Red Hat Edge Manager로 장치 플릿 관리

프로세스

1. Ansible Automation Platform에서 OAuth 토큰을 생성합니다.

   1. 탐색 패널에서 Access Management → Users 를 선택합니다.
   2. Default 조직에 대한 쓰기 권한이 있는 사용자(관리자 권장)를 선택합니다.
   3. 해당 사용자의 토큰 탭을 클릭합니다.

   4. 토큰 생성 을 클릭하고 관련 세부 정보를 입력합니다.

      1. 범위: 쓰기를 선택합니다.
2. service-config.yaml 파일을 편집하고 OAuth 애플리케이션 설정을 자동으로 완료하는 단계는 Ansible Automation Platform과의 통합 섹션으로 이동합니다.

프로세스

1. Ansible Automation Platform 인스턴스의 탐색 패널에서 Access Management → OAuth Applications 로 이동합니다.
2. OAuth 애플리케이션 생성을 클릭합니다.

3. 다음 세부 정보를 입력합니다.

   • Name: "Red Hat Edge Manager"와 같은 이름을 입력합니다. 이 이름은 Ansible Automation Platform UI에 표시됩니다.
   • URL: https:// 를 사용하는 Ansible Automation Platform UI의 baseDomain 입니다.
   • 조직: 기본값 을 선택합니다.
   • 인증 권한 부여 유형: 인증 코드를 선택합니다.
   • 클라이언트: 공개를 선택합니다.

   • URI 리디렉션:

     • UI에 대해 구성된 리디렉션은 https://your-edge-manager-ip-or-domain:443/callback 과 같이 /callback 경로가 추가된 baseDomain 입니다. 두 개 이상의 URI가 있는 경우 쉼표 또는 기타 구분 기호가 아닌 공백으로 구분된 이 필드에 입력합니다.
     • CLI 사용 리디렉션(트래시ctl 로그인)을 제공하기 위해 http://127.0.0.1/callback 와 같은 리디렉션 URI를 구성합니다.
4. OAuth 애플리케이션 생성을 클릭합니다. 이제 애플리케이션 링크 섹션이 탐색 패널에 표시됩니다.
5. service-config.yaml 파일에서 oAuthApplicationClientId 를 이 값으로 업데이트하는 데 필요한 클라이언트 ID 를 복사합니다.
6. service-config.yaml 파일을 편집하고 OAuth 애플리케이션 설정을 수동으로 완료하는 단계는 Ansible Automation Platform과의 통합 섹션으로 이동합니다.

프로세스

1. service-config.yaml 파일을 편집하기 전에planectl 서비스를 중지합니다.

   sudo systemctl stop flightctl.target

2. 구성 파일을 편집하여 통합 설정을 구성합니다.

   sudo vi /etc/flightctl/service-config.yaml

3. Ansible Automation Platform과 통합되도록 구성 파일을 업데이트합니다.

   global:
     baseDomain: <your-edge-manager-ip-or-domain> 

   1

   
     auth:
       type: aap 

   2

   
       insecureSkipTlsVerify: false 

   3

   
       aap:
         apiUrl: https://your-aap-instance.example.com 

   4

   
         externalApiUrl: https://your-aap-instance.example.com 

   5

   
         oAuthApplicationClientId: <client-id-from-oauth-app> 

   6

   
         oAuthToken: <your-oauth-token> 

   7

   1

   호스트의 도메인 이름 또는 IP는 RPM이 설치될 때 자동으로 설정되지만 이를 재정의할 수 있습니다. 이는 필수 필드인 유일한 필드입니다.

   2

   Ansible Automation Platform 인증을 활성화하려면 이를 aap 로 설정합니다.

   3

   false 로 설정합니다. Ansible Automation Platform URL에 대한 TLS 인증서 확인을 건너뛰려면 이 값을 true 로만 설정합니다. 프로덕션 환경의 경우 CA 인증서 구성을 고려하십시오(자명 서명 인증서 섹션 참조).

   4

   실행 중인 Ansible Automation Platform 인스턴스에 대한 내부 대면 API URL로, 요청을 수행하는 것입니다. 이 URL을 실행 중인 Ansible Automation Platform 인스턴스에 대해 내부적으로 액세스할 수 있는 URL로 구성할 수 있습니다. 예를 들어, 내부 또는 외부 인그레스가 분리되어 있는 경우입니다.

   5

   실행 중인 Ansible Automation Platform 인스턴스의 외부에서 액세스할 수 있는 URL입니다.

