홈
제품
OpenShift Sandboxed Containers
1.9
사용자 가이드
4.4. 명령줄을 사용하여 OpenShift 샌드박스 컨테이너 배포

4.4. 명령줄을 사용하여 OpenShift 샌드박스 컨테이너 배포

CLI(명령줄 인터페이스)를 사용하여 다음 작업을 수행하여 Azure에 OpenShift 샌드박스 컨테이너를 배포할 수 있습니다.

OpenShift 샌드박스 컨테이너 Operator를 설치합니다.
선택 사항: 각 작업자 노드에서 실행되는 가상 머신 수를 변경합니다.
선택 사항: OpenShift 샌드박스 컨테이너 Operator와 함께 설치된 Cloud Credential Operator를 설치 제거한 경우 피어 Pod 시크릿을 생성합니다.
선택 사항: 사용자 정의 Pod VM 이미지를 선택합니다.
피어 Pod 구성 맵을 생성합니다.
선택 사항: Azure 시크릿을 생성합니다.
선택 사항: Kata 에이전트 정책을 사용자 지정합니다.
KataConfig 사용자 지정 리소스를 생성합니다.
OpenShift 샌드박스 컨테이너 워크로드 오브젝트를 구성합니다.

4.4.1. OpenShift 샌드박스 컨테이너 Operator 설치

CLI를 사용하여 OpenShift 샌드박스 컨테이너 Operator를 설치할 수 있습니다.

사전 요구 사항

OpenShift CLI(oc)가 설치되어 있습니다.
cluster-admin 역할의 사용자로 클러스터에 액세스할 수 있어야 합니다.

프로세스

osc-namespace.yaml 매니페스트 파일을 생성합니다.

Copy to Clipboard Toggle word wrap

apiVersion: v1
kind: Namespace
metadata:
  name: openshift-sandboxed-containers-operator

apiVersion: v1
kind: Namespace
metadata:
  name: openshift-sandboxed-containers-operator

다음 명령을 실행하여 네임스페이스를 생성합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
oc apply -f osc-namespace.yaml
```
```
$ oc apply -f osc-namespace.yaml
```

osc-operatorgroup.yaml 매니페스트 파일을 생성합니다.

Copy to Clipboard Toggle word wrap

apiVersion: operators.coreos.com/v1
kind: OperatorGroup
metadata:
  name: sandboxed-containers-operator-group
  namespace: openshift-sandboxed-containers-operator
spec:
  targetNamespaces:
  - openshift-sandboxed-containers-operator

apiVersion: operators.coreos.com/v1
kind: OperatorGroup
metadata:
  name: sandboxed-containers-operator-group
  namespace: openshift-sandboxed-containers-operator
spec:
  targetNamespaces:
  - openshift-sandboxed-containers-operator

다음 명령을 실행하여 operator 그룹을 생성합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
oc apply -f osc-operatorgroup.yaml
```
```
$ oc apply -f osc-operatorgroup.yaml
```

osc-subscription.yaml 매니페스트 파일을 생성합니다.

Copy to Clipboard Toggle word wrap

apiVersion: operators.coreos.com/v1alpha1
kind: Subscription
metadata:
  name: sandboxed-containers-operator
  namespace: openshift-sandboxed-containers-operator
spec:
  channel: stable
  installPlanApproval: Automatic
  name: sandboxed-containers-operator
  source: redhat-operators
  sourceNamespace: openshift-marketplace
  startingCSV: sandboxed-containers-operator.v1.9.0

apiVersion: operators.coreos.com/v1alpha1
kind: Subscription
metadata:
  name: sandboxed-containers-operator
  namespace: openshift-sandboxed-containers-operator
spec:
  channel: stable
  installPlanApproval: Automatic
  name: sandboxed-containers-operator
  source: redhat-operators
  sourceNamespace: openshift-marketplace
  startingCSV: sandboxed-containers-operator.v1.9.0

다음 명령을 실행하여 서브스크립션을 생성합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
oc apply -f osc-subscription.yaml
```
```
$ oc apply -f osc-subscription.yaml
```
다음 명령을 실행하여 Operator가 올바르게 설치되었는지 확인합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
oc get csv -n openshift-sandboxed-containers-operator
```
```
$ oc get csv -n openshift-sandboxed-containers-operator
```
이 명령을 완료하는 데 몇 분이 걸릴 수 있습니다.

