5.2. 웹 콘솔을 사용하여 OpenShift 샌드박스 컨테이너 배포

프로세스

1. 웹 콘솔에서 Operator OperatorHub 로 이동합니다.
2. 키워드로 필터링 필드에 OpenShift sandboxed containers를 입력합니다.
3. OpenShift 샌드박스 컨테이너 Operator 타일을 선택하고 설치를 클릭합니다.
4. Operator 설치 페이지의 사용 가능한 업데이트 채널 옵션 목록에서 stable 을 선택합니다.

5. 설치된 네임스페이스 용으로 Operator 권장 네임스페이스 가 선택되어 있는지 확인합니다. 이렇게 하면 필수 openshift-sandboxed-containers-operator 네임스페이스에 Operator가 설치됩니다. 이 네임스페이스가 아직 존재하지 않으면 자동으로 생성됩니다.

   참고

   openshift-sandboxed-containers-operator 이외의 네임스페이스에 OpenShift 샌드박스 컨테이너 Operator를 설치하려고 하면 설치가 실패합니다.

6. 승인 전략에 대해 자동 이 선택되어 있는지 확인합니다. Automatic 은 기본값이며 새 z-stream 릴리스를 사용할 수 있을 때 OpenShift 샌드박스 컨테이너에 대한 자동 업데이트를 활성화합니다.
7. 설치를 클릭합니다.
8. Operator 설치된 Operator 로 이동하여 Operator가 설치되었는지 확인합니다.

프로세스

1. 다음 명령을 실행하여 프로젝트 ID 변수를 설정합니다.

   Copy to Clipboard Toggle word wrap

   $ export GCP_PROJECT_ID="<project_id>"

2. 다음 명령을 실행하여 Google Cloud에 로그인합니다.

   Copy to Clipboard Toggle word wrap

   $ gcloud auth login

3. 다음 명령을 실행하여 Google Cloud 프로젝트 ID를 설정합니다.

   Copy to Clipboard Toggle word wrap

   $ gcloud config set project ${GCP_PROJECT_ID}

4. 다음 명령을 실행하여 포트 15150을 엽니다.

   Copy to Clipboard Toggle word wrap

   $ gcloud compute firewall-rules create allow-port-15150-restricted \
      --project=${GCP_PROJECT_ID} \
      --network=default \
      --allow=tcp:15150 \
      --source-ranges=<external_ip_cidr-1>[,<external_ip_cidr-2>,...] 

   1

   1

   하나 이상의 IP 주소 또는 범위를 쉼표로 구분하여 CIDR 형식으로 지정합니다. 예: 203.0.113.5/32,198.51.100.0/24.

프로세스

1. Google Cloud 콘솔에서 IAM & Admin Service Accounts Keys 로 이동하여 키를 JSON 파일로 저장합니다.

2. 다음 명령을 실행하여 JSON 파일을 한 줄 문자열로 변환합니다.

   Copy to Clipboard Toggle word wrap

   $ cat <key_file>.json | jq -c .

3. OpenShift Container Platform 웹 콘솔에서 Operator 설치된 Operator로 이동합니다.
4. OpenShift 샌드박스 컨테이너 Operator 타일을 클릭합니다.
5. 오른쪽 상단에 있는 가져오기 아이콘(+)을 클릭합니다.

6. YAML 가져오기 창에서 다음 YAML 매니페스트를 붙여넣습니다.

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     GCP_CREDENTIALS: "<gc_service_account_key_json>" 

   1

   1

   을 Google Cloud 서비스 계정 키 JSON 파일에서 생성한 단일 줄 문자열로 바꿉니다 .

7. 저장을 클릭하여 변경 사항을 적용합니다.
8. 워크로드 시크릿 으로 이동하여 피어 Pod 시크릿을 확인합니다.

프로세스

1. Compute Engine 인스턴스에 로그인하여 다음 환경 변수를 설정합니다.

   1. 다음 명령을 실행하여 프로젝트 ID를 가져옵니다.