   6

   자동 방법을 사용하는 경우 이 필드는 필요하지 않습니다. 이는 Red Hat Edge Manager에 대해 Ansible Automation Platform에 구성된 OAuth 애플리케이션의 클라이언트 ID입니다. 아직 없는 경우 이 값을 비워 두고 설정을 생성할 수 있도록 oAuthToken 을 제공할 수 있습니다.

   7

   수동 방법을 사용하는 경우 이 필드는 필요하지 않습니다. 이는 Ansible Automation Platform 인스턴스의 "Default" 조직에 대한 쓰기 권한이 있는 OAuth 토큰입니다. 이는 설정 프로세스에서 OAuth 애플리케이션을 자동으로 생성하는 경우에만 필요합니다. 이 토큰이 생성되면 더 이상 필요하지 않습니다.

4. 서비스를 시작합니다.

   sudo systemctl start flightctl.target

프로세스

1. 다음 명령을 실행하여 시스템에 적합한 리포지토리의 서브스크립션 관리자를 활성화합니다.

   sudo subscription-manager repos --enable ansible-automation-platform-2.5-for-rhel-9-x86_64-rpms

   Red Hat Edge Manager에서 사용 가능한 리포지토리의 전체 목록은 추가 리소스 섹션을 참조하십시오.

2. 다음 명령을 실행하여 패키지 관리자와 함께plane ctl CLI를 설치합니다.

   sudo dnf install flightctl

프로세스

1. CLI를 통해 Red Hat Edge Manager에 로그인할 단계를 수행하여lightctl CLI에 로그인합니다.

   참고

   CLI는 호스트의 인증 기관 풀을 사용하여 Red Hat Edge Manager 서비스의 ID를 확인합니다. 확인으로 인해 자체 서명된 인증서를 사용할 때 인증 기관 인증서를 풀에 추가하지 않는 경우 TLS 확인 오류가 발생할 수 있습니다. 명령에 --insecure-skip-tls-verify 플래그를 추가하여 서버 확인을 바이패스할 수 있습니다.

2. 다음 명령을 실행하여 에이전트 구성 파일의 형식으로 등록 자격 증명을 가져옵니다.

   flightctl certificate request --signer=enrollment --expiration=365d --output=embedded > config.yaml

   참고
   • --expiration=365d 옵션은 인증 정보가 1년 동안 유효함을 지정합니다.
   • --output=embedded 옵션은 출력이 등록 자격 증명이 포함된 에이전트 구성 파일임을 지정합니다.

   반환된 config.yaml 에는 Red Hat Edge Manager 서비스의 URL, 인증 기관 번들, 에이전트의 등록 클라이언트 인증서 및 키가 포함되어 있습니다. 다음 예제를 참조하십시오.

   enrollment-service:
     authentication:
       client-certificate-data: LS0tLS1CRUdJTiBD...
       client-key-data: LS0tLS1CRUdJTiBF...
     service:
       certificate-authority-data: LS0tLS1CRUdJTiBD...
       server: https://agent-api.flightctl.127.0.0.1.nip.io:7443
     enrollment-ui-endpoint: https://ui.flightctl.127.0.0.1.nip.io:8081

프로세스

1. 사용하는 컨테이너 이미지의 종류에 따라 장치의 다음 시스템 경로 중 하나 또는 둘 다에 풀 시크릿을 배치합니다.

   • 운영 체제 이미지는 /etc/ostree/auth.json 경로를 사용합니다.

   • 애플리케이션 컨테이너 이미지는 /root/.config/containers/auth.json 경로를 사용합니다.

     중요

     시크릿을 사용하기 전에 가져오기 보안이 장치에 있어야 합니다.

2. 풀 시크릿에서 다음 형식을 사용하는지 확인합니다.

   {
     "auths": {
       "registry.example.com": {
         "auth": "base64-encoded-credentials"
       }
     }
   }

프로세스

1. 다음 내용으로 Containerfile 파일을 생성하여 Red Hat Edge Manager 에이전트 및 구성이 포함된 RHEL 9 기반 운영 체제 이미지를 빌드합니다.