다음 명령을 실행하여 프로세스를 확인합니다.

Copy to Clipboard Toggle word wrap

watch oc get csv -n openshift-sandboxed-containers-operator

$ watch oc get csv -n openshift-sandboxed-containers-operator

출력 예

Copy to Clipboard Toggle word wrap

NAME                             DISPLAY                                  VERSION             REPLACES                   PHASE
openshift-sandboxed-containers   openshift-sandboxed-containers-operator  1.9.0    1.8.1        Succeeded

NAME                             DISPLAY                                  VERSION             REPLACES                   PHASE
openshift-sandboxed-containers   openshift-sandboxed-containers-operator  1.9.0    1.8.1        Succeeded

추가 리소스

제한된 네트워크에서 Operator Lifecycle Manager 사용
연결이 끊긴 환경에 대한 Operator Lifecycle Manager에서 프록시 지원 구성.

4.4.2. 피어 Pod 보안 생성

피어 Pod 보안이 비어 있고 CCO(Cloud Credential Operator)가 설치되면 OpenShift 샌드박스 컨테이너 Operator는 CCO를 사용하여 시크릿을 검색합니다. CCO를 설치 제거한 경우 OpenShift 샌드박스 컨테이너의 피어 Pod 시크릿을 수동으로 생성해야 합니다. 그렇지 않으면 피어 Pod가 작동하지 않습니다.

시크릿은 Pod VM(가상 머신) 이미지 및 피어 Pod 인스턴스를 생성하기 위한 인증 정보를 저장합니다.

기본적으로 OpenShift 샌드박스 컨테이너 Operator는 클러스터를 생성하는 데 사용되는 인증 정보를 기반으로 보안을 생성합니다. 그러나 다른 인증 정보를 사용하는 보안을 수동으로 생성할 수 있습니다.

사전 요구 사항

Azure CLI 도구를 설치하고 구성했습니다.

프로세스

다음 명령을 실행하여 Azure 서브스크립션 ID를 검색합니다.

Copy to Clipboard Toggle word wrap

AZURE_SUBSCRIPTION_ID=$(az account list --query "[?isDefault].id" \
  -o tsv) && echo "AZURE_SUBSCRIPTION_ID: \"$AZURE_SUBSCRIPTION_ID\""

$ AZURE_SUBSCRIPTION_ID=$(az account list --query "[?isDefault].id" \
  -o tsv) && echo "AZURE_SUBSCRIPTION_ID: \"$AZURE_SUBSCRIPTION_ID\""

다음 명령을 실행하여 RBAC 콘텐츠를 생성합니다.

Copy to Clipboard Toggle word wrap

az ad sp create-for-rbac --role Contributor --scopes /subscriptions/$AZURE_SUBSCRIPTION_ID \
  --query "{ client_id: appId, client_secret: password, tenant_id: tenant }"

$ az ad sp create-for-rbac --role Contributor --scopes /subscriptions/$AZURE_SUBSCRIPTION_ID \
  --query "{ client_id: appId, client_secret: password, tenant_id: tenant }"

출력 예

Copy to Clipboard Toggle word wrap

{
  "client_id": `AZURE_CLIENT_ID`,
  "client_secret": `AZURE_CLIENT_SECRET`,
  "tenant_id": `AZURE_TENANT_ID`
}

{
  "client_id": `AZURE_CLIENT_ID`,
  "client_secret": `AZURE_CLIENT_SECRET`,
  "tenant_id": `AZURE_TENANT_ID`
}

보안 오브젝트에 사용할 RBAC 출력을 기록합니다.

다음 예에 따라 peer-pods-secret.yaml 매니페스트 파일을 생성합니다.

Copy to Clipboard Toggle word wrap

apiVersion: v1
kind: Secret
metadata:
  name: peer-pods-secret
  namespace: openshift-sandboxed-containers-operator
type: Opaque
stringData:
  AZURE_CLIENT_ID: "<azure_client_id>" 
  AZURE_CLIENT_SECRET: "<azure_client_secret>" 
  AZURE_TENANT_ID: "<azure_tenant_id>" 
  AZURE_SUBSCRIPTION_ID: "<azure_subscription_id>"

apiVersion: v1
kind: Secret
metadata:
  name: peer-pods-secret
  namespace: openshift-sandboxed-containers-operator
type: Opaque
stringData:
  AZURE_CLIENT_ID: "<azure_client_id>"


  AZURE_CLIENT_SECRET: "<azure_client_secret>"


  AZURE_TENANT_ID: "<azure_tenant_id>"


  AZURE_SUBSCRIPTION_ID: "<azure_subscription_id>"

1: AZURE_CLIENT_ID 값을 지정합니다.
2: AZURE_CLIENT_SECRET 값을 지정합니다.
3: AZURE_TENANT_ID 값을 지정합니다.
4: AZURE_SUBSCRIPTION_ID 값을 지정합니다.

