .cluster.local,.svc,10.0.0.0/16,10.128.0.0/14,127.0.0.1,169.254.169.254,172.30.0.0/16,localhost,test.no-proxy.com
   }

4. MCO(Machine Config Operator)의 로그를 확인하여 구성 변경 사항이 성공적으로 적용되었는지 확인하세요.

   $ oc logs -n openshift-machine-config-operator $(oc get pods -n openshift-machine-config-operator -l k8s-app=machine-config-operator -o name)

5. 프록시 설정이 적용되었고 필요한 경우 노드가 재부팅되었음을 나타내는 메시지를 찾아보세요.

6. 클러스터 버전 운영자(CVO)와 같이 외부 요청을 하는 구성 요소의 로그를 확인하여 시스템 구성 요소가 프록시를 사용하고 있는지 확인하세요.

   $ oc logs -n openshift-cluster-version $(oc get pods -n openshift-cluster-version -l k8s-app=machine-config-operator -o name)

7. 외부 요청이 프록시를 통해 라우팅되었음을 보여주는 로그 항목을 찾아보세요.

프로세스

1. install-config.yaml 파일을 편집하고 프록시 설정을 추가합니다. 예를 들면 다음과 같습니다.

   apiVersion: v1
   baseDomain: my.domain.com
   proxy:
     httpProxy: http://<username>:<pswd>@<ip>:<port>
     httpsProxy: https://<username>:<pswd>@<ip>:<port>
     noProxy: example.com
   additionalTrustBundle: |
       -----BEGIN CERTIFICATE-----
       <MY_TRUSTED_CA_CERT>
       -----END CERTIFICATE-----
   additionalTrustBundlePolicy: <policy_to_add_additionalTrustBundle>
   # ...

   다음과 같습니다.

   proxy.httpProxy

   클러스터 외부에서 HTTP 연결을 생성하는 데 사용할 프록시 URL을 지정합니다. URL 스키마는 http여야 합니다.

   proxy.httpsProxy

   클러스터 외부에서 HTTPS 연결을 생성하는 데 사용할 프록시 URL을 지정합니다.

   proxy.noProxy

   대상 도메인 이름, IP 주소 또는 프록시에서 제외할 기타 네트워크 CIDR의 쉼표로 구분된 목록을 지정합니다. 하위 도메인과 일치하려면 도메인 앞에 .을 입력합니다. 예를 들어, .y.com은 x.y.com과 일치하지만 y.com은 일치하지 않습니다. *를 사용하여 모든 대상에 대해 프록시를 바이패스합니다.

   additionalTrustBundle

   이 값을 제공하면 설치 프로그램에서 추가 CA 인증서를 유지하기 위해 openshift-config 네임스페이스에 user-ca-bundle 이라는 구성 맵을 생성합니다. additionalTrustBundle 및 하나 이상의 프록시 설정을 제공하는 경우 trustedCA 필드의 user-ca-bundle 구성 맵을 참조하도록 프록시 오브젝트가 구성됩니다. 그러면 CNO(Cluster Network Operator)에서 trustedCA 매개변수에 지정된 콘텐츠를 RHCOS 신뢰 번들과 병합하는 trusted-ca-bundle 구성 맵을 생성합니다. 프록시의 ID 인증서를 RHCOS 트러스트 번들에 있는 기관에서 서명하지 않은 경우 additionalTrustBundle 필드가 있어야 합니다.

   additionalTrustBundlePolicy

   trustedCA 필드에서 user-ca-bundle 구성 맵을 참조할 프록시 오브젝트의 구성을 결정하는 정책을 지정합니다. 허용되는 값은 Proxyonly 및 Always 입니다. http/https 프록시가 구성된 경우에만 Proxyonly를 사용하여 user-ca-bundle 구성 맵을 참조합니다. Always를 사용하여 user-ca-bundle 구성 맵을 항상 참조합니다. 기본값은 Proxyonly 입니다. 선택적 매개변수입니다.

   참고

   설치 프로그램에서 프록시 adinessEndpoints 필드를 지원하지 않습니다.

   참고

   설치 프로그램이 시간 초과되면 설치 프로그램의 wait-for 명령을 사용하여 배포를 다시 시작한 다음 완료합니다. 예를 들면 다음과 같습니다.

   $ ./openshift-install wait-for install-complete --log-level debug

2. 파일을 저장해 놓고 OpenShift Container Platform을 설치할 때 참조하십시오.

   제공되는 install-config.yaml 파일의 프록시 설정을 사용하는 cluster라는 이름의 클러스터 전체 프록시가 설치 프로그램에 의해 생성됩니다. 프록시 설정을 제공하지 않아도 cluster Proxy 오브젝트는 계속 생성되지만 spec은 nil이 됩니다.

   참고

   cluster라는 Proxy 오브젝트만 지원되며 추가 프록시는 생성할 수 없습니다.

프로세스

1. HTTPS 연결 프록시에 필요한 추가 CA 인증서가 포함된 ConfigMap을 생성합니다.

   참고

   프록시의 신원 인증서가 Red Hat Enterprise Linux CoreOS(RHCOS) 신뢰 번들의 기관에서 서명된 경우 이 단계를 건너뛸 수 있습니다.

