13.4. PolicyGenerator CR을 사용하여 작업자 노드에 작업자 노드 정책 적용

프로세스

1. 다음 PolicyGenerator CR을 생성하세요.

   apiVersion: policy.open-cluster-management.io/v1
   kind: PolicyGenerator
   metadata:
       name: example-sno-workers
   placementBindingDefaults:
       name: example-sno-workers-placement-binding
   policyDefaults:
       namespace: example-sno
       placement:
           labelSelector:
               matchExpressions:
                   - key: sites
                     operator: In
                     values:
                       - example-sno 

   1

   
       remediationAction: inform
       severity: low
       namespaceSelector:
           exclude:
               - kube-*
           include:
               - '*'
       evaluationInterval:
           compliant: 10m
           noncompliant: 10s
   policies:
       - name: example-sno-workers-config-policy
         policyAnnotations:
           ran.openshift.io/ztp-deploy-wave: "10"
         manifests:
           - path: source-crs/MachineConfigGeneric.yaml 

   2

   
             patches:
               - metadata:
                   labels:
                       machineconfiguration.openshift.io/role: worker 

   3

   
                   name: enable-workload-partitioning
                 spec:
                   config:
                       storage:
                           files:
                               - contents:
                                   source: data:text/plain;charset=utf-8;base64,W2NyaW8ucnVudGltZS53b3JrbG9hZHMubWFuYWdlbWVudF0KYWN0aXZhdGlvbl9hbm5vdGF0aW9uID0gInRhcmdldC53b3JrbG9hZC5vcGVuc2hpZnQuaW8vbWFuYWdlbWVudCIKYW5ub3RhdGlvbl9wcmVmaXggPSAicmVzb3VyY2VzLndvcmtsb2FkLm9wZW5zaGlmdC5pbyIKcmVzb3VyY2VzID0geyAiY3B1c2hhcmVzIiA9IDAsICJjcHVzZXQiID0gIjAtMyIgfQo=
                                 mode: 420
                                 overwrite: true
                                 path: /etc/crio/crio.conf.d/01-workload-partitioning
                                 user:
                                   name: root
                               - contents:
                                   source: data:text/plain;charset=utf-8;base64,ewogICJtYW5hZ2VtZW50IjogewogICAgImNwdXNldCI6ICIwLTMiCiAgfQp9Cg==
                                 mode: 420
                                 overwrite: true
                                 path: /etc/kubernetes/openshift-workload-pinning
                                 user:
                                   name: root
           - path: source-crs/PerformanceProfile-MCP-worker.yaml
             patches:
               - metadata:
                   name: openshift-worker-node-performance-profile
                 spec:
                   cpu: 

   4

   
                       isolated: 4-47
                       reserved: 0-3
                   hugepages:
                       defaultHugepagesSize: 1G
                       pages:
                           - count: 32
                             size: 1G
                   realTimeKernel:
                       enabled: true
           - path: source-crs/TunedPerformancePatch-MCP-worker.yaml
             patches:
               - metadata:
                   name: performance-patch-worker
                 spec:
                   profile:
                       - data: |
                         [main]
                         summary=Configuration changes profile inherited from performance created tuned
                         include=openshift-node-performance-openshift-worker-node-performance-profile
                         [bootloader]
                         cmdline_crash=nohz_full=4-47 

   5

   
                         [sysctl]
                         kernel.timer_migration=1
                         [scheduler]
                         group.ice-ptp=0:f:10:*:ice-ptp.*
                         [service]
                         service.stalld=start,enable
                         service.chronyd=stop,disable
                         name: performance-patch-worker
                   recommend:
                       - profile: performance-patch-worker

   1

   해당 정책은 이 레이블이 있는 모든 클러스터에 적용됩니다.

   2

   이 일반적인 MachineConfig CR은 작업자 노드에서 작업 분할을 구성하는 데 사용됩니다.

   3

   MCP 필드는 worker 로 설정되어야 합니다.

   4

   cpu.isolated 및 cpu.reserved 필드는 각 하드웨어 플랫폼에 맞게 구성되어야 합니다.

   5

   cmdline_crash CPU 세트는 PerformanceProfile 섹션의 cpu.isolated 세트와 일치해야 합니다.

   일반적인 MachineConfig CR은 작업자 노드에서 작업 부하 분할을 구성하는 데 사용됩니다. crio 및 kubelet 구성 파일의 내용을 생성할 수 있습니다.

2. ArgoCD 정책 애플리케이션에서 모니터링하는 Git 저장소에 생성된 정책 템플릿을 추가합니다.
3. kustomization.yaml 파일에 정책을 추가합니다.
4. Git에서 변경 사항을 커밋한 다음 GitOps ZTP ArgoCD 애플리케이션에서 모니터링하는 Git 저장소에 푸시합니다.

5. 스포크 클러스터에 대한 새 정책을 수정하려면 TALM 사용자 정의 리소스를 만듭니다.

   $ cat <<EOF | oc apply -f -
   apiVersion: ran.openshift.io/v1alpha1
   kind: ClusterGroupUpgrade
   metadata:
     name: example-sno-worker-policies
     namespace: default
   spec:
     backup: false
     clusters:
     - example-sno
     enable: true
     managedPolicies:
     - group-du-sno-config-policy
     - example-sno-workers-config-policy
     - example-sno-config-policy
     preCaching: false
     remediationStrategy:
       maxConcurrency: 1
   EOF