      Copy to Clipboard Toggle word wrap

      $ GCP_PROJECT_ID=$(gcloud config get-value project)

   2. 다음 명령을 실행하여 영역을 가져옵니다.

      Copy to Clipboard Toggle word wrap

      $ GCP_ZONE=$(gcloud config get-value compute/zone)

   3. 다음 명령을 실행하여 네트워크 이름 목록을 검색합니다.

      Copy to Clipboard Toggle word wrap

      $ gcloud compute networks list --format="value(name)"

   4. 다음 명령을 실행하여 네트워크를 지정합니다.

      Copy to Clipboard Toggle word wrap

      $ GCP_NETWORK=<network_name> 

      1

      1

      & lt;network_name >을 네트워크 이름으로 바꿉니다.

2. OpenShift Container Platform 웹 콘솔에서 Operator 설치된 Operator로 이동합니다.
3. Operator 목록에서 OpenShift 샌드박스 컨테이너 Operator를 선택합니다.
4. 오른쪽 상단에 있는 가져오기 아이콘(+)을 클릭합니다.

5. YAML 가져오기 창에서 다음 YAML 매니페스트를 붙여넣습니다.

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "gcp"
     PROXY_TIMEOUT: "5m"
     GCP_PROJECT_ID: "<gcp_project_id>" 

   1

   
     GCP_ZONE: "<gcp_zone>" 

   2

   
     GCP_MACHINE_TYPE: "e2-medium" 

   3

   
     GCP_NETWORK: "<gcp_network>" 

   4

   
     PEERPODS_LIMIT_PER_NODE: "10" 

   5

   
     TAGS: "key1=value1,key2=value2" 

   6

   
     DISABLECVM: "true"

   1

   사용할 프로젝트 ID를 지정합니다.

   2

   검색한 GCP_ZONE 값을 지정합니다. 이 영역은 워크로드를 실행합니다.

   3

   워크로드 요구 사항과 일치하는 머신 유형을 지정합니다.

   4

   검색한 GCP_NETWORK 값을 지정합니다.

   5

   노드당 생성할 수 있는 최대 피어 Pod 수를 지정합니다. 기본값은 10 입니다.

   6

   사용자 정의 태그를 Pod VM 인스턴스의 키:값 쌍으로 구성하여 피어 Pod 비용을 추적하거나 다른 클러스터에서 피어 Pod를 식별할 수 있습니다.

6. 저장을 클릭하여 변경 사항을 적용합니다.
7. 워크로드 ConfigMap 으로 이동하여 새 구성 맵을 확인합니다.

프로세스

1. 다음 명령을 실행하여 OpenShift 샌드박스 컨테이너 리포지토리를 복제합니다.

   Copy to Clipboard Toggle word wrap

   $ git clone https://github.com/openshift/sandboxed-containers-operator.git

2. 다음 명령을 실행하여 샌드박스-containers-operator/config/peerpods/podvm/bootc 로 이동합니다.

   Copy to Clipboard Toggle word wrap

   $ cd sandboxed-containers-operator/config/peerpods/podvm/bootc

3. 다음 명령을 실행하여 registry.redhat.io 에 로그인합니다.

   Copy to Clipboard Toggle word wrap

   $ podman login registry.redhat.io

   podman 빌드 프로세스에서 레지스트리에서 호스팅되는 Containerfile.rhel 컨테이너 이미지에 액세스해야 하므로 registry.redhat.io 에 로그인해야 합니다.

4. 다음 명령을 실행하여 컨테이너 레지스트리의 이미지 경로를 설정합니다.

   Copy to Clipboard Toggle word wrap

   $ IMG="<container_registry_url>/<username>/podvm-bootc:latest"

5. 다음 명령을 실행하여 Pod VM bootc 이미지를 빌드합니다.

   Copy to Clipboard Toggle word wrap

   $ podman build -t ${IMG} -f Containerfile.rhel .

6. 다음 명령을 실행하여 컨테이너 레지스트리에 로그인합니다.

   Copy to Clipboard Toggle word wrap

   $ podman login <container_registry_url>

7. 다음 명령을 실행하여 컨테이너 레지스트리로 이미지를 푸시합니다.

