OVN-Kubernetes 네트워크 플러그인

• 클러스터 소유자입니다.
• 계정에는 충분한 권한이 있습니다.
• 클러스터에 대한 기존 VPC(Virtual Private Cloud)가 있습니다.
• 프록시는 클러스터의 VPC 및 VPC의 프라이빗 서브넷에 액세스할 수 있습니다. 클러스터의 VPC와 VPC의 프라이빗 서브넷에서도 프록시에 액세스할 수 있어야 합니다.

• VPC 끝점에 다음 끝점을 추가했습니다.

  • ec2.<aws_region>.amazonaws.com
  • elasticloadbalancing.<aws_region>.amazonaws.com

  • s3.<aws_region>.amazonaws.com

    이러한 끝점은 노드에서 AWS EC2 API로 요청을 완료하는 데 필요합니다. 프록시는 노드 수준이 아닌 컨테이너 수준에서 작동하므로 이러한 요청을 AWS 프라이빗 네트워크를 통해 AWS EC2 API로 라우팅해야 합니다. 프록시 서버의 허용 목록에 EC2 API의 공용 IP 주소를 추가하는 것만으로는 충분하지 않습니다.

    중요

    클러스터 전체 프록시를 사용하는 경우 게이트웨이 유형으로 s3.<aws_region>.amazonaws.com 끝점을 구성해야 합니다.

사전 요구 사항

• VPC에서 클러스터가 설치 중인지 프록시에 액세스할 수 있는지 확인했습니다. VPC의 프라이빗 서브넷에서도 프록시에 액세스할 수 있어야 합니다.

프로세스

• 클러스터를 생성할 때 프록시 구성을 지정합니다.

  $ rosa create cluster \
   <other_arguments_here> \
   --additional-trust-bundle-file <path_to_ca_bundle_file> \ 

  1

  2

  3

  
   --http-proxy http://<username>:<password>@<ip>:<port> \ 

  4

  5

  
   --https-proxy https://<username>:<password>@<ip>:<port> \ 

  6

  7

  
   --no-proxy example.com 

  8

  Copy to Clipboard Toggle word wrap

  1 4 6

  additional-trust-bundle-file,http-proxy 및 https-proxy 인수는 모두 선택 사항입니다.

  2

  additional-trust-bundle-file 인수는 모두 함께 연결된 PEM 인코딩 X.509 인증서 번들을 가리키는 파일 경로입니다. 프록시의 ID 인증서를 RHCOS(Red Hat Enterprise Linux CoreOS) 신뢰 번들의 기관에서 서명하지 않는 한 TLS-inspecting 프록시를 사용하는 사용자에게는 additional-trust-bundle-file 인수가 필요합니다. 이는 프록시가 투명하든 http-proxy 및 https-proxy 인수를 사용하여 명시적 구성이 필요한지 여부와 관계없이 적용됩니다.

  3 5 7

  http-proxy 및 https-proxy 인수는 유효한 URL을 가리켜야 합니다.

  8

  프록시를 제외할 대상 도메인 이름, IP 주소 또는 네트워크 CIDR의 쉼표로 구분된 목록입니다.

  하위 도메인과 일치하려면 도메인 앞에 .을 입력합니다. 예를 들어, .y.com은 x.y.com과 일치하지만 y.com은 일치하지 않습니다. *를 사용하여 모든 대상에 대해 프록시를 바이패스합니다. networking.machineNetwork[].cidr 필드에 의해 정의된 네트워크에 포함되어 있지 않은 작업자를 설치 구성에서 확장하려면 연결 문제를 방지하기 위해 이 목록에 해당 작업자를 추가해야 합니다.

  httpProxy와 httpsProxy 필드가 모두 설정되지 않은 경우 이 필드는 무시됩니다.

사전 요구 사항

• AWS 클래식 아키텍처 클러스터에 Red Hat OpenShift Service가 있습니다.
• 클러스터가 VPC에 배포됩니다.

검증

• 네트워킹 페이지의 VPC(Virtual Private Cloud) 섹션에서 클러스터의 프록시 구성이 예상대로 있는지 확인합니다.

사전 요구 사항

• 설치 호스트에 최신 ROSA(rosa) 및 OpenShift(oc) CLI를 설치하고 구성했습니다.
• VPC에 배포된 AWS 클래식 아키텍처 클러스터에 Red Hat OpenShift Service가 있습니다.