다음 명령을 실행하여 시크릿을 생성합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
oc apply -f peer-pods-secret.yaml
```
```
$ oc apply -f peer-pods-secret.yaml
```

4.4.3. 피어 Pod 구성 맵 생성

OpenShift 샌드박스 컨테이너에 대한 피어 Pod 구성 맵을 생성해야 합니다.

프로세스

Azure 인스턴스에서 다음 값을 가져옵니다.

Azure 리소스 그룹을 검색하고 기록합니다.

Copy to Clipboard Toggle word wrap

AZURE_RESOURCE_GROUP=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.azure.resourceGroupName}') && echo "AZURE_RESOURCE_GROUP: \"$AZURE_RESOURCE_GROUP\""

$ AZURE_RESOURCE_GROUP=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.azure.resourceGroupName}') && echo "AZURE_RESOURCE_GROUP: \"$AZURE_RESOURCE_GROUP\""

Azure VNet 이름을 검색하고 기록합니다.

Copy to Clipboard Toggle word wrap

AZURE_VNET_NAME=$(az network vnet list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Name:name}" --output tsv)

$ AZURE_VNET_NAME=$(az network vnet list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Name:name}" --output tsv)

이 값은 Azure 서브넷 ID를 검색하는 데 사용됩니다.

Azure 서브넷 ID를 검색하고 기록합니다.

Copy to Clipboard Toggle word wrap

AZURE_SUBNET_ID=$(az network vnet subnet list --resource-group ${AZURE_RESOURCE_GROUP} --vnet-name $AZURE_VNET_NAME --query "[].{Id:id} | [? contains(Id, 'worker')]" --output tsv) && echo "AZURE_SUBNET_ID: \"$AZURE_SUBNET_ID\""

$ AZURE_SUBNET_ID=$(az network vnet subnet list --resource-group ${AZURE_RESOURCE_GROUP} --vnet-name $AZURE_VNET_NAME --query "[].{Id:id} | [? contains(Id, 'worker')]" --output tsv) && echo "AZURE_SUBNET_ID: \"$AZURE_SUBNET_ID\""

Azure NSS(Network Security Group) ID를 검색하고 기록합니다.

Copy to Clipboard Toggle word wrap

AZURE_NSG_ID=$(az network nsg list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Id:id}" --output tsv) && echo "AZURE_NSG_ID: \"$AZURE_NSG_ID\""

$ AZURE_NSG_ID=$(az network nsg list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Id:id}" --output tsv) && echo "AZURE_NSG_ID: \"$AZURE_NSG_ID\""

Azure 리전을 검색하고 기록합니다.

Copy to Clipboard Toggle word wrap

AZURE_REGION=$(az group show --resource-group ${AZURE_RESOURCE_GROUP} --query "{Location:location}" --output tsv) && echo "AZURE_REGION: \"$AZURE_REGION\""

$ AZURE_REGION=$(az group show --resource-group ${AZURE_RESOURCE_GROUP} --query "{Location:location}" --output tsv) && echo "AZURE_REGION: \"$AZURE_REGION\""

다음 예에 따라 peer-pods-cm.yaml 매니페스트 파일을 생성합니다.

Copy to Clipboard Toggle word wrap

apiVersion: v1
kind: ConfigMap
metadata:
  name: peer-pods-cm
  namespace: openshift-sandboxed-containers-operator
data:
  CLOUD_PROVIDER: "azure"
  VXLAN_PORT: "9000"
  AZURE_INSTANCE_SIZE: "Standard_B2als_v2" 
  AZURE_INSTANCE_SIZES: "Standard_B2als_v2,Standard_D2as_v5,Standard_D4as_v5,Standard_D2ads_v5" 
  AZURE_SUBNET_ID: "<azure_subnet_id>" 
  AZURE_NSG_ID: "<azure_nsg_id>" 
  PROXY_TIMEOUT: "5m"
  AZURE_IMAGE_ID: "<azure_image_id>" 
  AZURE_REGION: "<azure_region>" 
  AZURE_RESOURCE_GROUP: "<azure_resource_group>" 
  PEERPODS_LIMIT_PER_NODE: "10" 
  TAGS: "key1=value1,key2=value2" 
  DISABLECVM: "true"

apiVersion: v1
kind: ConfigMap
metadata:
  name: peer-pods-cm
  namespace: openshift-sandboxed-containers-operator
data:
  CLOUD_PROVIDER: "azure"
  VXLAN_PORT: "9000"
  AZURE_INSTANCE_SIZE: "Standard_B2als_v2"


  AZURE_INSTANCE_SIZES: "Standard_B2als_v2,Standard_D2as_v5,Standard_D4as_v5,Standard_D2ads_v5"


  AZURE_SUBNET_ID: "<azure_subnet_id>"


  AZURE_NSG_ID: "<azure_nsg_id>"


  PROXY_TIMEOUT: "5m"
  AZURE_IMAGE_ID: "<azure_image_id>"


  AZURE_REGION: "<azure_region>"


  AZURE_RESOURCE_GROUP: "<azure_resource_group>"


  PEERPODS_LIMIT_PER_NODE: "10"


  TAGS: "key1=value1,key2=value2"


  DISABLECVM: "true"

1: "Standard_B2als_v2" 인스턴스 크기는 워크로드에 인스턴스 크기가 정의되지 않은 경우 기본값입니다.
2: Pod를 생성할 때 지정할 수 있는 모든 인스턴스 크기를 나열합니다. 이를 통해 더 적은 메모리와 더 적은 CPU 또는 대규모 워크로드의 인스턴스 크기가 필요한 워크로드에 대해 더 작은 인스턴스 크기를 정의할 수 있습니다.
3: 검색한 AZURE_SUBNET_ID 값을 지정합니다.
4: 검색한 AZURE_NSG_ID 값을 지정합니다.
5: 선택 사항: 기본적으로 클러스터 인증 정보를 기반으로 Azure 이미지 ID를 사용하여 KataConfig CR을 실행할 때 이 값이 채워집니다. 자체 Azure 이미지를 생성하는 경우 올바른 이미지 ID를 지정합니다.
6: 검색한 AZURE_REGION 값을 지정합니다.
7: 검색한 AZURE_RESOURCE_GROUP 값을 지정합니다.
8: 노드당 생성할 수 있는 최대 피어 Pod 수를 지정합니다. 기본값은 10 입니다.
9: 사용자 정의 태그를 Pod VM 인스턴스의 키:값 쌍으로 구성하여 피어 Pod 비용을 추적하거나 다른 클러스터에서 피어 Pod를 식별할 수 있습니다.

다음 명령을 실행하여 구성 맵을 생성합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
oc apply -f peer-pods-cm.yaml
```
```
$ oc apply -f peer-pods-cm.yaml
```

