네트워킹

프로세스

1. DNS Operator에서 managementState 를 Unmanaged 로 변경합니다.

   oc patch dns.operator.openshift.io default --type merge --patch '{"spec":{"managementState":"Unmanaged"}}'

   Copy to Clipboard Toggle word wrap

2. jsonpath 명령줄 JSON 구문 분석기를 사용하여 DNS Operator의 managementState 를 검토합니다.

   $ oc get dns.operator.openshift.io default -ojsonpath='{.spec.managementState}'

   Copy to Clipboard Toggle word wrap
   참고

   managementState 가 Unmanaged 로 설정된 동안은 업그레이드할 수 없습니다.

프로세스

1. 이름이 default인 DNS Operator 오브젝트를 수정합니다.

   $ oc edit dns.operator/default

   Copy to Clipboard Toggle word wrap

   클러스터 관리자는 전달된 DNS 쿼리에 대해 TLS(전송 계층 보안)를 구성할 수 있습니다.

   TLS를 사용하여 DNS 전달 구성

   apiVersion: operator.openshift.io/v1
   kind: DNS
   metadata:
     name: default
   spec:
     servers:
     - name: example-server 

   1

   
       zones:
       - example.com 

   2

   
       forwardPlugin:
         transportConfig:
           transport: TLS 

   3

   
           tls:
             caBundle:
               name: mycacert
             serverName: dnstls.example.com  

   4

   
         policy: Random 

   5

   
         upstreams: 

   6

   
         - 1.1.1.1
         - 2.2.2.2:5353
     upstreamResolvers: 

   7

   
       transportConfig:
         transport: TLS
         tls:
           caBundle:
             name: mycacert
           serverName: dnstls.example.com
       upstreams:
       - type: Network 

   8

   
         address: 1.2.3.4 

   9

   
         port: 53 

   10

   Copy to Clipboard Toggle word wrap

   1

   rfc6335 서비스 이름 구문을 준수해야 합니다.

   2

   rfc1123 서비스 이름 구문의 하위 도메인 정의를 준수해야 합니다. 클러스터 도메인인 cluster.local 은 zones 필드에 대해 유효하지 않은 하위 도메인입니다. 클러스터 도메인에 해당하는 cluster.local은 영역에 유효하지 않은 하위 도메인입니다.

   3

   전달된 DNS 쿼리에 대해 TLS를 구성할 때 값 TLS 를 갖도록 transport 필드를 설정합니다.

   4

   전달된 DNS 쿼리에 대해 TLS를 구성할 때 이는 업스트림 TLS 서버 인증서의 유효성을 확인하기 위해 SNI(서버 이름 표시)의 일부로 사용되는 필수 서버 이름입니다.

   5

   업스트림 리졸버를 선택하는 정책을 정의합니다. 기본값은 Random 입니다. RoundRobin 및 Sequential 값을 사용할 수도 있습니다.

   6

   필수 항목입니다. 이를 사용하여 업스트림 리졸버를 제공합니다. forwardPlugin 항목당 최대 15 개의 업스트림 항목이 허용됩니다.

   7

   선택 사항: 이를 사용하여 기본 정책을 재정의하고 기본 도메인의 지정된 DNS 확인자(업스트림 확인자)로 DNS 확인을 전달할 수 있습니다. 업스트림 확인자를 제공하지 않으면 DNS 이름 쿼리는 /etc/resolv.conf 의 서버로 이동합니다.

   8

   TLS를 사용할 때 네트워크 유형만 허용되며 IP 주소를 제공해야 합니다. 네트워크 유형은 이 업스트림 리졸버가 /etc/resolv.conf 에 나열된 업스트림 해석기와 별도로 전달된 요청을 처리해야 함을 나타냅니다.

   9

   address 필드는 유효한 IPv4 또는 IPv6 주소여야 합니다.

   10

   선택적으로 포트를 제공할 수 있습니다. 포트 는 1 에서 65535 사이의 값이 있어야 합니다. 업스트림에 대한 포트를 지정하지 않으면 기본 포트는 853입니다.

   참고

   서버 가 정의되지 않았거나 유효하지 않은 경우 구성 맵에는 기본 서버만 포함됩니다.

검증

1. 구성 맵을 표시합니다.