프로세스

• 클러스터 구성을 편집하여 클러스터 전체 프록시 세부 정보를 추가하거나 업데이트합니다.

  $ rosa edit cluster \
   --cluster $CLUSTER_NAME \
   --additional-trust-bundle-file <path_to_ca_bundle_file> \ 

  1

  2

  3

  
   --http-proxy http://<username>:<password>@<ip>:<port> \ 

  4

  5

  
   --https-proxy https://<username>:<password>@<ip>:<port> \ 

  6

  7

  
    --no-proxy example.com 

  8

  Copy to Clipboard Toggle word wrap

  1 4 6

  additional-trust-bundle-file,http-proxy 및 https-proxy 인수는 모두 선택 사항입니다.

  2

  additional-trust-bundle-file 인수는 모두 함께 연결된 PEM 인코딩 X.509 인증서 번들을 가리키는 파일 경로입니다. additional-trust-bundle-file 인수는 모두 함께 연결된 PEM 인코딩 X.509 인증서 번들을 가리키는 파일 경로입니다. 프록시의 ID 인증서를 RHCOS(Red Hat Enterprise Linux CoreOS) 신뢰 번들의 기관에서 서명하지 않는 한 TLS-inspecting 프록시를 사용하는 사용자에게는 additional-trust-bundle-file 인수가 필요합니다. 이는 프록시가 투명하든 http-proxy 및 https-proxy 인수를 사용하여 명시적 구성이 필요한지 여부와 관계없이 적용됩니다.

  중요

  클러스터의 프록시 또는 추가 신뢰 번들 구성을 직접 변경하지 마십시오. 모든 변경 사항은 ROSA CLI(rosa) 또는 Red Hat OpenShift Cluster Manager를 사용하여 적용해야 합니다. 클러스터의 관리 리소스에 직접 변경한 내용은 자동으로 되돌아갑니다.

  3 5 7

  http-proxy 및 https-proxy 인수는 유효한 URL을 가리켜야 합니다.

  8

  프록시를 제외할 대상 도메인 이름, IP 주소 또는 네트워크 CIDR의 쉼표로 구분된 목록입니다.

  하위 도메인과 일치하려면 도메인 앞에 .을 입력합니다. 예를 들어, .y.com은 x.y.com과 일치하지만 y.com은 일치하지 않습니다. *를 사용하여 모든 대상에 대해 프록시를 바이패스합니다.

  networking.machineNetwork[].cidr 필드에 의해 정의된 네트워크에 포함되어 있지 않은 작업자를 설치 구성에서 확장하려면 연결 문제를 방지하기 위해 이 목록에 해당 작업자를 추가해야 합니다.

  httpProxy와 httpsProxy 필드가 모두 설정되지 않은 경우 이 필드는 무시됩니다.

사전 요구 사항

• 클러스터 관리자 권한이 있어야합니다.
• ROSA CLI(rosa)를 설치했습니다.

프로세스

• rosa edit 명령을 사용하여 프록시를 수정합니다. 클러스터에서 프록시를 지우려면 빈 문자열을 --http-proxy 및 --https-proxy 인수에 전달해야 합니다.

  $ rosa edit cluster -c <cluster_name> --http-proxy "" --https-proxy ""

  Copy to Clipboard Toggle word wrap
  참고

  프록시는 프록시 인수 중 하나만 사용할 수 있지만 빈 필드는 무시되므로 --http-proxy 및 --https-proxy 인수 모두에 빈 문자열을 전달해도 문제가 발생하지 않습니다.

  출력 예

  I: Updated cluster <cluster_name>

  Copy to Clipboard Toggle word wrap

검증

• rosa describe 명령을 사용하여 프록시가 클러스터에서 제거되었는지 확인할 수 있습니다.

  $ rosa describe cluster -c <cluster_name>

  Copy to Clipboard Toggle word wrap

  제거하기 전에 프록시 IP가 프록시 섹션에 표시됩니다.