4.4.4. 사용자 정의 피어 Pod VM 이미지 선택

Pod 매니페스트에 주석을 추가하여 워크로드 요구 사항에 맞게 사용자 정의 피어 Pod 가상 머신(VM) 이미지를 선택할 수 있습니다. 사용자 정의 이미지는 피어 Pod 구성 맵에 지정된 기본 이미지를 덮어씁니다.

사전 요구 사항

클라우드 공급자 또는 하이퍼바이저와 호환되는 사용자 정의 Pod VM 이미지의 ID를 사용할 수 있습니다.

프로세스

io.katacontainers.config.hypervisor.image 주석을 추가하여 Pod 매니페스트를 편집하여 pod-manifest.yaml 파일에 저장합니다.

Copy to Clipboard Toggle word wrap

apiVersion: v1
kind: Pod
metadata:
  name: pod-manifest
  annotations:
    io.katacontainers.config.hypervisor.image: "<custom_image_id>" 
spec:
  runtimeClassName: kata-remote 
  containers:
  - name: <example_container> 
    image: registry.access.redhat.com/ubi9/ubi:9.3
    command: ["sleep", "36000"]

apiVersion: v1
kind: Pod
metadata:
  name: pod-manifest
  annotations:
    io.katacontainers.config.hypervisor.image: "<custom_image_id>"


spec:
  runtimeClassName: kata-remote


  containers:
  - name: <example_container>


    image: registry.access.redhat.com/ubi9/ubi:9.3
    command: ["sleep", "36000"]

1: 사용자 정의 피어 Pod 이미지 ID를 지정합니다.
2: runtimeClassName 필드가 kata-remote 로 설정되어 피어 Pod를 생성해야 합니다.
3: 컨테이너 이름을 지정합니다.

