3장. 피어 Pod를 사용하여 OpenShift 샌드박스 컨테이너 워크로드 배포

절차

1. 다음 명령을 실행하여 현재 제한을 확인합니다.

   $ oc get peerpodconfig peerpodconfig-openshift -n openshift-sandboxed-containers-operator \
   -o jsonpath='{.spec.limit}{"\n"}'

2. 다음 명령을 실행하여 peerpodConfig CR의 limit 속성을 수정합니다.

   $ oc patch peerpodconfig peerpodconfig-openshift -n openshift-sandboxed-containers-operator \
   --type merge --patch '{"spec":{"limit":"<value>"}}' 1

   1

   <value>를 정의할 제한으로 바꿉니다.

절차

1. 인스턴스 ID를 검색합니다.

   $ INSTANCE_ID=$(oc get nodes -l 'node-role.kubernetes.io/worker' -o jsonpath='{.items[0].spec.providerID}' | sed 's#[^ ]*/##g')

2. AWS 리전을 검색합니다.

   $ AWS_REGION=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.aws.region}')

3. 보안 그룹을 검색합니다.

   $ SG=$(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} --query 'Reservations[*].Instances[*].SecurityGroups[*].GroupId' --output text --region ${AWS_REGION})

4. peer-pods shim을 인증하고 kata-agent 통신에 액세스합니다. 다음 명령을 실행합니다.

   $ aws ec2 authorize-security-group-ingress --group-id ${SG} --protocol tcp --port 15150 --source-group ${SG} --region ${AWS_REGION}

5. peer-pods 터널을 설정합니다. 다음 명령을 실행합니다.

   $ aws ec2 authorize-security-group-ingress --group-id ${SG} --protocol tcp --port 9000 --source-group ${SG} --region ${AWS_REGION}

절차

1. 인스턴스 ID를 검색합니다.

   $ INSTANCE_ID=$(oc get nodes -l 'node-role.kubernetes.io/worker' -o jsonpath='{.items[0].spec.providerID}' | sed 's#[^ ]*/##g')

2. Azure 리소스 그룹을 검색합니다.

   $ AZURE_RESOURCE_GROUP=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.azure.resourceGroupName}')

3. Azure 네트워크 보안 그룹(NSG) 이름을 검색합니다.

   $ AZURE_NSG_NAME=$(az network nsg list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Name:name}" --output tsv)

4. Azure VNet 이름을 검색합니다.

   $ AZURE_VNET_NAME=$(az network vnet list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Name:name}" --output tsv)

5. Azure 서브넷 이름을 검색합니다.

   $ AZURE_SUBNET_NAME=$(az network vnet subnet list --resource-group ${AZURE_RESOURCE_GROUP} --vnet-name ${AZURE_VNET_NAME}  --query "[].{Name:name} | [? contains(Name, 'worker')]" --output tsv)

6. Azure 서브넷 접두사를 검색합니다.

   $ AZURE_SUBNET_PREFIX=$(az network vnet subnet show --name ${AZURE_SUBNET_NAME} --vnet-name ${AZURE_VNET_NAME} --resource-group ${AZURE_RESOURCE_GROUP} --query "addressPrefix" --output tsv)

7. peer-pods shim이 kata-agent 통신에 액세스하도록 권한을 부여합니다. 다음 명령을 실행합니다.

   $ az network nsg rule create \
     --resource-group $AZURE_RESOURCE_GROUP \
     --nsg-name $AZURE_NSG_NAME \
     --name Allow-Kata-Agent-Internal \
     --access Allow \
     --protocol Tcp \
     --direction Inbound \
     --priority 112 \
     --source-address-prefixes $AZURE_SUBNET_PREFIX \
     --source-port-range "*" \
     --destination-address-prefixes $AZURE_SUBNET_PREFIX  \
     --destination-port-range 15150

8. peer-pods 터널을 설정합니다. 다음 명령을 실행합니다.

   $ az network nsg rule create \
     --resource-group $AZURE_RESOURCE_GROUP \
     --nsg-name $AZURE_NSG_NAME \
     --name Allow-VXLAN-Internal \
     --access Allow \
     --protocol Tcp \
     --direction Inbound \
     --priority 111 \
     --source-address-prefixes $AZURE_SUBNET_PREFIX \
     --source-port-range "*" \
     --destination-address-prefixes $AZURE_SUBNET_PREFIX  \
     --destination-port-range 9000