7.10. 고급 작업

프로세스

1. DNS 운영자에서 관리 상태를 관리되지 않음 으로 변경:

   oc patch dns.operator.openshift.io default --type merge --patch '{"spec":{"managementState":"Unmanaged"}}'

   Copy to Clipboard Toggle word wrap

2. jsonpath 명령줄 JSON 파서를 사용하여 DNS 운영자의 관리 상태를 검토합니다.

   $ oc get dns.operator.openshift.io default -ojsonpath='{.spec.managementState}'

   Copy to Clipboard Toggle word wrap
   참고

   managementState 가 Unmanaged 로 설정되어 있는 동안에는 업그레이드할 수 없습니다.

프로세스

1. 이름이 default인 DNS Operator 오브젝트를 수정합니다.

   $ oc edit dns.operator/default

   Copy to Clipboard Toggle word wrap

   클러스터 관리자는 전달된 DNS 쿼리에 대해 TLS(전송 계층 보안)를 구성할 수 있습니다.

   TLS를 사용하여 DNS 전달 구성

   apiVersion: operator.openshift.io/v1
   kind: DNS
   metadata:
     name: default
   spec:
     servers:
     - name: example-server 

   1

   
       zones:
       - example.com 

   2

   
       forwardPlugin:
         transportConfig:
           transport: TLS 

   3

   
           tls:
             caBundle:
               name: mycacert
             serverName: dnstls.example.com  

   4

   
         policy: Random 

   5

   
         upstreams: 

   6

   
         - 1.1.1.1
         - 2.2.2.2:5353
     upstreamResolvers: 

   7

   
       transportConfig:
         transport: TLS
         tls:
           caBundle:
             name: mycacert
           serverName: dnstls.example.com
       upstreams:
       - type: Network 

   8

   
         address: 1.2.3.4 

   9

   
         port: 53 

   10

   Copy to Clipboard Toggle word wrap

   1

   rfc6335 서비스 이름 구문을 준수해야 합니다.

   2

   rfc1123 서비스 이름 구문의 하위 도메인 정의를 준수해야 합니다. 클러스터 도메인 cluster.local 은 zones 필드에 대한 잘못된 하위 도메인입니다. 클러스터 도메인에 해당하는 cluster.local은 영역에 유효하지 않은 하위 도메인입니다.

   3

   전달된 DNS 쿼리에 대해 TLS를 구성할 때 transport 필드 값을 TLS 로 설정합니다.

   4

   전달된 DNS 쿼리에 대해 TLS를 구성할 때 이는 업스트림 TLS 서버 인증서를 검증하기 위한 서버 이름 표시(SNI)의 일부로 사용되는 필수 서버 이름입니다.

   5

   업스트림 리졸버를 선택하는 정책을 정의합니다. 기본값은 Random 입니다. RoundRobin 및 Sequential 값을 사용할 수도 있습니다.

   6

   필수 항목입니다. 이를 사용하여 업스트림 리졸버를 제공합니다. forwardPlugin 항목당 최대 15개의 업스트림 항목이 허용됩니다.

   7

   선택 사항: 이를 사용하면 기본 정책을 재정의하고 기본 도메인에 대한 지정된 DNS 확인자(업스트림 확인자)로 DNS 확인을 전달할 수 있습니다. 업스트림 리졸버를 제공하지 않으면 DNS 이름 쿼리는 /etc/resolv.conf 에 있는 서버로 전송됩니다.

   8

   TLS를 사용하는 경우 네트워크 유형만 허용되며 IP 주소를 제공해야 합니다. 네트워크 유형은 이 업스트림 리졸버가 /etc/resolv.conf 에 나열된 업스트림 리졸버와 별도로 전달된 요청을 처리해야 함을 나타냅니다.

   9

   주소 필드는 유효한 IPv4 또는 IPv6 주소여야 합니다.

   10

   선택적으로 포트를 제공할 수 있습니다. 포트는 1 ~ 65535 사이의 값을 가져야 합니다. 업스트림에 대한 포트를 지정하지 않으면 기본 포트는 853입니다.

   참고

   서버가 정의되지 않았거나 유효하지 않으면 구성 맵에는 기본 서버만 포함됩니다.

검증

1. 구성 맵 보기:

   $ oc get configmap/dns-default -n openshift-dns -o yaml

   Copy to Clipboard Toggle word wrap

   TLS 전달 예제를 기반으로 한 샘플 DNS ConfigMap

   apiVersion: v1
   data:
     Corefile: |
       example.com:5353 {
           forward . 1.1.1.1 2.2.2.2:5353
       }
       bar.com:5353 example.com:5353 {
           forward . 3.3.3.3 4.4.4.4:5454 

   1

   
       }
       .:5353 {
           errors
           health
           kubernetes cluster.local in-addr.arpa ip6.arpa {
               pods insecure
               upstream
               fallthrough in-addr.arpa ip6.arpa
           }
           prometheus :9153
           forward . /etc/resolv.conf 1.2.3.4:53 {
               policy Random
           }
           cache 30
           reload
       }
   kind: ConfigMap
   metadata:
     labels:
       dns.operator.openshift.io/owning-dns: default
     name: dns-default
     namespace: openshift-dns

   Copy to Clipboard Toggle word wrap

   1

   forwardPlugin을 변경하면 CoreDNS 데몬 세트의 롤링 업데이트가 트리거됩니다.