   FROM registry.redhat.io/rhel9/rhel-bootc:<required_os_version> 

   1

   
   RUN dnf --enablerepo ansible-automation-platform-2.5-for-rhel-9-x86_64-rpms -y install flightctl-agent-0.7.2-1.el9fc  && \
       dnf -y clean all && \
       systemctl enable flightctl-agent.service && \
       systemctl mask bootc-fetch-apply-updates.timer  

   2

   1

   FROM 에서 참조된 기본 이미지는 이미 Linux 커널이 있는 부팅 가능한 컨테이너(bootc) 이미지이며 기존 표준 컨테이너 빌드 툴 및 워크플로우를 재사용할 수 있습니다.

   2

   기본 자동 업데이트를 비활성화합니다. 업데이트는 Red Hat Edge Manager에서 관리합니다.

   중요

   장치가 프라이빗 리포지토리의 컨테이너에 의존하는 경우 /etc/ostree/auth.json 경로에 장치 풀 시크릿을 배치해야 합니다. 시크릿을 사용하기 전에 가져오기 보안이 장치에 있어야 합니다.

   • 선택 사항: podman-compose 애플리케이션 지원을 활성화하려면 Containerfile 파일에 다음 섹션을 추가합니다.

     RUN dnf -y install https://dl.fedoraproject.org/pub/epel/epel-release-latest-9.noarch.rpm && \
         dnf -y install podman-compose && \
         dnf -y clean all && \
         systemctl enable podman.service

   • 선택 사항: 초기 바인딩에 대해 config.yaml 을 생성한 경우 Containerfile 에 다음 섹션을 추가합니다.

     ADD config.yaml /etc/flightctl/

   자세한 내용은 선택 사항: 조기 바인딩에 대한 등록 인증서 요청을 참조하십시오.

2. 다음 명령을 실행하여 OCI(Open Container Initiative) 레지스트리를 정의합니다.

   OCI_REGISTRY=registry.redhat.io

3. 다음 명령을 실행하여 작성할 권한이 있는 이미지 리포지토리를 정의합니다.

   OCI_IMAGE_REPO=${OCI_REGISTRY}/<your_org>/<your_image>

4. 다음 명령을 실행하여 이미지 태그를 정의합니다.

   OCI_IMAGE_TAG=v1

5. 대상 플랫폼의 운영 체제 이미지를 빌드합니다.

   sudo podman build -t ${OCI_IMAGE_REPO}:${OCI_IMAGE_TAG} .

프로세스

1. signingkey.pub 및 signingkey.private:이라는 Sigstore 키 쌍을 생성합니다.

   skopeo generate-sigstore-key --output-prefix signingkey

2. 서명된 이미지와 함께 Sigstore 서명을 OCI 레지스트리에 업로드하도록 Podman 및 Skopeo와 같은 컨테이너 툴을 구성합니다.

   sudo tee "/etc/containers/registries.d/${OCI_REGISTRY}.yaml" > /dev/null <<EOF
   docker:
       ${OCI_REGISTRY}:
           use-sigstore-attachments: true
   EOF

3. 다음 명령을 실행하여 OCI 레지스트리에 로그인합니다.

   sudo podman login ${OCI_REGISTRY}

4. 다음 명령을 실행하여 운영 체제 이미지에 서명하고 게시합니다.

   sudo podman push \
       --sign-by-sigstore-private-key ./signingkey.private \
       ${OCI_IMAGE_REPO}:${OCI_IMAGE_TAG}

프로세스

1. 다음 명령을 실행하여 출력 이라는 디렉터리를 생성합니다.

   mkdir -p output

2. 다음 명령을 실행하여 운영 체제 이미지에서 iso 유형의 운영 체제 디스크 이미지를 생성하려면 bootc-image-builder 를 사용합니다.

   sudo podman run --rm -it --privileged --pull=newer \
       --security-opt label=type:unconfined_t \
       -v "${PWD}/output":/output \
       -v /var/lib/containers/storage:/var/lib/containers/storage \
       registry.redhat.io/rhel9/bootc-image-builder:latest \
       --type iso \
       ${OCI_IMAGE_REPO}:${OCI_IMAGE_TAG}

프로세스

1. 다음 명령을 실행하여 ISO 디스크 이미지가 있는 디렉터리의 소유자를 root 에서 현재 사용자로 변경합니다.

   sudo chown -R $(whoami):$(whoami) "${PWD}/output"

2. 다음 명령을 실행하여 /diskimage-iso 가 추가된 bootc 이미지와 동일한 리포지토리가 되도록 OCI_DISK_IMAGE_REPO 환경 변수를 정의합니다.

