5.3. 명령줄을 사용하여 OpenShift 샌드박스 컨테이너 배포

프로세스

1. osc-namespace.yaml 매니페스트 파일을 생성합니다.

   apiVersion: v1
   kind: Namespace
   metadata:
     name: openshift-sandboxed-containers-operator

   Copy to Clipboard

2. 다음 명령을 실행하여 네임스페이스를 생성합니다.

   $ oc apply -f osc-namespace.yaml

   Copy to Clipboard

3. osc-operatorgroup.yaml 매니페스트 파일을 생성합니다.

   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: sandboxed-containers-operator-group
     namespace: openshift-sandboxed-containers-operator
   spec:
     targetNamespaces:
     - openshift-sandboxed-containers-operator

   Copy to Clipboard

4. 다음 명령을 실행하여 operator 그룹을 생성합니다.

   $ oc apply -f osc-operatorgroup.yaml

   Copy to Clipboard

5. osc-subscription.yaml 매니페스트 파일을 생성합니다.

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: sandboxed-containers-operator
     namespace: openshift-sandboxed-containers-operator
   spec:
     channel: stable
     installPlanApproval: Automatic
     name: sandboxed-containers-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: sandboxed-containers-operator.v1.9.0

   Copy to Clipboard

6. 다음 명령을 실행하여 서브스크립션을 생성합니다.

   $ oc apply -f osc-subscription.yaml

   Copy to Clipboard

7. 다음 명령을 실행하여 Operator가 올바르게 설치되었는지 확인합니다.

   $ oc get csv -n openshift-sandboxed-containers-operator

   Copy to Clipboard

   이 명령을 완료하는 데 몇 분이 걸릴 수 있습니다.

8. 다음 명령을 실행하여 프로세스를 확인합니다.

   $ watch oc get csv -n openshift-sandboxed-containers-operator

   Copy to Clipboard

   출력 예

   NAME                             DISPLAY                                  VERSION             REPLACES                   PHASE
   openshift-sandboxed-containers   openshift-sandboxed-containers-operator  1.9.0    1.8.1        Succeeded

   Copy to Clipboard

프로세스

1. 다음 명령을 실행하여 프로젝트 ID 변수를 설정합니다.

   $ export GCP_PROJECT_ID="<project_id>"

   Copy to Clipboard

2. 다음 명령을 실행하여 Google Cloud에 로그인합니다.

   $ gcloud auth login

   Copy to Clipboard

3. 다음 명령을 실행하여 Google Cloud 프로젝트 ID를 설정합니다.

   $ gcloud config set project ${GCP_PROJECT_ID}

   Copy to Clipboard

4. 다음 명령을 실행하여 포트 15150을 엽니다.

   $ gcloud compute firewall-rules create allow-port-15150-restricted \
      --project=${GCP_PROJECT_ID} \
      --network=default \
      --allow=tcp:15150 \
      --source-ranges=<external_ip_cidr-1>[,<external_ip_cidr-2>,...] 

   1

   Copy to Clipboard

   1

   하나 이상의 IP 주소 또는 범위를 쉼표로 구분하여 CIDR 형식으로 지정합니다. 예: 203.0.113.5/32,198.51.100.0/24.

프로세스

1. 다음 명령을 실행하여 Google Cloud 서비스 계정 키를 생성하고 JSON 파일로 저장합니다.

   $ gcloud iam service-accounts keys create <key_filename>.json \
     --iam-account=<service_account_email_address>

   Copy to Clipboard

2. 다음 명령을 실행하여 JSON 파일을 한 줄 문자열로 변환합니다.

   $ cat <key_file>.json | jq -c .

   Copy to Clipboard

3. 다음 예에 따라 peer-pods-secret.yaml 매니페스트 파일을 생성합니다.

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     GCP_CREDENTIALS: "<gc_service_account_key_json>" 

   1

   Copy to Clipboard

   1

   을 Google Cloud 서비스 계정 키 JSON 파일에서 생성한 단일 줄 문자열로 바꿉니다 .

4. 다음 명령을 실행하여 시크릿을 생성합니다.

   $ oc apply -f peer-pods-secret.yaml

   Copy to Clipboard

프로세스

1. Compute Engine 인스턴스에 로그인하여 다음 환경 변수를 설정합니다.

   1. 다음 명령을 실행하여 프로젝트 ID를 가져옵니다.

      $ GCP_PROJECT_ID=$(gcloud config get-value project)

      Copy to Clipboard

   2. 다음 명령을 실행하여 영역을 가져옵니다.

      $ GCP_ZONE=$(gcloud config get-value compute/zone)

      Copy to Clipboard

   3. 다음 명령을 실행하여 네트워크 이름 목록을 검색합니다.

      $ gcloud compute networks list --format="value(name)"

      Copy to Clipboard

   4. 다음 명령을 실행하여 네트워크를 지정합니다.