다음 명령을 실행하여 Pod를 생성합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
oc apply -f pod-manifest.yaml
```
```
$ oc apply -f pod-manifest.yaml
```

4.4.5. Azure 시크릿 생성

Azure VM(가상 머신) 생성 API에 필요한 SSH 키 시크릿을 생성해야 합니다. Azure에는 SSH 공개 키만 필요합니다. 기밀 컨테이너는 VM에서 SSH를 비활성화하므로 키가 VM에 영향을 미치지 않습니다.

프로세스

다음 명령을 실행하여 SSH 키 쌍을 생성합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
ssh-keygen -f ./id_rsa -N ""
```
```
$ ssh-keygen -f ./id_rsa -N ""
```

다음 명령을 실행하여 Secret 오브젝트를 생성합니다.

Copy to Clipboard Toggle word wrap

oc create secret generic ssh-key-secret \
  -n openshift-sandboxed-containers-operator \
  --from-file=id_rsa.pub=./id_rsa.pub \
  --from-file=id_rsa=./id_rsa

$ oc create secret generic ssh-key-secret \
  -n openshift-sandboxed-containers-operator \
  --from-file=id_rsa.pub=./id_rsa.pub \
  --from-file=id_rsa=./id_rsa

생성한 SSH 키를 삭제합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
shred --remove id_rsa.pub id_rsa
```
```
$ shred --remove id_rsa.pub id_rsa
```

4.4.6. Kata 에이전트 정책 사용자 정의

Kata 에이전트 정책은 Kata 런타임으로 실행되는 Pod에 대한 에이전트 API 요청을 제어하는 보안 메커니즘입니다. Pod VM(가상 시스템) 내에서 Kata 에이전트가 Rego로 작성하고 강제 적용하는 이 정책은 허용 또는 거부되는 작업을 결정합니다.

보안이 중요하지 않은 개발 및 테스트와 같은 특정 사용 사례에 대해 사용자 지정 정책을 사용하여 기본 정책을 덮어쓸 수 있습니다. 예를 들어 컨트롤 플레인을 신뢰할 수 있는 환경에서 실행할 수 있습니다. 다음과 같은 다양한 방법으로 사용자 지정 정책을 적용할 수 있습니다.

Pod VM 이미지에 포함
피어 Pod 구성 맵의 패치 적용.
워크로드 Pod YAML에 주석을 추가합니다.

프로덕션 시스템의 경우 기본 방법은 initdata를 사용하여 Kata 에이전트 정책을 재정의하는 것입니다. 다음 절차에서는 io.katacontainers.config.agent.policy 주석을 사용하는 개별 Pod에 사용자 지정 정책을 적용합니다. 정책은 Base64로 인코딩된 Rego 형식으로 제공됩니다. 이 방법은 Pod VM 이미지를 수정하지 않고 Pod 생성 시 기본 정책을 재정의합니다.

참고

사용자 지정 정책은 기본 정책을 완전히 대체합니다. 특정 API만 수정하려면 전체 정책을 포함하고 관련 규칙을 조정합니다.

프로세스

사용자 지정 정책으로 policy.rego 파일을 생성합니다. 다음 예제는 데모에 exec 및 log 가 활성화된 모든 구성 가능한 API를 보여줍니다.

Copy to Clipboard Toggle word wrap

package agent_policy

import future.keywords.in
import input

default CopyFileRequest := false
default CreateContainerRequest := false
default CreateSandboxRequest := true
default DestroySandboxRequest := true
default ExecProcessRequest := true  # Enabled to allow exec API
default GetOOMEventRequest := true
default GuestDetailsRequest := true
default OnlineCPUMemRequest := true
default PullImageRequest := true
default ReadStreamRequest := true   # Enabled to allow log API
default RemoveContainerRequest := true
default RemoveStaleVirtiofsShareMountsRequest := true
default SignalProcessRequest := true
default StartContainerRequest := true
default StatsContainerRequest := true
default TtyWinResizeRequest := true
default UpdateEphemeralMountsRequest := true
default UpdateInterfaceRequest := true
default UpdateRoutesRequest := true
default WaitProcessRequest := true
default WriteStreamRequest := false

package agent_policy

import future.keywords.in
import input

default CopyFileRequest := false
default CreateContainerRequest := false
default CreateSandboxRequest := true
default DestroySandboxRequest := true
default ExecProcessRequest := true  # Enabled to allow exec API
default GetOOMEventRequest := true
default GuestDetailsRequest := true
default OnlineCPUMemRequest := true
default PullImageRequest := true
default ReadStreamRequest := true   # Enabled to allow log API
default RemoveContainerRequest := true
default RemoveStaleVirtiofsShareMountsRequest := true
default SignalProcessRequest := true
default StartContainerRequest := true
default StatsContainerRequest := true
default TtyWinResizeRequest := true
default UpdateEphemeralMountsRequest := true
default UpdateInterfaceRequest := true
default UpdateRoutesRequest := true
default WaitProcessRequest := true
default WriteStreamRequest := false

이 정책은 exec (ExecProcessRequest) 및 로그 (ReadStreamRequest) API를 활성화합니다. 필요에 따라 정책을 추가로 사용자 지정하도록 true 또는 false 값을 조정합니다.

다음 명령을 실행하여 policy.rego 파일을 Base64 인코딩 문자열로 변환합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
base64 -w0 policy.rego
```
```
$ base64 -w0 policy.rego
```
yaml 파일에 사용할 출력을 저장합니다.