   OCI_DISK_IMAGE_REPO=${OCI_IMAGE_REPO}/diskimage-iso

3. 다음 명령을 실행하여 매니페스트 목록을 생성합니다.

   sudo podman manifest create \
       ${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG}

4. 다음 명령을 실행하여 매니페스트 목록에 ISO 디스크 이미지를 OCI 아티팩트로 추가합니다.

   sudo podman manifest add \
       --artifact --artifact-type application/vnd.diskimage.iso \
       --arch=amd64 --os=linux \
       ${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG} \
       "${PWD}/output/bootiso/install.iso"

5. 다음 명령을 실행하여 프라이빗 Sigstore 키를 사용하여 매니페스트 목록에 서명하고 레지스트리에 이미지를 푸시합니다.

   sudo podman manifest push --all \
        --sign-by-sigstore-private-key ./signingkey.private \
       ${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG} \
       docker://${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG}

프로세스

1. 다음 명령을 실행하여 새 Red Hat Edge Manager 에이전트 등록 구성을 요청하고 config.yaml 파일에 저장합니다.

   flightctl certificate request --signer=enrollment --expiration=365d --output=embedded > config.yaml

2. 다음 명령을 실행하여 에이전트 구성을 첫 번째 부팅 시 올바른 위치에 배치하는 cloud-config.yaml 이라는 클라우드 구성 사용자 데이터 파일을 생성합니다.

   cat <<EOF > cloud-config.yaml
   #cloud-config
   write_files:
   - path: /etc/flightctl/config.yaml
     content: $(cat config.yaml | base64 -w0)
     encoding: b64
   EOF

3. 클라우드 구성 사용자 데이터 파일이 포함된 Kubernetes 보안을 생성합니다.

   oc create secret generic enrollment-secret --from-file=userdata=cloud-config.yaml

프로세스

1. 다음 명령을 실행하여 VirtualMachine 리소스 매니페스트가 있는 파일을 생성합니다.

   cat <<EOF > my-bootc-vm.yaml
   apiVersion: kubevirt.io/v1
   kind: VirtualMachine
   metadata:
     name: my-bootc-vm
   spec:
     runStrategy: RerunOnFailure
     template:
       spec:
         domain:
           cpu:
             cores: 1
           memory:
             guest: 1024M
           devices:
             disks:
               - name: containerdisk
                 disk:
                   bus: virtio
               - name: cloudinitdisk
                 disk:
                   bus: virtio
         volumes:
           - name: containerdisk
             containerDisk:
               image: ${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG}
           - name: cloudinitdisk
             cloudInitConfigDrive:
               secretRef:
                 name: enrollment-secret
   EOF

2. 다음 명령을 실행하여 클러스터에 리소스 매니페스트를 적용합니다.

   oc apply -f my-bootc-vm.yaml

프로세스

1. 다음 명령을 실행하여 현재 승인을 기다리는 모든 장치를 나열합니다.

   flightctl get enrollmentrequests --field-selector="status.approval.approved != true"

   다음 예제를 참조하십시오.

   NAME           APPROVAL  APPROVER  APPROVED LABELS
   <device_name>  Pending   <none>    <none>

   참고

   고유한 장치 이름은 에이전트에 의해 생성되며 변경할 수 없습니다. 에이전트는 공개 키의 base32로 인코딩된 해시를 장치 이름으로 선택합니다.

2. 등록 요청 이름을 지정하여 등록 요청을 승인합니다. 선택적으로 --label 또는 -l 플래그를 사용하여 장치에 라벨을 추가할 수 있습니다. 다음 예제를 참조하십시오.

   flightctl approve -l region=eu-west-1 -l site=factory-berlin enrollmentrequest/54shovu028bvj6stkovjcvovjgo0r48618khdd5huhdjfn6raskg

   다음 예제 출력을 참조하십시오.

   NAME           APPROVAL  APPROVER  APPROVED LABELS
   <device_name>  Approved  user      region=eu-west-1,site=factory-berlin

프로세스

1. 탐색 패널에서 Application Links → Edge Manager 를 선택합니다. 그러면 외부 Edge Manager 인스턴스가 열립니다.
2. 탐색 패널에서 장치 인벤토리, 세부 정보 및 해제 장치를 볼 수 있는 장치를 선택합니다.

프로세스

1. 다음 명령을 실행하여 장치 인벤토리의 장치를 확인합니다.

   flightctl get devices

   다음 예제 출력을 참조하십시오.