   $ oc get configmap/dns-default -n openshift-dns -o yaml

   Copy to Clipboard Toggle word wrap

   TLS 전달을 기반으로 하는 샘플 DNS ConfigMap 예

   apiVersion: v1
   data:
     Corefile: |
       example.com:5353 {
           forward . 1.1.1.1 2.2.2.2:5353
       }
       bar.com:5353 example.com:5353 {
           forward . 3.3.3.3 4.4.4.4:5454 

   1

   
       }
       .:5353 {
           errors
           health
           kubernetes cluster.local in-addr.arpa ip6.arpa {
               pods insecure
               upstream
               fallthrough in-addr.arpa ip6.arpa
           }
           prometheus :9153
           forward . /etc/resolv.conf 1.2.3.4:53 {
               policy Random
           }
           cache 30
           reload
       }
   kind: ConfigMap
   metadata:
     labels:
       dns.operator.openshift.io/owning-dns: default
     name: dns-default
     namespace: openshift-dns

   Copy to Clipboard Toggle word wrap

   1

   forwardPlugin을 변경하면 CoreDNS 데몬 세트의 롤링 업데이트가 트리거됩니다.

1. tls.crt 및 tls.key 파일을 사용하여 openshift-ingress 네임스페이스에 사용자 정의 인증서를 포함하는 Secret 리소스를 만듭니다.

   $ oc --namespace openshift-ingress create secret tls custom-certs-default --cert=tls.crt --key=tls.key

   Copy to Clipboard Toggle word wrap

2. 새 인증서 보안 키를 참조하도록 IngressController CR을 업데이트합니다.

   $ oc patch --type=merge --namespace openshift-ingress-operator ingresscontrollers/default \
     --patch '{"spec":{"defaultCertificate":{"name":"custom-certs-default"}}}'

   Copy to Clipboard Toggle word wrap

3. 업데이트가 적용되었는지 확인합니다.

   $ echo Q |\
     openssl s_client -connect console-openshift-console.apps.<domain>:443 -showcerts 2>/dev/null |\
     openssl x509 -noout -subject -issuer -enddate

   Copy to Clipboard Toggle word wrap

   다음과 같습니다.

   <domain>

   클러스터의 기본 도메인 이름을 지정합니다.

   출력 예

   subject=C = US, ST = NC, L = Raleigh, O = RH, OU = OCP4, CN = *.apps.example.com
   issuer=C = US, ST = NC, L = Raleigh, O = RH, OU = OCP4, CN = example.com
   notAfter=May 10 08:32:45 2022 GM

   Copy to Clipboard Toggle word wrap

   작은 정보

   다음 YAML을 적용하여 사용자 지정 기본 인증서를 설정할 수 있습니다.

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: default
     namespace: openshift-ingress-operator
   spec:
     defaultCertificate:
       name: custom-certs-default

   Copy to Clipboard Toggle word wrap

   인증서 보안 이름은 CR을 업데이트하는 데 사용된 값과 일치해야 합니다.

프로세스

1. 다음 명령을 실행하여 Thanos로 인증할 서비스 계정을 생성합니다.

   $ oc create -n openshift-ingress-operator serviceaccount thanos && oc describe -n openshift-ingress-operator serviceaccount thanos

   Copy to Clipboard Toggle word wrap

   출력 예

   Name:                thanos
   Namespace:           openshift-ingress-operator
   Labels:              <none>
   Annotations:         <none>
   Image pull secrets:  thanos-dockercfg-kfvf2
   Mountable secrets:   thanos-dockercfg-kfvf2
   Tokens:              <none>
   Events:              <none>

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 사용하여 서비스 계정 시크릿 토큰을 수동으로 생성합니다.

   $ oc apply -f - <<EOF
   apiVersion: v1
   kind: Secret
   metadata:
     name: thanos-token
     namespace: openshift-ingress-operator
     annotations:
       kubernetes.io/service-account.name: thanos
   type: kubernetes.io/service-account-token
   EOF

   Copy to Clipboard Toggle word wrap

3. 서비스 계정의 토큰을 사용하여 openshift-ingress-operator 네임스페이스에 TriggerAuthentication 오브젝트를 정의합니다.

   1. TriggerAuthentication 오브젝트를 생성하고 secret 변수 값을 TOKEN 매개변수에 전달합니다.

      $ oc apply -f - <<EOF
      apiVersion: keda.sh/v1alpha1
      kind: TriggerAuthentication
      metadata:
        name: keda-trigger-auth-prometheus
        namespace: openshift-ingress-operator
      spec:
        secretTargetRef:
        - parameter: bearerToken
          name: thanos-token
          key: token
        - parameter: ca
          name: thanos-token
          key: ca.crt
      EOF

      Copy to Clipboard Toggle word wrap

4. Thanos에서 메트릭을 읽는 역할을 생성하고 적용합니다.

   1. Pod 및 노드에서 지표를 읽는 새 역할 thanos-metrics-reader.yaml 을 생성합니다.

      thanos-metrics-reader.yaml

      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role
      metadata:
        name: thanos-metrics-reader
        namespace: openshift-ingress-operator
      rules:
      - apiGroups:
        - ""
        resources:
        - pods
        - nodes
        verbs:
        - get
      - apiGroups:
        - metrics.k8s.io
        resources:
        - pods
        - nodes
        verbs:
        - get
        - list
        - watch
      - apiGroups:
        - ""
        resources:
        - namespaces
        verbs:
        - get

      Copy to Clipboard Toggle word wrap

   2. 다음 명령을 실행하여 새 역할을 적용합니다.

