3.2. 自定义节点

流程

1. 获取 RHEL 8 系统，然后注册并订阅它：

   # subscription-manager register
   Username: yourname
   Password: ***************
   # subscription-manager attach --auto

2. 安装构建软件和容器所需的软件：

   # yum install podman make git -y

3. 克隆 kmod-via-containers 存储库：

   $ mkdir kmods; cd kmods
   $ git clone https://github.com/kmods-via-containers/kmods-via-containers

4. 在 RHEL 8 构建主机上安装 KVC 框架实例来测试模块。这会添加 kmods-via-container systemd 服务并加载它：

   $ cd kmods-via-containers/
   $ sudo make install
   $ sudo systemctl daemon-reload

5. 获取内核模块源代码。通过源代码，可以构建一个您无法控制但由其他人提供的第三方模块。您需要类似 kvc -simple-kmod 示例中显示的内容 ，使用以下步骤将这些内容克隆到您的系统中：

   $ cd ..
   $ git clone https://github.com/kmods-via-containers/kvc-simple-kmod

6. 编辑示例中的配置文件 simple-kmod.conf，将 Dockerfile 的名称改为 Dockerfile.rhel ，该文件如下所示：

   $ cd kvc-simple-kmod
   $ cat simple-kmod.conf
   
   KMOD_CONTAINER_BUILD_CONTEXT="https://github.com/kmods-via-containers/kvc-simple-kmod.git"
   KMOD_CONTAINER_BUILD_FILE=Dockerfile.rhel
   KMOD_SOFTWARE_VERSION=dd1a7d4
   KMOD_NAMES="simple-kmod simple-procfs-kmod"

7. 为您的内核模块创建一个 kmods-via-containers@.service 实例（在这个示例中是 simple-kmod ）并启用它：

   $ sudo make install
   $ sudo kmods-via-containers build simple-kmod $(uname -r)

8. 启用并启动 systemd 服务，然后检查状态：

   $ sudo systemctl enable kmods-via-containers@simple-kmod.service
   $ sudo systemctl start kmods-via-containers@simple-kmod.service
   $ sudo systemctl status kmods-via-containers@simple-kmod.service
   ● kmods-via-containers@simple-kmod.service - Kmods Via Containers - simple-kmod
      Loaded: loaded (/etc/systemd/system/kmods-via-containers@.service;
             enabled; vendor preset: disabled)
      Active: active (exited) since Sun 2020-01-12 23:49:49 EST; 5s ago...

9. 要确认载入了内核模块，请使用 lsmod 命令列出模块：

   $ lsmod | grep simple_
   simple_procfs_kmod     16384  0
   simple_kmod            16384  0

10. simple-kmod 示例还有几个其它方法来测试它是否可以正常工作。使用 dmesg 在内核环缓冲中查找 "Hello world" 信息：

    $ dmesg | grep 'Hello world'
    [ 6420.761332] Hello world from simple_kmod.

    在 /proc 中检查 simple-procfs-kmod 的值：

    $ sudo cat /proc/simple-procfs-kmod
    simple-procfs-kmod number = 0

    运行 spkut 命令从模块中获取更多信息：

    $ sudo spkut 44
    KVC: wrapper simple-kmod for 4.18.0-147.3.1.el8_1.x86_64
    Running userspace wrapper using the kernel module container...
    + podman run -i --rm --privileged
       simple-kmod-dd1a7d4:4.18.0-147.3.1.el8_1.x86_64 spkut 44
    simple-procfs-kmod number = 0
    simple-procfs-kmod number = 44

流程

1. 检查每个节点的 BIOS 是否需要启用 TPM v2 加密。这在大多数 Dell 系统中是必需的。请参阅您的计算机的相关手册。

2. 为集群生成 Kubernetes 清单：

   $ ./openshift-install create manifests --dir=<installation_directory>

3. 在 openshift 目录中，创建一个 master 和/或 worker 文件来为这些节点加密磁盘。以下是这两个文件的例子：

   $ cat << EOF > ./99-openshift-worker-tpmv2-encryption.yaml
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     name: worker-tpm
     labels:
       machineconfiguration.openshift.io/role: worker
   spec:
     config:
       ignition:
         version: 2.2.0
       storage:
         files:
         - contents:
             source: data:text/plain;base64,e30K
           filesystem: root
           mode: 420
           path: /etc/clevis.json
   EOF