   Copy to Clipboard Toggle word wrap

   $ podman push ${IMG}

   테스트 및 개발을 위해 이미지를 공용으로 만들 수 있습니다.

8. 다음 명령을 실행하여 podvm-bootc 이미지를 확인합니다.

   Copy to Clipboard Toggle word wrap

   $ podman images

   출력 예

   Copy to Clipboard Toggle word wrap

   REPOSITORY                               TAG     IMAGE ID      CREATED         SIZE
   example.com/example_user/podvm-bootc     latest  88ddab975a07  2 seconds ago   1.82 GB

프로세스

1. OpenShift Container Platform 웹 콘솔에서 Operator 설치된 Operator로 이동합니다.
2. Operator 목록에서 OpenShift 샌드박스 컨테이너 Operator를 선택합니다.
3. 오른쪽 상단에 있는 가져오기 아이콘(+)을 클릭합니다.

4. YAML 가져오기 창에서 다음 YAML 매니페스트를 붙여넣습니다.

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: gc-podvm-image-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     IMAGE_TYPE: pre-built
     PODVM_IMAGE_URI: <container_registry_url>/<username>/podvm-bootc:latest
     IMAGE_BASE_NAME: "podvm-image"
     IMAGE_VERSION: "0-0-0"
   
     INSTALL_PACKAGES: "no"
     DISABLE_CLOUD_CONFIG: "true"
     UPDATE_PEERPODS_CM: "yes"
     BOOT_FIPS: "no"
   
     BOOTC_BUILD_CONFIG: |
       [[customizations.user]]
       name = "peerpod"
       password = "peerpod"
       groups = ["wheel", "root"]
   
       [[customizations.filesystem]]
       mountpoint = "/"
       minsize = "5 GiB"
   
       [[customizations.filesystem]]
       mountpoint = "/var/kata-containers"
       minsize = "15 GiB"

5. 저장을 클릭하여 변경 사항을 적용합니다.
6. 워크로드 ConfigMap 으로 이동하여 새 구성 맵을 확인합니다.

프로세스

1. 사용자 지정 정책으로 policy.rego 파일을 생성합니다. 다음 예제는 데모에 exec 및 log 가 활성화된 모든 구성 가능한 API를 보여줍니다.

   Copy to Clipboard Toggle word wrap

   package agent_policy
   
   import future.keywords.in
   import input
   
   default CopyFileRequest := false
   default CreateContainerRequest := false
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true  # Enabled to allow exec API
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default OnlineCPUMemRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := true   # Enabled to allow log API
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StatsContainerRequest := true
   default TtyWinResizeRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := false

   이 정책은 exec (ExecProcessRequest) 및 로그 (ReadStreamRequest) API를 활성화합니다. 필요에 따라 정책을 추가로 사용자 지정하도록 true 또는 false 값을 조정합니다.

2. 다음 명령을 실행하여 policy.rego 파일을 Base64 인코딩 문자열로 변환합니다.

   Copy to Clipboard Toggle word wrap

   $ base64 -w0 policy.rego

   yaml 파일에 사용할 출력을 저장합니다.

3. OpenShift Container Platform 웹 콘솔에서 Operator 설치된 Operator로 이동합니다.
4. Operator 목록에서 OpenShift 샌드박스 컨테이너 Operator를 선택합니다.
5. 오른쪽 상단에 있는 가져오기 아이콘(+)을 클릭합니다.

6. YAML 가져오기 창에서 다음 YAML 매니페스트를 붙여넣고 Base64로 인코딩된 정책을 추가합니다.

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   kind: Pod
   metadata:
     name: <pod_name>
     annotations:
       io.katacontainers.config.agent.policy: <base64_encoded_policy>
   spec:
     runtimeClassName: kata-remote
     containers:
     - name: <container_name>
       image: registry.access.redhat.com/ubi9/ubi:latest
       command:
       - sleep
       - "36000"
       securityContext:
         privileged: false
         seccompProfile:
           type: RuntimeDefault

7. 저장을 클릭하여 변경 사항을 적용합니다.