my-pod.yaml Pod 사양 파일에 Base64로 인코딩된 정책을 추가합니다.

Copy to Clipboard Toggle word wrap

apiVersion: v1
kind: Pod
metadata:
  name: <pod_name>
  annotations:
    io.katacontainers.config.agent.policy: <base64_encoded_policy>
spec:
  runtimeClassName: kata-remote
  containers:
  - name: <container_name>
    image: registry.access.redhat.com/ubi9/ubi:latest
    command:
    - sleep
    - "36000"
    securityContext:
      privileged: false
      seccompProfile:
        type: RuntimeDefault

apiVersion: v1
kind: Pod
metadata:
  name: <pod_name>
  annotations:
    io.katacontainers.config.agent.policy: <base64_encoded_policy>
spec:
  runtimeClassName: kata-remote
  containers:
  - name: <container_name>
    image: registry.access.redhat.com/ubi9/ubi:latest
    command:
    - sleep
    - "36000"
    securityContext:
      privileged: false
      seccompProfile:
        type: RuntimeDefault

다음 명령을 실행하여 Pod 매니페스트를 적용합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
oc apply -f my-pod.yaml
```
```
$ oc apply -f my-pod.yaml
```

4.4.7. KataConfig 사용자 지정 리소스 생성

KataConfig CR(사용자 정의 리소스)을 생성하여 작업자 노드에 kata-remote 를 런타임 클래스로 설치해야 합니다.

KataConfig CR을 생성하면 OpenShift 샌드박스 컨테이너 Operator가 다음을 수행합니다.

기본 구성을 사용하여 kata-remote 라는 RuntimeClass CR을 생성합니다. 이를 통해 사용자는 RuntimeClassName 필드에서 CR을 참조하여 kata-remote 를 런타임으로 사용하도록 워크로드를 구성할 수 있습니다. 이 CR은 런타임의 리소스 오버헤드도 지정합니다.

OpenShift 샌드박스 컨테이너는 kata-remote 를 기본 런타임이 아닌 클러스터의 선택적 런타임으로 설치합니다.

중요

KataConfig CR을 생성하면 작업자 노드가 자동으로 재부팅됩니다. 재부팅에는 10분에서 60분 이상 걸릴 수 있습니다. 재부팅 시간을 방해하는 요소는 다음과 같습니다.

더 많은 작업자 노드가 있는 대규모 OpenShift Container Platform 배포
BIOS 및 Cryostat 유틸리티 활성화.
SSD가 아닌 하드 디스크 드라이브에 배포합니다.
가상 노드가 아닌 베어 메탈과 같은 물리적 노드에 배포됩니다.
느린 CPU 및 네트워크입니다.

사전 요구 사항

cluster-admin 역할의 사용자로 클러스터에 액세스할 수 있어야 합니다.

프로세스

다음 예에 따라 example-kataconfig.yaml 매니페스트 파일을 생성합니다.

Copy to Clipboard Toggle word wrap

apiVersion: kataconfiguration.openshift.io/v1
kind: KataConfig
metadata:
  name: example-kataconfig
spec:
  enablePeerPods: true
  logLevel: info
#  kataConfigPoolSelector:
#    matchLabels:
#      <label_key>: '<label_value>'

apiVersion: kataconfiguration.openshift.io/v1
kind: KataConfig
metadata:
  name: example-kataconfig
spec:
  enablePeerPods: true
  logLevel: info
#  kataConfigPoolSelector:
#    matchLabels:
#      <label_key>: '<label_value>'

1: 선택 사항: 노드 레이블을 적용하여 특정 노드에 kata-remote 를 설치한 경우 키와 값(예: osc: 'true' )을 지정합니다.

다음 명령을 실행하여 KataConfig CR을 생성합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