      $ oc apply -f thanos-metrics-reader.yaml

      Copy to Clipboard Toggle word wrap

5. 다음 명령을 입력하여 서비스 계정에 새 역할을 추가합니다.

   $ oc adm policy -n openshift-ingress-operator add-role-to-user thanos-metrics-reader -z thanos --role-namespace=openshift-ingress-operator

   Copy to Clipboard Toggle word wrap

   $ oc adm policy -n openshift-ingress-operator add-cluster-role-to-user cluster-monitoring-view -z thanos

   Copy to Clipboard Toggle word wrap
   참고

   add-cluster-role-to-user 인수는 네임스페이스 간 쿼리를 사용하는 경우에만 필요합니다. 다음 단계에서는 이 인수가 필요한 kube-metrics 네임스페이스의 쿼리를 사용합니다.

6. 기본 Ingress 컨트롤러 배포를 대상으로 하는 새 scaled Object YAML 파일 ingress-autoscaler.yaml 을 만듭니다.

   scaled Object 정의의 예

   apiVersion: keda.sh/v1alpha1
   kind: ScaledObject
   metadata:
     name: ingress-scaler
     namespace: openshift-ingress-operator
   spec:
     scaleTargetRef: 

   1

   
       apiVersion: operator.openshift.io/v1
       kind: IngressController
       name: default
       envSourceContainerName: ingress-operator
     minReplicaCount: 1
     maxReplicaCount: 20 

   2

   
     cooldownPeriod: 1
     pollingInterval: 1
     triggers:
     - type: prometheus
       metricType: AverageValue
       metadata:
         serverAddress: https://thanos-querier.openshift-monitoring.svc.cluster.local:9091 

   3

   
         namespace: openshift-ingress-operator 

   4

   
         metricName: 'kube-node-role'
         threshold: '1'
         query: 'sum(kube_node_role{role="worker",service="kube-state-metrics"})' 

   5

   
         authModes: "bearer"
       authenticationRef:
         name: keda-trigger-auth-prometheus

   Copy to Clipboard Toggle word wrap

   1

   대상으로 하는 사용자 정의 리소스입니다. 이 경우 Ingress 컨트롤러입니다.

   2

   선택사항: 최대 복제본 수입니다. 이 필드를 생략하면 기본 최대값이 100개의 복제본으로 설정됩니다.

   3

   openshift-monitoring 네임스페이스의 Thanos 서비스 끝점입니다.

   4

   Ingress Operator 네임스페이스입니다.

   5

   이 표현식은 배포된 클러스터에 많은 작업자 노드가 있는 것으로 평가됩니다.

   중요

   네임스페이스 간 쿼리를 사용하는 경우 serverAddress 필드에서 포트 9091이 아닌 포트 9091을 대상으로 지정해야 합니다. 또한 이 포트에서 메트릭을 읽을 수 있는 높은 권한이 있어야 합니다.

7. 다음 명령을 실행하여 사용자 정의 리소스 정의를 적용합니다.

   $ oc apply -f ingress-autoscaler.yaml

   Copy to Clipboard Toggle word wrap

프로세스

1. 기본 IngressController의 현재 사용 가능한 복제본 개수를 살펴봅니다.

   $ oc get -n openshift-ingress-operator ingresscontrollers/default -o jsonpath='{$.status.availableReplicas}'

   Copy to Clipboard Toggle word wrap

2. oc patch 명령을 사용하여 기본 IngressController 를 원하는 복제본 수로 조정합니다. 다음 예제에서는 기본 IngressController 를 3개의 복제본으로 스케일링합니다.

   $ oc patch -n openshift-ingress-operator ingresscontroller/default --patch '{"spec":{"replicas": 3}}' --type=merge

   Copy to Clipboard Toggle word wrap

3. 기본 IngressController가 지정한 복제본 수에 맞게 조정되었는지 확인합니다.