      $ GCP_NETWORK=<network_name> 

      1

      Copy to Clipboard

      1

      & lt;network_name >을 네트워크 이름으로 바꿉니다.

2. 다음 예에 따라 peer-pods-cm.yaml 매니페스트 파일을 생성합니다.

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "gcp"
     PROXY_TIMEOUT: "5m"
     GCP_PROJECT_ID: "<gcp_project_id>" 

   1

   
     GCP_ZONE: "<gcp_zone>" 

   2

   
     GCP_MACHINE_TYPE: "e2-medium" 

   3

   
     GCP_NETWORK: "<gcp_network>" 

   4

   
     PEERPODS_LIMIT_PER_NODE: "10" 

   5

   
     TAGS: "key1=value1,key2=value2" 

   6

   
     DISABLECVM: "true"

   Copy to Clipboard

   1

   사용할 프로젝트 ID를 지정합니다.

   2

   검색한 GCP_ZONE 값을 지정합니다. 이 영역은 워크로드를 실행합니다.

   3

   워크로드 요구 사항과 일치하는 머신 유형을 지정합니다.

   4

   검색한 GCP_NETWORK 값을 지정합니다.

   5

   노드당 생성할 수 있는 최대 피어 Pod 수를 지정합니다. 기본값은 10 입니다.

   6

   사용자 정의 태그를 Pod VM 인스턴스의 키:값 쌍으로 구성하여 피어 Pod 비용을 추적하거나 다른 클러스터에서 피어 Pod를 식별할 수 있습니다.

3. 다음 명령을 실행하여 구성 맵을 생성합니다.

   $ oc apply -f peer-pods-cm.yaml

   Copy to Clipboard

프로세스

1. 다음 명령을 실행하여 OpenShift 샌드박스 컨테이너 리포지토리를 복제합니다.

   $ git clone https://github.com/openshift/sandboxed-containers-operator.git

   Copy to Clipboard

2. 다음 명령을 실행하여 샌드박스-containers-operator/config/peerpods/podvm/bootc 로 이동합니다.

   $ cd sandboxed-containers-operator/config/peerpods/podvm/bootc

   Copy to Clipboard

3. 다음 명령을 실행하여 registry.redhat.io 에 로그인합니다.

   $ podman login registry.redhat.io

   Copy to Clipboard

   podman 빌드 프로세스에서 레지스트리에서 호스팅되는 Containerfile.rhel 컨테이너 이미지에 액세스해야 하므로 registry.redhat.io 에 로그인해야 합니다.

4. 다음 명령을 실행하여 컨테이너 레지스트리의 이미지 경로를 설정합니다.

   $ IMG="<container_registry_url>/<username>/podvm-bootc:latest"

   Copy to Clipboard

5. 다음 명령을 실행하여 Pod VM bootc 이미지를 빌드합니다.

   $ podman build -t ${IMG} -f Containerfile.rhel .

   Copy to Clipboard

6. 다음 명령을 실행하여 컨테이너 레지스트리에 로그인합니다.

   $ podman login <container_registry_url>

   Copy to Clipboard

7. 다음 명령을 실행하여 컨테이너 레지스트리로 이미지를 푸시합니다.

   $ podman push ${IMG}

   Copy to Clipboard

   테스트 및 개발을 위해 이미지를 공용으로 만들 수 있습니다.

8. 다음 명령을 실행하여 podvm-bootc 이미지를 확인합니다.

   $ podman images

   Copy to Clipboard

   출력 예

   REPOSITORY                               TAG     IMAGE ID      CREATED         SIZE
   example.com/example_user/podvm-bootc     latest  88ddab975a07  2 seconds ago   1.82 GB

   Copy to Clipboard

프로세스

1. 다음 콘텐츠를 사용하여 gc-podvm-image-cm.yaml 이라는 Pod VM 이미지에 대한 구성 맵 매니페스트를 생성합니다.

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: gc-podvm-image-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     IMAGE_TYPE: pre-built
     PODVM_IMAGE_URI: <container_registry_url>/<username>/podvm-bootc:latest
     IMAGE_BASE_NAME: "podvm-image"
     IMAGE_VERSION: "0-0-0"
   
     INSTALL_PACKAGES: "no"
     DISABLE_CLOUD_CONFIG: "true"
     UPDATE_PEERPODS_CM: "yes"
     BOOT_FIPS: "no"
   
     BOOTC_BUILD_CONFIG: |
       [[customizations.user]]
       name = "peerpod"
       password = "peerpod"
       groups = ["wheel", "root"]
   
       [[customizations.filesystem]]
       mountpoint = "/"
       minsize = "5 GiB"
   
       [[customizations.filesystem]]
       mountpoint = "/var/kata-containers"
       minsize = "15 GiB"

   Copy to Clipboard

2. 다음 명령을 실행하여 구성 맵을 생성합니다.

