2.4. 정책 컨트롤러 고급 구성

각 관리 클러스터에 대한 거버넌스 프레임워크 동시성을 구성합니다. 기본값 2 를 변경하려면 따옴표 내에서 0이 아닌 정수로 policy-evaluation-concurrency 주석을 설정합니다. 그런 다음 ManagedClusterAddOn 개체 이름의 값을 hub 클러스터의 관리 클러스터 네임스페이스에서 governance-policy-framework 로 설정합니다.

cluster1 이라는 관리 클러스터에서 동시성이 2 로 설정된 다음 YAML 예제를 참조하십시오.

apiVersion: addon.open-cluster-management.io/v1alpha1
kind: ManagedClusterAddOn
metadata:
  name: governance-policy-framework
  namespace: cluster1
  annotations:
    policy-evaluation-concurrency: "2"
spec:
  installNamespace: open-cluster-management-agent-addon

client-qps 및 client-burst 주석을 설정하려면 ManagedClusterAddOn 리소스를 업데이트하고 매개변수를 정의합니다.

각 초당 대한 쿼리가 30 으로 설정되고 burst가 cluster1 이라는 관리형 클러스터에서 45 로 설정된 다음 YAML 예제를 참조하십시오.

apiVersion: addon.open-cluster-management.io/v1alpha1
kind: ManagedClusterAddOn
metadata:
  name: governance-policy-framework
  namespace: cluster1
  annotations:
    client-qps: "30"
    client-burst: "45"
spec:
  installNamespace: open-cluster-management-agent-addon

각 관리 클러스터에 대해 구성 정책 컨트롤러의 동시성을 구성하여 동시에 평가할 수 있는 구성 정책 수를 변경할 수 있습니다. 기본값 2 를 변경하려면 따옴표 내에서 0이 아닌 정수로 policy-evaluation-concurrency 주석을 설정합니다. 그런 다음 hub 클러스터의 관리 클러스터 네임스페이스에서 ManagedClusterAddOn 오브젝트 이름의 값을 config-policy-controller 로 설정합니다.

참고: Increased concurrency 값은 config-policy-controller Pod, Kubernetes API 서버 및 OpenShift API 서버에서 CPU 및 메모리 사용률을 늘립니다.

cluster1 이라는 관리 클러스터에서 동시성이 5 로 설정된 다음 YAML 예제를 참조하십시오.

apiVersion: addon.open-cluster-management.io/v1alpha1
kind: ManagedClusterAddOn
metadata:
  name: config-policy-controller
  namespace: cluster1
  annotations:
    policy-evaluation-concurrency: "5"
spec:
  installNamespace: open-cluster-management-agent-addon

구성 정책 컨트롤러가 각 관리 클러스터에서 수행하는 API 서버에 대한 요청 속도를 구성합니다. 속도가 증가하면 구성 정책 컨트롤러의 응답성이 향상되어 Kubernetes API 서버 및 OpenShift API 서버의 CPU 및 메모리 사용률도 높아집니다. 기본적으로 요청 속도는 policy-evaluation-concurrency 설정으로 확장되며 짧은 기간 동안 더 많은 요청 수를 나타내는 45 burst 값이 있는 QPS(초당 30 쿼리)로 설정됩니다.

client-qps 및 client-burst 주석을 따옴표 내에서 0이 아닌 정수로 설정하여 속도 및 버스트를 구성할 수 있습니다. hub 클러스터의 관리 클러스터 네임스페이스에서 ManagedClusterAddOn 오브젝트 이름의 값을 config-policy-controller 로 설정할 수 있습니다.

각 초당 대한 쿼리가 20 으로 설정되고 burst가 cluster1 이라는 관리형 클러스터에서 100 으로 설정된 다음 YAML 예제를 참조하십시오.

apiVersion: addon.open-cluster-management.io/v1alpha1
kind: ManagedClusterAddOn
metadata:
  name: config-policy-controller
  namespace: cluster1
  annotations:
    client-qps: "20"
    client-burst: "100"
spec:
  installNamespace: open-cluster-management-agent-addon

각 정책 컨트롤러에 대한 디버그 로그를 구성하고 수집할 때 로그 수준을 조정할 수 있습니다.

참고: 디버그 로그 볼륨을 줄이면 로그에서 표시되는 정보가 줄어듭니다.

정책 컨트롤러에서 내보낸 디버그 로그를 줄여 로그에 오류 전용 버그를 표시할 수 있습니다. 디버그 로그를 줄이려면 주석에서 debug 로그 값을 -1 로 설정합니다. 각 값이 무엇을 나타내는지 확인하십시오.

Kubernetes 구성 컨트롤러의 두 번째 디버깅 정보를 받으려면 값이 2 인 로그 수준 주석을 ManagedClusterAddOn 사용자 정의 리소스에 추가합니다. 기본적으로 로그 수준은 0 으로 설정됩니다. 즉, 정보를 제공하는 메시지가 표시됩니다. 다음 예제를 확인합니다.

apiVersion: addon.open-cluster-management.io/v1alpha1
kind: ManagedClusterAddOn
metadata:
  name: config-policy-controller
  namespace: cluster1
  annotations:
    log-level: "2"
spec:
  installNamespace: open-cluster-management-agent-addon

또한 ConfigurationPolicy 리소스의 각 spec.object-template[] 에 대해 매개변수 recordDiff 를 Log 로 설정할 수 있습니다. 관리 클러스터의 오브젝트Definition 과 오브젝트의 차이점은 관리 클러스터의 config-policy-controller Pod에 기록됩니다. 다음 예제를 확인합니다.

recordDiff: Log:이 있는 ConfigurationPolicy 리소스

apiVersion: policy.open-cluster-management.io/v1
kind: ConfigurationPolicy
metadata:
  name: my-config-policy
spec:
  object-templates:
  - complianceType: musthave
    recordDiff: Log
    objectDefinition:
      apiVersion: v1
      kind: ConfigMap
      metadata:
        name: my-configmap
      data:
        fieldToUpdate: "2"

클러스터의 ConfigMap 리소스가 fieldToUpdate: "1" 이면 diff가 다음 정보를 사용하여 config-policy-controller Pod에 표시됩니다.

Logging the diff:
--- default/my-configmap : existing
+++ default/my-configmap : updated
@@ -2,3 +2,3 @@
 data:
-  fieldToUpdate: "1"
+  fieldToUpdate: "2"
 kind: ConfigMap

중요: 보안 오브젝트의 차이점을 기록하지 않도록 합니다. 차이점은 일반 텍스트로 기록됩니다.

정책 프레임워크는 정책 배포 및 규정 준수를 보여주는 지표를 노출합니다. hub 클러스터에서 policy_governance_info 메트릭을 사용하여 추세를 보고 정책 오류를 분석합니다. 메트릭에 대한 개요는 다음 항목을 참조하십시오.

컨트롤러를 사용하여 새 구성을 적용하면 ManifestApplied 매개변수가 ManagedClusterAddOn 에서 업데이트됩니다. 이러한 조건 타임스탬프는 구성을 올바르게 확인하는 데 도움이 됩니다. 예를 들어 이 명령은 local-cluster 의 cert-policy-controller 가 업데이트되었는지 확인할 수 있습니다.

oc get -n local-cluster managedclusteraddon cert-policy-controller | grep -B4 'type: ManifestApplied'

다음 출력이 표시될 수 있습니다.

 - lastTransitionTime: "2023-01-26T15:42:22Z"
    message: manifests of addon are applied successfully
    reason: AddonManifestApplied
    status: "True"
    type: ManifestApplied