   $ oc get -n openshift-ingress-operator ingresscontrollers/default -o jsonpath='{$.status.availableReplicas}'

   Copy to Clipboard Toggle word wrap
   작은 정보

   또는 다음 YAML을 적용하여 Ingress 컨트롤러를 세 개의 복제본으로 확장할 수 있습니다.

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: default
     namespace: openshift-ingress-operator
   spec:
     replicas: 3               

   1

   Copy to Clipboard Toggle word wrap

   1

   다른 양의 복제본이 필요한 경우 replicas 값을 변경합니다.

프로세스

1. 다음 예제와 같이 <name>-ingress-controller.yam 파일에 IngressController CR(사용자 정의 리소스)을 생성합니다.

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     namespace: openshift-ingress-operator
     name: <name> 

   1

   
   spec:
     domain: <domain> 

   2

   
     endpointPublishingStrategy:
       type: LoadBalancerService
       loadBalancer:
         scope: Internal 

   3

   Copy to Clipboard Toggle word wrap

   1

   <name>을 IngressController 오브젝트의 이름으로 변경합니다.

   2

   컨트롤러가 게시한 애플리케이션의 domain을 지정합니다.

   3

   내부 로드 밸런서를 사용하려면 Internal 값을 지정합니다.

2. 다음 명령을 실행하여 이전 단계에서 정의된 Ingress 컨트롤러를 생성합니다.

   $ oc create -f <name>-ingress-controller.yaml 

   1

   Copy to Clipboard Toggle word wrap

   1

   <name>을 IngressController 오브젝트의 이름으로 변경합니다.

3. 선택 사항: Ingress 컨트롤러가 생성되었는지 확인하려면 다음 명령을 실행합니다.

   $ oc --all-namespaces=true get ingresscontrollers

   Copy to Clipboard Toggle word wrap

프로세스

1. 클러스터의 기본 Ingress 컨트롤러를 삭제하고 다시 생성하여 내부용으로 구성합니다.

   $ oc replace --force --wait --filename - <<EOF
   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     namespace: openshift-ingress-operator
     name: default
   spec:
     endpointPublishingStrategy:
       type: LoadBalancerService
       loadBalancer:
         scope: Internal
   EOF

   Copy to Clipboard Toggle word wrap

프로세스

1. 와일드카드 정책을 구성합니다.

   1. 다음 명령을 사용하여 IngressController 리소스를 편집합니다.

      $ oc edit IngressController

      Copy to Clipboard Toggle word wrap

   2. spec에서 wildcardPolicy 필드를 WildcardsDisallowed 또는 WildcardsAllowed로 설정합니다.

      spec:
        routeAdmission:
          wildcardPolicy: WildcardsDisallowed # or WildcardsAllowed

      Copy to Clipboard Toggle word wrap

프로세스

1. Ingress 컨트롤러 리소스를 편집합니다.

   $ oc -n openshift-ingress-operator edit ingresscontroller/default

   Copy to Clipboard Toggle word wrap

2. X-SSL-Client-Der HTTP 요청 헤더를 X-Forwarded-Client-Cert HTTP 요청 헤더로 바꿉니다.

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: default
     namespace: openshift-ingress-operator
   spec:
     httpHeaders:
       actions: 

   1

   
         request: 

   2

   
         - name: X-Forwarded-Client-Cert 

   3

   
           action:
             type: Set 

   4

   
             set:
              value: "%{+Q}[ssl_c_der,base64]" 

   5

   
         - name: X-SSL-Client-Der
           action:
             type: Delete

   Copy to Clipboard Toggle word wrap

   1

   HTTP 헤더에서 수행할 작업 목록입니다.

   2

   변경할 헤더 유형입니다. 이 경우 요청 헤더가 있습니다.

   3

   변경할 헤더의 이름입니다. 설정하거나 삭제할 수 있는 사용 가능한 헤더 목록은 HTTP 헤더 구성 을 참조하십시오.

   4

   헤더에서 수행되는 작업 유형입니다. 이 필드에는 Set 또는 Delete 값이 있을 수 있습니다.

   5

   HTTP 헤더를 설정할 때 값을 제공해야 합니다. 값은 해당 헤더에 사용 가능한 지시문 목록(예: DENY )의 문자열이거나 HAProxy의 동적 값 구문을 사용하여 해석되는 동적 값이 될 수 있습니다. 이 경우 동적 값이 추가됩니다.

   참고

   HTTP 응답에 대한 동적 헤더 값을 설정하기 위해 허용되는 샘플 페이퍼는 res.hdr 및 ssl_c_der 입니다. HTTP 요청에 대한 동적 헤더 값을 설정하는 경우 허용되는 샘플 페더는 req.hdr 및 ssl_c_der 입니다. request 및 response 동적 값은 모두 lower 및 base64 컨버터를 사용할 수 있습니다.

