7.10. 高级任务

流程

1. 在 DNS Operator 中将 managementState 更改为 Unmanaged ：

   oc patch dns.operator.openshift.io default --type merge --patch '{"spec":{"managementState":"Unmanaged"}}'

   Copy to Clipboard Toggle word wrap

2. 使用 jsonpath 命令行 JSON 解析器查看 DNS Operator 的 managementState ：

   $ oc get dns.operator.openshift.io default -ojsonpath='{.spec.managementState}'

   Copy to Clipboard Toggle word wrap
   注意

   当 managementState 设置为 Unmanaged 时，您无法升级。

流程

1. 修改名为 default 的 DNS Operator 对象：

   $ oc edit dns.operator/default

   Copy to Clipboard Toggle word wrap

   集群管理员可以配置传输层安全(TLS)来转发 DNS 查询。

   使用 TLS 配置 DNS 转发

   apiVersion: operator.openshift.io/v1
   kind: DNS
   metadata:
     name: default
   spec:
     servers:
     - name: example-server 

   1

   
       zones:
       - example.com 

   2

   
       forwardPlugin:
         transportConfig:
           transport: TLS 

   3

   
           tls:
             caBundle:
               name: mycacert
             serverName: dnstls.example.com  

   4

   
         policy: Random 

   5

   
         upstreams: 

   6

   
         - 1.1.1.1
         - 2.2.2.2:5353
     upstreamResolvers: 

   7

   
       transportConfig:
         transport: TLS
         tls:
           caBundle:
             name: mycacert
           serverName: dnstls.example.com
       upstreams:
       - type: Network 

   8

   
         address: 1.2.3.4 

   9

   
         port: 53 

   10

   Copy to Clipboard Toggle word wrap

   1

   必须符合 rfc6335 服务名称语法。

   2

   必须符合 rfc1123 服务名称语法中的子域的定义。集群域 cluster.local 是对 zones 字段的无效子域。集群域 cluster.local 不是 zones 中的一个有效的 subdomain。

   3

   在为转发 DNS 查询配置 TLS 时，将 transport 字段设置为具有值 TLS。

   4

   当为转发 DNS 查询配置 TLS 时，这是用作服务器名称的一部分(SNI)的强制服务器名称来验证上游 TLS 服务器证书。

   5

   定义用于选择上游解析器的策略。默认值为 Random。您还可以使用 RoundRobin, 和 Sequential 值。

   6

   必需。使用它提供上游解析器。每个 forwardPlugin 条目最多允许 15 个 upstreams 条目。

   7

   可选。您可以使用它来覆盖默认策略，并将 DNS 解析转发到默认域的指定 DNS 解析器（上游解析器）。如果没有提供任何上游解析器，DNS 名称查询将进入 /etc/resolv.conf 中的服务器。

   8

   在使用 TLS 时，只允许网络类型，且您必须提供 IP 地址。网络类型表示，该上游解析器应该独立于 /etc/resolv.conf 中列出的上游解析器单独处理转发请求。

   9

   address 字段必须是有效的 IPv4 或 IPv6 地址。

   10

   您可以选择提供端口。port 必须是 1 到 65535 之间的值。如果您没有为上游指定端口，则默认端口为 853。

   注意

   如果 servers 未定义或无效，则配置映射只包括默认服务器。

验证

1. 查看配置映射：

   $ oc get configmap/dns-default -n openshift-dns -o yaml

   Copy to Clipboard Toggle word wrap

   基于 TLS 转发示例的 DNS ConfigMap 示例

   apiVersion: v1
   data:
     Corefile: |
       example.com:5353 {
           forward . 1.1.1.1 2.2.2.2:5353
       }
       bar.com:5353 example.com:5353 {
           forward . 3.3.3.3 4.4.4.4:5454 

   1

   
       }
       .:5353 {
           errors
           health
           kubernetes cluster.local in-addr.arpa ip6.arpa {
               pods insecure
               upstream
               fallthrough in-addr.arpa ip6.arpa
           }
           prometheus :9153
           forward . /etc/resolv.conf 1.2.3.4:53 {
               policy Random
           }
           cache 30
           reload
       }
   kind: ConfigMap
   metadata:
     labels:
       dns.operator.openshift.io/owning-dns: default
     name: dns-default
     namespace: openshift-dns

   Copy to Clipboard Toggle word wrap

   1

   对 forwardPlugin 的更改会触发 CoreDNS 守护进程集的滚动更新。