  Name:                       <cluster_name>
  ID:                         <cluster_internal_id>
  External ID:                <cluster_external_id>
  OpenShift Version:          4.0
  Channel Group:              stable
  DNS:                        <dns>
  AWS Account:                <aws_account_id>
  API URL:                    <api_url>
  Console URL:                <console_url>
  Region:                     us-east-1
  Multi-AZ:                   false
  Nodes:
   - Control plane:           3
   - Infra:                   2
   - Compute:                 2
  Network:
   - Type:                    OVNKubernetes
   - Service CIDR:            <service_cidr>
   - Machine CIDR:            <machine_cidr>
   - Pod CIDR:                <pod_cidr>
   - Host Prefix:             <host_prefix>
  Proxy:
   - HTTPProxy:               <proxy_url>
  Additional trust bundle:    REDACTED

  Copy to Clipboard Toggle word wrap

  프록시를 제거한 후 proxy 섹션이 제거됩니다.

  Name:                       <cluster_name>
  ID:                         <cluster_internal_id>
  External ID:                <cluster_external_id>
  OpenShift Version:          4.0
  Channel Group:              stable
  DNS:                        <dns>
  AWS Account:                <aws_account_id>
  API URL:                    <api_url>
  Console URL:                <console_url>
  Region:                     us-east-1
  Multi-AZ:                   false
  Nodes:
   - Control plane:           3
   - Infra:                   2
   - Compute:                 2
  Network:
   - Type:                    OVNKubernetes
   - Service CIDR:            <service_cidr>
   - Machine CIDR:            <machine_cidr>
   - Pod CIDR:                <pod_cidr>
   - Host Prefix:             <host_prefix>
  Additional trust bundle:    REDACTED

  Copy to Clipboard Toggle word wrap

사전 요구 사항

• 클러스터 관리자 권한이 있어야합니다.
• ROSA CLI(rosa)를 설치했습니다.
• 클러스터에 인증 기관이 추가되었습니다.

프로세스

• rosa edit 명령을 사용하여 CA 신뢰 번들을 수정합니다. 클러스터에서 신뢰 번들을 지우려면 --additional-trust-bundle-file 인수에 빈 문자열을 전달해야 합니다.

  $ rosa edit cluster -c <cluster_name> --additional-trust-bundle-file ""

  Copy to Clipboard Toggle word wrap

  출력 예

  I: Updated cluster <cluster_name>

  Copy to Clipboard Toggle word wrap

검증

• rosa describe 명령을 사용하여 신뢰 번들이 클러스터에서 제거되었는지 확인할 수 있습니다.

  $ rosa describe cluster -c <cluster_name>

  Copy to Clipboard Toggle word wrap

  제거하기 전에 추가 신뢰 번들 섹션이 표시되고 보안 목적으로 해당 값을 수정합니다.

  Name:                       <cluster_name>
  ID:                         <cluster_internal_id>
  External ID:                <cluster_external_id>
  OpenShift Version:          4.0
  Channel Group:              stable
  DNS:                        <dns>
  AWS Account:                <aws_account_id>
  API URL:                    <api_url>
  Console URL:                <console_url>
  Region:                     us-east-1
  Multi-AZ:                   false
  Nodes:
   - Control plane:           3
   - Infra:                   2
   - Compute:                 2
  Network:
   - Type:                    OVNKubernetes
   - Service CIDR:            <service_cidr>
   - Machine CIDR:            <machine_cidr>
   - Pod CIDR:                <pod_cidr>
   - Host Prefix:             <host_prefix>
  Proxy:
   - HTTPProxy:               <proxy_url>
  Additional trust bundle:    REDACTED

  Copy to Clipboard Toggle word wrap

  프록시를 제거한 후 추가 신뢰 번들 섹션이 제거됩니다.

  Name:                       <cluster_name>
  ID:                         <cluster_internal_id>
  External ID:                <cluster_external_id>
  OpenShift Version:          4.0
  Channel Group:              stable
  DNS:                        <dns>
  AWS Account:                <aws_account_id>
  API URL:                    <api_url>
  Console URL:                <console_url>
  Region:                     us-east-1
  Multi-AZ:                   false
  Nodes:
   - Control plane:           3
   - Infra:                   2
   - Compute:                 2
  Network:
   - Type:                    OVNKubernetes
   - Service CIDR:            <service_cidr>
   - Machine CIDR:            <machine_cidr>
   - Pod CIDR:                <pod_cidr>
   - Host Prefix:             <host_prefix>
  Proxy:
   - HTTPProxy:               <proxy_url>

  Copy to Clipboard Toggle word wrap