13.4.2. 配置挂载命名空间封装

流程

1. 使用以下 YAML 创建名为 mount_namespace_config.yaml 的文件：

   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     labels:
       machineconfiguration.openshift.io/role: master
     name: 99-kubens-master
   spec:
     config:
       ignition:
         version: 3.2.0
       systemd:
         units:
         - enabled: true
           name: kubens.service
   ---
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     labels:
       machineconfiguration.openshift.io/role: worker
     name: 99-kubens-worker
   spec:
     config:
       ignition:
         version: 3.2.0
       systemd:
         units:
         - enabled: true
           name: kubens.service

2. 运行以下命令来应用挂载命名空间 MachineConfig CR：

   $ oc apply -f mount_namespace_config.yaml

   输出示例

   machineconfig.machineconfiguration.openshift.io/99-kubens-master created
   machineconfig.machineconfiguration.openshift.io/99-kubens-worker created

3. MachineConfig CR 最多可能需要 30 分钟才能完成在集群中应用。您可以运行以下命令来检查 MachineConfig CR 的状态：

   $ oc get mcp

   输出示例

   NAME     CONFIG                                             UPDATED   UPDATING   DEGRADED   MACHINECOUNT   READYMACHINECOUNT   UPDATEDMACHINECOUNT   DEGRADEDMACHINECOUNT   AGE
   master   rendered-master-03d4bc4befb0f4ed3566a2c8f7636751   False     True       False      3              0                   0                     0                      45m
   worker   rendered-worker-10577f6ab0117ed1825f8af2ac687ddf   False     True       False      3              1                   1

4. 运行以下命令，等待所有 control plane 和 worker 节点成功应用 MachineConfig CR：

   $ oc wait --for=condition=Updated mcp --all --timeout=30m

   输出示例

   machineconfigpool.machineconfiguration.openshift.io/master condition met
   machineconfigpool.machineconfiguration.openshift.io/worker condition met

验证

1. 打开集群主机的默认 shell:

   $ oc debug node/<node_name>

2. 打开 chroot 会话：

   sh-4.4# chroot /host

3. 检查 systemd 挂载命名空间：

   sh-4.4# readlink /proc/1/ns/mnt

   输出示例

   mnt:[4026531953]

4. 检查 kubelet 挂载命名空间：

   sh-4.4# readlink /proc/$(pgrep kubelet)/ns/mnt

   输出示例

   mnt:[4026531840]

5. 检查 CRI-O 挂载命名空间：

   sh-4.4# readlink /proc/$(pgrep crio)/ns/mnt

   输出示例

   mnt:[4026531840]

   这些命令返回与 systemd、kubelet 和容器运行时关联的挂载命名空间。在 OpenShift Container Platform 中，容器运行时是 CRI-O。

   如果 systemd 位于 kubelet 和 CRI-O 不同的挂载命名空间中，则封装生效，如上例中所示。如果所有三个进程都位于同一挂载命名空间中，则封装无效。