   $ oc apply -f gc-podvm-image-cm.yaml

   Copy to Clipboard

프로세스

1. 사용자 지정 정책으로 policy.rego 파일을 생성합니다. 다음 예제는 데모에 exec 및 log 가 활성화된 모든 구성 가능한 API를 보여줍니다.

   package agent_policy
   
   import future.keywords.in
   import input
   
   default CopyFileRequest := false
   default CreateContainerRequest := false
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true  # Enabled to allow exec API
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default OnlineCPUMemRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := true   # Enabled to allow log API
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StatsContainerRequest := true
   default TtyWinResizeRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := false

   Copy to Clipboard

   이 정책은 exec (ExecProcessRequest) 및 로그 (ReadStreamRequest) API를 활성화합니다. 필요에 따라 정책을 추가로 사용자 지정하도록 true 또는 false 값을 조정합니다.

2. 다음 명령을 실행하여 policy.rego 파일을 Base64 인코딩 문자열로 변환합니다.

   $ base64 -w0 policy.rego

   Copy to Clipboard

   yaml 파일에 사용할 출력을 저장합니다.

3. my-pod.yaml Pod 사양 파일에 Base64로 인코딩된 정책을 추가합니다.

   apiVersion: v1
   kind: Pod
   metadata:
     name: <pod_name>
     annotations:
       io.katacontainers.config.agent.policy: <base64_encoded_policy>
   spec:
     runtimeClassName: kata-remote
     containers:
     - name: <container_name>
       image: registry.access.redhat.com/ubi9/ubi:latest
       command:
       - sleep
       - "36000"
       securityContext:
         privileged: false
         seccompProfile:
           type: RuntimeDefault

   Copy to Clipboard

4. 다음 명령을 실행하여 Pod 매니페스트를 적용합니다.

   $ oc apply -f my-pod.yaml

   Copy to Clipboard

프로세스

1. 다음 예에 따라 example-kataconfig.yaml 매니페스트 파일을 생성합니다.

   apiVersion: kataconfiguration.openshift.io/v1
   kind: KataConfig
   metadata:
     name: example-kataconfig
   spec:
     enablePeerPods: true
     logLevel: info
   #  kataConfigPoolSelector:
   #    matchLabels:
   #      <label_key>: '<label_value>' 

   1

   Copy to Clipboard

   1

   선택 사항: 노드 레이블을 적용하여 특정 노드에 kata-remote 를 설치한 경우 키와 값(예: osc: 'true' )을 지정합니다.

2. 다음 명령을 실행하여 KataConfig CR을 생성합니다.

   $ oc apply -f example-kataconfig.yaml

   Copy to Clipboard

   새로운 KataConfig CR이 생성되고 작업자 노드에 kata-remote 가 런타임 클래스로 설치됩니다.

   설치를 확인하기 전에 kata-remote 설치가 완료되고 작업자 노드가 재부팅될 때까지 기다립니다.

3. 다음 명령을 실행하여 설치 진행 상황을 모니터링합니다.

   $ watch "oc describe kataconfig | sed -n /^Status:/,/^Events/p"

   Copy to Clipboard

   kataNodes 아래의 모든 작업자의 상태가 설치되고 이유를 지정하지 않고 InProgress 조건이 False 이면 클러스터에 kata-remote 가 설치됩니다.

4. 다음 명령을 실행하여 데몬 세트를 확인합니다.

   $ oc get -n openshift-sandboxed-containers-operator ds/osc-caa-ds

   Copy to Clipboard

5. 다음 명령을 실행하여 런타임 클래스를 확인합니다.

   $ oc get runtimeclass

   Copy to Clipboard

   출력 예

   NAME             HANDLER          AGE
   kata             kata             152m
   kata-remote      kata-remote      152m

   Copy to Clipboard

프로세스

1. 피어 Pod에 대해 생성한 구성 맵을 가져옵니다.

   $ oc get configmap peer-pods-cm -n openshift-sandboxed-containers-operator -o yaml

   Copy to Clipboard

2. YAML 파일의 상태 스탠자를 확인합니다.

   PODVM_IMAGE_NAME 매개변수가 채워지면 Pod VM 이미지가 성공적으로 생성됩니다.

문제 해결

1. 다음 명령을 실행하여 이벤트 로그를 검색합니다.

   $ oc get events -n openshift-sandboxed-containers-operator --field-selector involvedObject.name=osc-podvm-image-creation

   Copy to Clipboard

2. 다음 명령을 실행하여 작업 로그를 검색합니다.

   $ oc logs -n openshift-sandboxed-containers-operator jobs/osc-podvm-image-creation

   Copy to Clipboard

프로세스

1. 다음 예와 같이 spec.runtimeClassName: kata-remote 를 각 pod 템플릿 워크로드 오브젝트의 매니페스트에 추가합니다.

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata-remote
   # ...

   Copy to Clipboard

   OpenShift Container Platform은 워크로드 오브젝트를 생성하고 스케줄링을 시작합니다.