6.9. 컨테이너의 sysctl 사용

1. 다음 예제와 같이 Pod를 정의하는 YAML 파일을 수정하고 securityContext 사양을 추가합니다.

   apiVersion: v1
   kind: Pod
   metadata:
     name: sysctl-example
   spec:
     securityContext:
       sysctls:
       - name: kernel.shm_rmid_forced
         value: "0"
       - name: net.core.somaxconn
         value: "1024"
       - name: kernel.msgmax
         value: "65536"
     ...

2. Pod를 생성합니다.

   $ oc apply -f <file-name>.yaml

   안전하지 않은 sysctl을 노드에 사용할 수 없는 경우 Pod는 예약되지만 배포되지는 않습니다.

   $ oc get pod

   출력 예

   NAME        READY   STATUS            RESTARTS   AGE
   hello-pod   0/1     SysctlForbidden   0          14s

프로세스

1. 안전하지 않은 sysctl이 있는 컨테이너가 실행될 머신 구성 풀에 라벨을 추가합니다.

   $ oc edit machineconfigpool worker

   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfigPool
   metadata:
     creationTimestamp: 2019-02-08T14:52:39Z
     generation: 1
     labels:
       custom-kubelet: sysctl 1

   1

   key: pair 라벨을 추가합니다.

2. KubeletConfig CR(사용자 정의 리소스)을 생성합니다.

   apiVersion: machineconfiguration.openshift.io/v1
   kind: KubeletConfig
   metadata:
     name: custom-kubelet
   spec:
     machineConfigPoolSelector:
       matchLabels:
         custom-kubelet: sysctl 1
     kubeletConfig:
       allowedUnsafeSysctls: 2
         - "kernel.msg*"
         - "net.core.somaxconn"

   1

   머신 구성 풀에서 라벨을 지정합니다.

   2

   허용할 안전하지 않은 sysctl을 나열합니다.

3. 오브젝트를 생성합니다.

   $ oc apply -f set-sysctl-worker.yaml

   99-worker-XXXXXX-XXXXX-XXXX-XXXXX-kubelet 형식으로 이름이 지정된 새 MachineConfig 오브젝트가 생성됩니다.

4. machineconfigpool 오브젝트 상태 필드를 사용하여 클러스터가 재부팅될 때까지 기다립니다.

   예를 들면 다음과 같습니다.

   status:
     conditions:
       - lastTransitionTime: '2019-08-11T15:32:00Z'
         message: >-
           All nodes are updating to
           rendered-worker-ccbfb5d2838d65013ab36300b7b3dc13
         reason: ''
         status: 'True'
         type: Updating

   클러스터가 준비되면 다음과 유사한 메시지가 표시됩니다.

      - lastTransitionTime: '2019-08-11T16:00:00Z'
         message: >-
           All nodes are updated with
           rendered-worker-ccbfb5d2838d65013ab36300b7b3dc13
         reason: ''
         status: 'True'
         type: Updated

5. 클러스터가 준비되면 새 MachineConfig 오브젝트에 병합된 KubeletConfig 오브젝트가 있는지 확인합니다.

   $ oc get machineconfig 99-worker-XXXXXX-XXXXX-XXXX-XXXXX-kubelet -o json | grep ownerReference -A7

           "ownerReferences": [
               {
                   "apiVersion": "machineconfiguration.openshift.io/v1",
                   "blockOwnerDeletion": true,
                   "controller": true,
                   "kind": "KubeletConfig",
                   "name": "custom-kubelet",
                   "uid": "3f64a766-bae8-11e9-abe8-0a1a2a4813f2"
               }
           ]

   이제 필요한 경우 Pod에 안전하지 않은 sysctl을 추가할 수 있습니다.