   $ cat << EOF > ./99-openshift-master-tpmv2-encryption.yaml
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     name: master-tpm
     labels:
       machineconfiguration.openshift.io/role: master
   spec:
     config:
       ignition:
         version: 2.2.0
       storage:
         files:
         - contents:
             source: data:text/plain;base64,e30K
           filesystem: root
           mode: 420
           path: /etc/clevis.json
   EOF

4. 生成 YAML 文件的备份副本。在创建集群时会删除该文件，所以您应该进行备份。
5. 继续进行 OpenShift Container Platform 部署的剩余部分。

流程

1. 使用一个 Red Hat Enterprise Linux 服务器配置加密设置，并运行 openshift-install 来安装一个集群及 oc。
2. 设置或访问现有的 Tang 服务器。具体步骤请查看网络绑定磁盘加密 。另请参阅 Securing Automated Decryption New Cryptography and Techni。
3. 添加内核参数来配置集群在安装 Red Hat Enterprise Linux CoreOS（RHCOS）时的网络。例如：在内核命令行中添加参数来配置 DHCP 网络，指定 ip=dhcp，或者设置静态网络。对于 DHCP 和静态网络，您必须提供 rd.neednet=1 内核参数。

4. 生成 thumbprint。安装 clevis 软件包（如果还没有安装），并从 Tang 服务器生成一个 thumbprint。使用 Tang 服务器 URL 替换 url 的值：

   $ sudo yum install clevis -y
   $ echo nifty random wordwords \
        | clevis-encrypt-tang \
          '{"url":"https://tang.example.org"}'
   
   The advertisement contains the following signing keys:
   
   PLjNyRdGw03zlRoGjQYMahSZGu9
   
   Do you wish to trust these keys? [ynYN] y
   eyJhbmc3SlRyMXpPenc3ajhEQ01tZVJiTi1oM...

5. 创建 Base64 编码文件，使用新生成的 Tang server 替换 url，thumbprint 替换thp：

   $ (cat <<EOM
   {
    "url": "https://tang.example.com",
    "thp": "PLjNyRdGw03zlRoGjQYMahSZGu9"
   }
   EOM
   ) | base64 -w0
   
   ewogInVybCI6ICJodHRwczovL3RhbmcuZXhhbXBsZS5jb20iLAogInRocCI6ICJaUk1leTFjR3cwN3psVExHYlhuUWFoUzBHdTAiCn0K

6. 将 TPM2 示例中的 “source” 替换为 worker 和/或 master 节点的其中一个或两个示例的 Base64 编码文件：

   重要

   您必须添加 rd.neednet=1 内核参数。

   $ cat << EOF > ./99-openshift-worker-tang-encryption.yaml
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     name: worker-tang
     labels:
       machineconfiguration.openshift.io/role: worker
   spec:
     config:
       ignition:
         version: 2.2.0
       storage:
         files:
         - contents:
             source: data:text/plain;base64,e30K
             source: data:text/plain;base64,ewogInVybCI6ICJodHRwczovL3RhbmcuZXhhbXBsZS5jb20iLAogInRocCI6ICJaUk1leTFjR3cwN3psVExHYlhuUWFoUzBHdTAiCn0K
           filesystem: root
           mode: 420
           path: /etc/clevis.json
     kernelArguments:
       - rd.neednet=1 <.>
   EOF

   必需。

   $ cat << EOF > ./99-openshift-master-tang-encryption.yaml
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     name: master-tang
     labels:
       machineconfiguration.openshift.io/role: master
   spec:
     config:
       ignition:
         version: 2.2.0
       storage:
         files:
         - contents:
             source: data:text/plain;base64,e30K
             source: data:text/plain;base64,ewogInVybCI6ICJodHRwczovL3RhbmcuZXhhbXBsZS5jb20iLAogInRocCI6ICJaUk1leTFjR3cwN3psVExHYlhuUWFoUzBHdTAiCn0K
           filesystem: root
           mode: 420
           path: /etc/clevis.json
     kernelArguments:
       - rd.neednet=1 <.>
   EOF

   必需。

7. 继续进行 OpenShift Container Platform 部署的剩余部分。