   NAME           ALIAS    OWNER   SYSTEM  UPDATED     APPLICATIONS  LAST SEEN
   <device_name>  <none>   <none>  Online  Up-to-date  <none>        3 seconds ago

2. 다음 명령을 실행하여 이 장치의 세부 정보를 YAML 형식으로 확인합니다.

   flightctl get device/<device_name> -o yaml

   다음 예제 출력을 참조하십시오.

   apiVersion: flightctl.io/v1alpha1
   kind: Device
   metadata:
     name: <device_name>
     labels: 

   1

   
       region: eu-west-1
       site: factory-berlin
   spec:
     os:
       image: quay.io/flightctl/rhel:9.5 

   2

   
     config:
     - name: my-os-configuration 

   3

   
       configType: GitConfigProviderSpec
       gitRef:
         path: /configuration
         repository: my-configuration-repo
         targetRevision: production
   status:
     os:
       image: quay.io/flightctl/rhel:9.5 

   4

   
     config:
       renderedVersion: "1" 

   5

   
     applications:
       data: {} 

   6

   
       summary:
         status: Unknown 

   7

   
     resources: 

   8

   
       cpu: Healthy
       disk: Healthy
       memory: Healthy
     systemInfo: 

   9

   
       architecture: amd64
       bootID: 037750f7-f293-4c5b-b06e-481eef4e883f
       operatingSystem: linux
     summary:
       info: ""
       status: Online 

   10

   
     updated:
       status: UpToDate 

   11

   
     lastSeen: "2024-08-28T11:45:34.812851905Z" 

   12

   
   [...]

   1

   장치에 할당된 사용자 정의 레이블입니다.

   2

   장치의 대상 OS 이미지 버전입니다.

   3

   장치의 대상 OS 구성입니다.

   4

   장치의 현재 OS 이미지 버전

   5

   장치의 현재 OS 구성 버전입니다.

   6

   배포된 장치의 현재 애플리케이션 목록입니다.

   7

   장치의 애플리케이션 상태.

   8

   CPU, 디스크 및 메모리 리소스의 가용성입니다.

   9

   기본 시스템 정보.

   10

   장치의 상태.

   11

   장치의 업데이트 상태입니다.

   12

   장치의 마지막 체크인 시간 및 날짜입니다.

프로세스

1. 다음 명령을 실행하여 장치의 현재 리소스 매니페스트를 가져옵니다.

   flightctl get device/<device_name> -o yaml > my_device.yaml

2. 장치 리소스를 편집하여 새 운영 체제 이름과 버전 대상을 지정합니다.

   apiVersion: flightctl.io/v1alpha1
   kind: Device
   metadata:
     name: <device_name>
   spec:
   [...]
     os:
       image: quay.io/flightctl/rhel:9.5
   [...]

3. 다음 명령을 실행하여 업데이트된 장치 리소스를 적용합니다.

   flightctl apply -f <device_name>.yaml

프로세스

1. Repository 리소스에 대한 다음 정의가 포함된 site-settings-repo.yaml 파일을 생성합니다. site-settings:

   apiVersion: flightctl.io/v1alpha1
   kind: Repository
   metadata:
     name: site-settings
   spec:
     type: git
     url: https://github.com/<your_org>/<your_repo>.git

2. 다음 명령을 실행하여 Repository 리소스를 생성합니다.

   flightctl apply -f site-settings-repo.yaml

3. 다음 명령을 실행하여 Red Hat Edge Manager에서 리소스가 올바르게 생성되었으며 액세스할 수 있는지 확인합니다.

   flightctl get repository/site-settings

   다음 예제 출력을 참조하십시오.

   NAME           TYPE  REPOSITORY URL                                 ACCESSIBLE
   site-settings  git   https://github.com/<your_org>/<your_repo>.git  True

4. 장치 사양을 업데이트하여 장치에 예제 사이트 구성을 적용합니다.

   apiVersion: flightctl.io/v1alpha1
   kind: Device
   metadata:
     name: <device_name>
   spec:
   [...]
     config: 

   1

   
     - name: example-site
       configType: GitConfigProviderSpec
       gitRef:
         repository: site-settings
         targetRevision: production
         path: /etc/example-site 

   2

   
   [...]

   1

   예제 구성에서는 site-settings 리포지토리의 production 분기에서 example-site 디렉터리의 모든 파일을 가져와 루트 디렉터리(/)에 배치합니다.

   2

   디렉터리 구조를 생성하여 대상 경로를 쓸 수 있는지 확인합니다. 루트 디렉터리(/)는 bootc 시스템에서 쓸 수 없습니다.