프로세스

1. OpenShift Container Platform 웹 콘솔에서 Operator 설치된 Operator로 이동합니다.
2. OpenShift 샌드박스 컨테이너 Operator를 선택합니다.
3. KataConfig 탭에서 KataConfig 만들기 를 클릭합니다.

4. 다음 세부 정보를 입력합니다.

   • 이름: 선택 사항: 기본 이름은 example-kataconfig 입니다.
   • labels: 선택 사항: KataConfig 리소스에 대한 특성을 식별하는 모든 관련 정보를 입력합니다. 각 레이블은 키-값 쌍을 나타냅니다.
   • enablePeerPods: 퍼블릭 클라우드, IBM Z® 및 IBM® LinuxONE 배포에는 선택합니다.

   • kataConfigPoolSelector. 선택 사항: 선택한 노드에 kata-remote 를 설치하려면 선택한 노드의 라벨에 일치하는 표현식을 추가합니다.

     1. kataConfigPoolSelector 영역을 확장합니다.
     2. kataConfigPoolSelector 영역에서 matchExpressions 를 확장합니다. 이는 라벨 선택기 요구 사항 목록입니다.
     3. matchExpressions 추가를 클릭합니다.
     4. 키 필드에 선택기가 적용되는 라벨 키를 입력합니다.
     5. Operator 필드에 레이블 값과의 키 관계를 입력합니다. 유효한 연산자는 In,NotIn,Exists 및 DoesNotExist 입니다.
     6. 값 영역을 확장한 다음 값 추가 를 클릭합니다.
     7. 값 필드에 키 레이블 값에 true 또는 false 를 입력합니다.
   • loglevel: kata-remote 런타임 클래스를 사용하여 노드에 대해 검색된 로그 데이터의 수준을 정의합니다.

5. 생성을 클릭합니다. KataConfig CR이 생성되고 작업자 노드에 kata-remote 런타임 클래스를 설치합니다.

   설치를 확인하기 전에 kata-remote 설치가 완료되고 작업자 노드가 재부팅될 때까지 기다립니다.

검증

1. KataConfig 탭에서 KataConfig CR을 클릭하여 세부 정보를 확인합니다.

2. YAML 탭을 클릭하여 상태 스탠자를 확인합니다.

   상태 스탠자에는 조건 및 kataNodes 키가 포함되어 있습니다. status.kataNodes 의 값은 노드 배열이며 각 노드는 특정 kata-remote 설치의 노드를 나열합니다. 업데이트가 있을 때마다 메시지가 표시됩니다.

3. Reload (다시 로드)를 클릭하여 YAML을 새로 고칩니다.

   status.kataNodes 어레이의 모든 작업자가 설치 및 조건.InProgress: False 를 지정하는 이유 없이 False를 표시하면 클러스터에 kata-remote 가 설치됩니다.

프로세스

1. 워크로드 ConfigMap 으로 이동합니다.
2. 공급자 구성 맵을 클릭하여 세부 정보를 확인합니다.
3. YAML 탭을 클릭합니다.

4. YAML 파일의 상태 스탠자를 확인합니다.

   PODVM_IMAGE_NAME 매개변수가 채워지면 Pod VM 이미지가 성공적으로 생성됩니다.

문제 해결

1. 다음 명령을 실행하여 이벤트 로그를 검색합니다.

   Copy to Clipboard Toggle word wrap

   $ oc get events -n openshift-sandboxed-containers-operator --field-selector involvedObject.name=osc-podvm-image-creation

2. 다음 명령을 실행하여 작업 로그를 검색합니다.

   Copy to Clipboard Toggle word wrap

   $ oc logs -n openshift-sandboxed-containers-operator jobs/osc-podvm-image-creation

프로세스

1. 다음 예와 같이 spec.runtimeClassName: kata-remote 를 각 pod 템플릿 워크로드 오브젝트의 매니페스트에 추가합니다.

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata-remote
   # ...

   OpenShift Container Platform은 워크로드 오브젝트를 생성하고 스케줄링을 시작합니다.