3. 파일을 저장하여 변경 사항을 적용합니다.

프로세스

1. Ingress 컨트롤러에 대한 HTTPHeaders 필드를 구성합니다.

   1. 다음 명령을 사용하여 IngressController 리소스를 편집합니다.

      $ oc edit IngressController

      Copy to Clipboard Toggle word wrap

   2. spec에서 HTTPHeaders 정책 필드를 Append, Replace, IfNone 또는 Never로 설정합니다.

      apiVersion: operator.openshift.io/v1
      kind: IngressController
      metadata:
        name: default
        namespace: openshift-ingress-operator
      spec:
        httpHeaders:
          forwardedHeaderPolicy: Append

      Copy to Clipboard Toggle word wrap

프로세스

1. CLI에 다음 명령을 입력하여 Ingress 컨트롤러 리소스를 편집합니다.

   $ oc -n openshift-ingress-operator edit ingresscontroller/default

   Copy to Clipboard Toggle word wrap

2. PROXY 구성을 설정합니다.

   • Ingress 컨트롤러에서 HostNetwork 끝점 게시 전략 유형을 사용하는 경우 spec.endpointPublishingStrategy.hostNetwork.protocol 하위 필드를 PROXY:로 설정합니다.

     PROXY에 대한 hostNetwork 구성 샘플

     # ...
       spec:
         endpointPublishingStrategy:
           hostNetwork:
             protocol: PROXY
           type: HostNetwork
     # ...

     Copy to Clipboard Toggle word wrap

   • Ingress 컨트롤러에서 NodePortService 끝점 게시 전략 유형을 사용하는 경우 spec.endpointPublishingStrategy.nodePort.protocol 하위 필드를 PROXY 로 설정합니다.

     PROXY에 대한 nodePort 구성 샘플

     # ...
       spec:
         endpointPublishingStrategy:
           nodePort:
             protocol: PROXY
           type: NodePortService
     # ...

     Copy to Clipboard Toggle word wrap

   • Ingress 컨트롤러에서 Private 끝점 게시 전략 유형을 사용하는 경우 spec.endpointPublishingStrategy.private.protocol 하위 필드를 PROXY 로 설정합니다.

     PROXY에 대한 개인 구성 샘플

     # ...
       spec:
         endpointPublishingStrategy:
           private:
             protocol: PROXY
         type: Private
     # ...

     Copy to Clipboard Toggle word wrap

프로세스

1. 사용자 생성 경로에 대한 대체 기본 도메인을 지정하여 appsDomain 필드를 구성합니다.

   1. ingress 클러스터 리소스를 편집합니다.

      $ oc edit ingresses.config/cluster -o yaml

      Copy to Clipboard Toggle word wrap

   2. YAML 파일을 편집합니다.

      test.example.com에 대한 appsDomain 구성 샘플

      apiVersion: config.openshift.io/v1
      kind: Ingress
      metadata:
        name: cluster
      spec:
        domain: apps.example.com            

      1

      
        appsDomain: <test.example.com>      

      2

      Copy to Clipboard Toggle word wrap

      1

      기본 도메인을 지정합니다. 설치 후에는 기본 도메인을 수정할 수 없습니다.

      2

      선택 사항: 애플리케이션 경로에 사용할 OpenShift Dedicated 인프라의 도메인입니다. 기본 접두사인 앱 대신 test 와 같은 대체 접두사를 사용할 수 있습니다.

2. 경로를 노출하고 경로 도메인 변경을 확인하여 기존 경로에 appsDomain 필드에 지정된 도메인 이름이 포함되어 있는지 확인합니다.

   참고

   경로를 노출하기 전에 openshift-apiserver가 롤링 업데이트를 완료할 때까지 기다립니다.

   1. 다음 명령을 입력하여 경로를 노출합니다. 이 명령은 경로 노출을 지정하는 데 노출된 route.route.openshift.io/hello-openshift 를 출력합니다.

      $ oc expose service hello-openshift

      Copy to Clipboard Toggle word wrap

   2. 다음 명령을 실행하여 경로 목록을 가져옵니다.

      $ oc get routes

      Copy to Clipboard Toggle word wrap

      출력 예

      NAME              HOST/PORT                                   PATH   SERVICES          PORT       TERMINATION   WILDCARD
      hello-openshift   hello_openshift-<my_project>.test.example.com
      hello-openshift   8080-tcp                 None

      Copy to Clipboard Toggle word wrap