   1. user-ca-bundle.yaml 이라는 파일을 만들고 PEM으로 인코딩된 인증서 값을 제공합니다.

      apiVersion: v1
      data:
        ca-bundle.crt: | 

      1

      
          <MY_PEM_ENCODED_CERTS> 

      2

      
      kind: ConfigMap
      metadata:
        name: user-ca-bundle 

      3

      
        namespace: openshift-config 

      4

      다음과 같습니다.

      data.ca-bundle.crt

      ca-bundle.crt 라는 이름의 데이터 키를 지정합니다.

      <MY_PEM_ENCODED_CERTS>

      프록시의 ID 인증서에 서명하는 데 사용되는 PEM 인코딩 X.509 인증서를 하나 이상 지정합니다.

      user-ca-bundle

      프록시 오브젝트에서 참조하는 구성 맵 이름을 지정합니다.

      openshift-config

      구성 맵이 있어야 하는 네임스페이스를 지정합니다.

   2. 다음 명령을 입력하여 user-ca-bundle.yaml 파일에서 구성 맵을 만듭니다.

      $ oc create -f user-ca-bundle.yaml

2. oc edit 명령을 사용하여 프록시 오브젝트를 수정합니다.

   $ oc edit proxy/cluster

3. 프록시에 필요한 필드를 구성합니다.

   apiVersion: config.openshift.io/v1
   kind: Proxy
   metadata:
     name: cluster
   spec:
     httpProxy: http://<username>:<pswd>@<ip>:<port> 

   1

   
     httpsProxy: https://<username>:<pswd>@<ip>:<port> 

   2

   
     noProxy: example.com 

   3

   
     readinessEndpoints:
     - http://www.google.com 

   4

   
     - https://www.google.com
     trustedCA:
       name: user-ca-bundle 

   5

   다음과 같습니다.

   httpProxy

   클러스터 외부에서 HTTP 연결을 생성하는 데 사용할 프록시 URL을 지정합니다. URL 스키마는 http여야 합니다.

   httpsProxy

   클러스터 외부에서 HTTPS 연결을 생성하는 데 사용할 프록시 URL을 지정합니다. URL 체계는 http 또는 https 여야 합니다. URL 체계를 지원하는 프록시에 대한 URL을 지정합니다. 예를 들어, 대부분의 프록시는 https를 사용하도록 구성되었지만 http 만 지원하는 경우 오류를 보고합니다. 이 실패 메시지는 로그에 전파되지 않을 수 있으며 대신 네트워크 연결 실패로 나타날 수 있습니다. 클러스터에서 https 연결을 수신하는 프록시를 사용하는 경우 프록시가 사용하는 CA 및 인증서를 수락하도록 클러스터를 구성해야 할 수도 있습니다.

   noProxy

   대상 도메인 이름, 도메인, IP 주소(또는 기타 네트워크 CIDR)의 쉼표로 구분된 목록과 프록시를 제외할 포트 번호를 지정합니다. 포트 번호는 IPv6 주소를 구성할 때만 지원됩니다. IPv4 주소를 구성할 때 포트 번호는 지원되지 않습니다.

   하위 도메인과 일치하려면 도메인 앞에 .을 입력합니다. 예를 들어, .y.com은 x.y.com과 일치하지만 y.com은 일치하지 않습니다. *를 사용하여 모든 대상에 대해 프록시를 바이패스합니다.

   noproxy 필드에 도메인 주소를 포함해야 하는 경우 noproxy 필드에 FQDN 또는 접두사 일치 하위 도메인을 명시적으로 지정해야 합니다. 도메인을 캡슐화하는 IP 주소나 CIDR 범위를 사용할 수 없습니다. 이는 클러스터가 경로 연결을 할당하기 전에 DNS가 IP 주소를 반환할 때까지 기다리지 않고, 요청이 접수되었는지 명시적으로 확인하기 때문입니다. 예를 들어, noproxy 필드에 10.0.0.0/24 와 같은 CIDR 블록 값이 있고 해당 필드가 https://10.0.0.11에 액세스하려고 시도하는 경우 주소가 성공적으로 일치합니다. 그러나 A 레코드 항목이 10.0.0.11 인 https://exampleserver.externaldomain.com 에 액세스하려고 하면 실패합니다. noproxy 필드에 .externaldomain.com 의 추가 값이 필요합니다.

   networking.machineNetwork[].cidr 필드에 의해 정의된 네트워크에 포함되어 있지 않은 작업자를 설치 구성에서 확장하려면 연결 문제를 방지하기 위해 이 목록에 해당 작업자를 추가해야 합니다.

   httpProxy와 httpsProxy 필드가 모두 설정되지 않은 경우 이 필드는 무시됩니다.

   readinessEndpoints

   httpProxy 및 httpsProxy 값을 상태에 쓰기 전에 준비 검사를 수행하는 데 사용할 클러스터 외부의 URL을 하나 이상 지정합니다.

   trustedCA

   HTTPS 연결을 프록시하는 데 필요한 추가 CA 인증서가 포함된 openshift-config 네임스페이스의 구성 맵에 대한 참조를 지정합니다. 여기서 ConfigMap을 참조하기 전에 ConfigMap이 이미 존재해야 합니다. 프록시의 ID 인증서를 RHCOS 트러스트 번들에 있는 기관에서 서명하지 않은 경우 이 필드가 있어야 합니다.

4. 파일을 저장하여 변경 사항을 적용합니다.