oc apply -f example-kataconfig.yaml
```
```
$ oc apply -f example-kataconfig.yaml
```
새로운 KataConfig CR이 생성되고 작업자 노드에 kata-remote 가 런타임 클래스로 설치됩니다.
설치를 확인하기 전에 kata-remote 설치가 완료되고 작업자 노드가 재부팅될 때까지 기다립니다.
다음 명령을 실행하여 설치 진행 상황을 모니터링합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
watch "oc describe kataconfig | sed -n /^Status:/,/^Events/p"
```
```
$ watch "oc describe kataconfig | sed -n /^Status:/,/^Events/p"
```
kataNodes 아래의 모든 작업자의 상태가 설치되고 이유를 지정하지 않고 InProgress 조건이 False 이면 클러스터에 kata-remote 가 설치됩니다.

다음 명령을 실행하여 데몬 세트를 확인합니다.

Copy to Clipboard Toggle word wrap

oc get -n openshift-sandboxed-containers-operator ds/osc-caa-ds

$ oc get -n openshift-sandboxed-containers-operator ds/osc-caa-ds

다음 명령을 실행하여 런타임 클래스를 확인합니다.

Copy to Clipboard Toggle word wrap

oc get runtimeclass

$ oc get runtimeclass

출력 예

Copy to Clipboard Toggle word wrap

NAME             HANDLER          AGE
kata             kata             152m
kata-remote      kata-remote      152m

NAME             HANDLER          AGE
kata             kata             152m
kata-remote      kata-remote      152m

Pod VM 이미지 확인

클러스터에 kata-remote 가 설치되면 OpenShift 샌드박스 컨테이너 Operator에서 피어 Pod를 생성하는 데 사용되는 Pod VM 이미지를 생성합니다. 이 프로세스는 클라우드 인스턴스에서 이미지가 생성되므로 시간이 오래 걸릴 수 있습니다. 클라우드 공급자에 대해 생성한 구성 맵을 확인하여 Pod VM 이미지가 성공적으로 생성되었는지 확인할 수 있습니다.

프로세스

피어 Pod에 대해 생성한 구성 맵을 가져옵니다.

Copy to Clipboard Toggle word wrap

oc get configmap peer-pods-cm -n openshift-sandboxed-containers-operator -o yaml

$ oc get configmap peer-pods-cm -n openshift-sandboxed-containers-operator -o yaml

YAML 파일의 상태 스탠자를 확인합니다.
AZURE_IMAGE_ID 매개변수가 채워지면 Pod VM 이미지가 성공적으로 생성되었습니다.

문제 해결

다음 명령을 실행하여 이벤트 로그를 검색합니다.

Copy to Clipboard Toggle word wrap

oc get events -n openshift-sandboxed-containers-operator --field-selector involvedObject.name=osc-podvm-image-creation

$ oc get events -n openshift-sandboxed-containers-operator --field-selector involvedObject.name=osc-podvm-image-creation

다음 명령을 실행하여 작업 로그를 검색합니다.

Copy to Clipboard Toggle word wrap

oc logs -n openshift-sandboxed-containers-operator jobs/osc-podvm-image-creation

$ oc logs -n openshift-sandboxed-containers-operator jobs/osc-podvm-image-creation

문제를 해결할 수 없는 경우 Red Hat 지원 케이스를 제출하고 두 로그의 출력을 첨부합니다.

4.4.8. 워크로드 오브젝트 구성

kata-remote 를 다음 pod 템플릿 오브젝트의 런타임 클래스로 설정하여 OpenShift 샌드박스 컨테이너 워크로드 오브젝트를 구성해야 합니다.

Pod 오브젝트
ReplicaSet 오브젝트
ReplicationController 오브젝트
