8장. IBM Z 및 IBM LinuxONE에 기밀 컨테이너 배포
OpenShift 샌드박스 컨테이너를 배포한 후 IBM Z® 및 IBM® LinuxONE에 기밀 컨테이너를 배포할 수 있습니다.
IBM Z® 및 IBM® LinuxONE의 기밀 컨테이너는 기술 프리뷰 기능 전용입니다. 기술 프리뷰 기능은 Red Hat 프로덕션 서비스 수준 계약(SLA)에서 지원되지 않으며 기능적으로 완전하지 않을 수 있습니다. 따라서 프로덕션 환경에서 사용하는 것은 권장하지 않습니다. 이러한 기능을 사용하면 향후 제품 기능을 조기에 이용할 수 있어 개발 과정에서 고객이 기능을 테스트하고 피드백을 제공할 수 있습니다.
Red Hat 기술 프리뷰 기능의 지원 범위에 대한 자세한 내용은 기술 프리뷰 기능 지원 범위를 참조하십시오.
Red Hat OpenShift Container Platform의 IBM® HPCC(HPCC)가 프로덕션에 준비되어 있습니다. HPCC는 다중 계층 계약, 배포 인증 및 컨테이너 런타임 및 OCI 이미지 무결성의 유효성 검사를 제공하여 엔터프라이즈 규모에서 기밀 컴퓨팅 기술을 사용할 수 있습니다.
HPCC는 IBM Z17® 및 IBM® LinuxONE Emperor 5에서 지원하며 OpenShift 샌드박스 컨테이너 1.9 이상과 호환됩니다. 자세한 내용은 IBM HPCC 설명서 를 참조하십시오.
클러스터 요구 사항
- Confidential Compute attestation Operator를 설치하는 클러스터에 Red Hat OpenShift Container Platform 4.15 이상을 설치했습니다.
LPAR 요구 사항
- LinuxONE Emperor 4가 있습니다.
- IBM Secure Execution에 필요한 논리 파티션(LPAR)에서 Secure Unpack Facility를 활성화했습니다. 자세한 내용은 IBM Secure Execution 용 KVM 호스트 활성화를 참조하십시오.
다음 단계를 수행하여 기밀 컨테이너를 배포합니다.
- Confidential Compute attestation Operator를 설치합니다.
- Trustee의 경로를 만듭니다.
- 기밀성 컨테이너 기능 게이트를 활성화합니다.
- initdata를 생성합니다.
- 피어 Pod 구성 맵을 업데이트합니다.
- 선택 사항: Kata 에이전트 정책을 사용자 지정합니다.
-
KataConfigCR(사용자 정의 리소스)을 삭제합니다. - 피어 Pod 시크릿을 업데이트합니다.
- 선택 사항: 사용자 정의 피어 Pod VM 이미지를 선택합니다.
-
KataConfigCR을 다시 만듭니다. - Trustee 인증 시크릿을 생성합니다.
- Trustee 구성 맵을 생성합니다.
- IBM Secure Execution (SE) 헤더를 가져옵니다.
- SE 인증서 및 키를 구성합니다.
- 영구 스토리지 구성 요소를 생성합니다.
- Trustee 값, 정책 및 시크릿을 구성합니다.
-
KbsConfigCR을 생성합니다. - Trustee 구성을 확인합니다.
- 인증 프로세스를 확인합니다.
8.1. 기밀 컴퓨팅 인증 Operator 설치 링크 복사링크가 클립보드에 복사되었습니다!
CLI를 사용하여 IBM Z® 및 IBM® LinuxONE에 Confidential Compute attestation Operator를 설치할 수 있습니다.
사전 요구 사항
-
OpenShift CLI(
oc)가 설치되어 있습니다. -
cluster-admin역할의 사용자로 클러스터에 액세스할 수 있어야 합니다.
프로세스
trustee-namespace.yaml매니페스트 파일을 생성합니다.apiVersion: v1 kind: Namespace metadata: name: trustee-operator-system
apiVersion: v1 kind: Namespace metadata: name: trustee-operator-systemCopy to Clipboard Copied! Toggle word wrap Toggle overflow 다음 명령을 실행하여
trustee-operator-system네임스페이스를 생성합니다.oc apply -f trustee-namespace.yaml
$ oc apply -f trustee-namespace.yamlCopy to Clipboard Copied! Toggle word wrap Toggle overflow trustee-operatorgroup.yaml매니페스트 파일을 생성합니다.Copy to Clipboard Copied! Toggle word wrap Toggle overflow 다음 명령을 실행하여 operator 그룹을 생성합니다.
oc apply -f trustee-operatorgroup.yaml
$ oc apply -f trustee-operatorgroup.yamlCopy to Clipboard Copied! Toggle word wrap Toggle overflow trustee-subscription.yaml매니페스트 파일을 생성합니다.Copy to Clipboard Copied! Toggle word wrap Toggle overflow 다음 명령을 실행하여 서브스크립션을 생성합니다.
oc apply -f trustee-subscription.yaml
$ oc apply -f trustee-subscription.yamlCopy to Clipboard Copied! Toggle word wrap Toggle overflow 다음 명령을 실행하여 Operator가 올바르게 설치되었는지 확인합니다.
oc get csv -n trustee-operator-system
$ oc get csv -n trustee-operator-systemCopy to Clipboard Copied! Toggle word wrap Toggle overflow 이 명령을 완료하는 데 몇 분이 걸릴 수 있습니다.
다음 명령을 실행하여 프로세스를 확인합니다.
watch oc get csv -n trustee-operator-system
$ watch oc get csv -n trustee-operator-systemCopy to Clipboard Copied! Toggle word wrap Toggle overflow 출력 예
NAME DISPLAY PHASE trustee-operator.v0.3.0 Trustee Operator 0.3.0 Succeeded
NAME DISPLAY PHASE trustee-operator.v0.3.0 Trustee Operator 0.3.0 SucceededCopy to Clipboard Copied! Toggle word wrap Toggle overflow