StatefulSet 오브젝트
Deployment 오브젝트
DeploymentConfig 오브젝트

중요

Operator 네임스페이스에 워크로드를 배포하지 마십시오. 이러한 리소스에 대한 전용 네임스페이스를 생성합니다.

YAML 파일에 주석을 추가하여 구성 맵에 정의된 기본 인스턴스 크기를 사용하여 워크로드를 배포해야 하는지 여부를 정의할 수 있습니다.

인스턴스 크기를 수동으로 정의하지 않으려면 사용 가능한 메모리에 따라 자동 인스턴스 크기를 사용하도록 주석을 추가할 수 있습니다.

사전 요구 사항

KataConfig CR(사용자 정의 리소스)을 생성했습니다.

프로세스

다음 예와 같이 spec.runtimeClassName: kata-remote 를 각 pod 템플릿 워크로드 오브젝트의 매니페스트에 추가합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
apiVersion: v1
kind: <object>
# ...
spec:
  runtimeClassName: kata-remote
# ...
```
```
apiVersion: v1
kind: <object>
# ...
spec:
  runtimeClassName: kata-remote
# ...
```
수동으로 정의된 인스턴스 크기 또는 자동 인스턴스 크기를 사용하도록 pod-templated 오브젝트에 주석을 추가합니다.
- 수동으로 정의한 인스턴스 크기를 사용하려면 다음 주석을 추가합니다.
  Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
apiVersion: v1
kind: <object>
metadata:
  annotations:
    io.katacontainers.config.hypervisor.machine_type: "Standard_B2als_v2" 
# ...
```
```
apiVersion: v1
kind: <object>
metadata:
  annotations:
    io.katacontainers.config.hypervisor.machine_type: "Standard_B2als_v2" 
```
  1
```
# ...
```
  1
  구성 맵에서 정의한 인스턴스 크기를 지정합니다.
- 자동 인스턴스 크기를 사용하려면 다음 주석을 추가합니다.
  Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
apiVersion: v1
kind: <Pod>
metadata:
  annotations:
    io.katacontainers.config.hypervisor.default_vcpus: <vcpus>
    io.katacontainers.config.hypervisor.default_memory: <memory>
# ...
```
```
apiVersion: v1
kind: <Pod>
metadata:
  annotations:
    io.katacontainers.config.hypervisor.default_vcpus: <vcpus>
    io.katacontainers.config.hypervisor.default_memory: <memory>
# ...
```
  워크로드에서 사용할 수 있는 메모리 양을 정의합니다. 워크로드는 사용 가능한 메모리 크기에 따라 자동 인스턴스 크기에서 실행됩니다.
다음 명령을 실행하여 워크로드 오브젝트에 변경 사항을 적용합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
```
oc apply -f <object.yaml>
```
```
$ oc apply -f <object.yaml>
```
OpenShift Container Platform은 워크로드 오브젝트를 생성하고 스케줄링을 시작합니다.

검증

pod-templated 오브젝트의 spec.runtimeClassName 필드를 검사합니다. 값이 kata-remote 이면 피어 Pod를 사용하여 OpenShift 샌드박스 컨테이너에서 워크로드가 실행됩니다.

맨 위로 이동

4.4. 명령줄을 사용하여 OpenShift 샌드박스 컨테이너 배포

4.4.1. OpenShift 샌드박스 컨테이너 Operator 설치

4.4.2. 피어 Pod 보안 생성

4.4.3. 피어 Pod 구성 맵 생성

4.4.4. 사용자 정의 피어 Pod VM 이미지 선택

4.4.5. Azure 시크릿 생성

4.4.6. Kata 에이전트 정책 사용자 정의

4.4.7. KataConfig 사용자 지정 리소스 생성

Pod VM 이미지 확인

4.4.8. 워크로드 오브젝트 구성

자세한 정보

평가판, 구매 및 판매

커뮤니티

Red Hat 문서 정보

보다 포괄적 수용을 위한 오픈 소스 용어 교체

Red Hat 소개

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links