17.9. PolicyGenTemplate 리소스를 사용한 고급 관리형 클러스터 구성

절차

1. 기존 콘텐츠의 기준 소스 CR을 검토합니다. 제로 대화 프로비저닝 (ZTP) 컨테이너에서 추출하여 참조 PolicyGenTemplate CR에 나열된 소스 CR을 검토할 수 있습니다.

   1. /out 폴더를 생성합니다.

      $ mkdir -p ./out

   2. 소스 CR을 추출합니다.

      $ podman run --log-driver=none --rm registry.redhat.io/openshift4/ztp-site-generate-rhel8:v4.12.1 extract /home/ztp --tar | tar x -C ./out

2. ./out/source-crs/ PerformanceProfile.yaml 에서 기준 PerformanceProfile CR을 검토합니다.

   apiVersion: performance.openshift.io/v2
   kind: PerformanceProfile
   metadata:
     name: $name
     annotations:
       ran.openshift.io/ztp-deploy-wave: "10"
   spec:
     additionalKernelArgs:
     - "idle=poll"
     - "rcupdate.rcu_normal_after_boot=0"
     cpu:
       isolated: $isolated
       reserved: $reserved
     hugepages:
       defaultHugepagesSize: $defaultHugepagesSize
       pages:
         - size: $size
           count: $count
           node: $node
     machineConfigPoolSelector:
       pools.operator.machineconfiguration.openshift.io/$mcp: ""
     net:
       userLevelNetworking: true
     nodeSelector:
       node-role.kubernetes.io/$mcp: ''
     numa:
       topologyPolicy: "restricted"
     realTimeKernel:
       enabled: true

   참고

   $…​ 가 포함된 소스 CR의 필드는 PolicyGenTemplate CR에 제공되지 않는 경우 생성된 CR에서 제거됩니다.

3. group-du-sno-ranGen.yaml 참조 파일에서 PerformanceProfile 의 PolicyGenTemplate 항목을 업데이트합니다. 다음 예제 PolicyGenTemplate CR 스탠자는 적절한 CPU 사양을 제공하고, hugepages 구성을 설정하고, globallyDisableIrqLoadBalancing 을 false로 설정하는 새 필드를 추가합니다.

   - fileName: PerformanceProfile.yaml
     policyName: "config-policy"
     metadata:
       name: openshift-node-performance-profile
     spec:
       cpu:
         # These must be tailored for the specific hardware platform
         isolated: "2-19,22-39"
         reserved: "0-1,20-21"
       hugepages:
         defaultHugepagesSize: 1G
         pages:
           - size: 1G
             count: 10
       globallyDisableIrqLoadBalancing: false

4. Git에서 PolicyGenTemplate 변경 사항을 커밋한 다음 GitOps ZTP argo CD 애플리케이션에서 모니터링 중인 Git 리포지토리로 내보냅니다.

절차

1. 업데이트된 ztp-site-generate 컨테이너에 포함할 Containerfile 및 소스 CR YAML 파일이 포함된 디렉터리를 생성합니다. 예를 들면 다음과 같습니다.

   ztp-update/
   ├── example-cr1.yaml
   ├── example-cr2.yaml
   └── ztp-update.in

2. ztp-update.in Containerfile에 다음 내용을 추가합니다.

   FROM registry.redhat.io/openshift4/ztp-site-generate-rhel8:v4.12
   
   ADD example-cr2.yaml /kustomize/plugin/ran.openshift.io/v1/policygentemplate/source-crs/
   ADD example-cr1.yaml /kustomize/plugin/ran.openshift.io/v1/policygentemplate/source-crs/

3. ztp-update/ 디렉터리에서 터미널을 열고 컨테이너를 다시 빌드합니다.

   $ podman build -t ztp-site-generate-rhel8-custom:v4.12-custom-1

4. 빌드된 컨테이너 이미지를 연결이 끊긴 레지스트리로 푸시합니다. 예를 들면 다음과 같습니다.

   $ podman push localhost/ztp-site-generate-rhel8-custom:v4.12-custom-1 registry.example.com:5000/ztp-site-generate-rhel8-custom:v4.12-custom-1

5. hub 클러스터에서 Argo CD 인스턴스를 패치하여 새로 빌드된 컨테이너 이미지를 가리킵니다.

   $ oc patch -n openshift-gitops argocd openshift-gitops --type=json -p '[{"op": "replace", "path":"/spec/repo/initContainers/0/image", "value": "registry.example.com:5000/ztp-site-generate-rhel8-custom:v4.12-custom-1"} ]'

   Argo CD 인스턴스가 패치되면 openshift-gitops-repo-server Pod가 자동으로 다시 시작됩니다.

검증

1. 새 openshift-gitops-repo-server Pod가 초기화를 완료하고 이전 리포지토리 Pod가 종료되었는지 확인합니다.

   $ oc get pods -n openshift-gitops | grep openshift-gitops-repo-server

   출력 예

   openshift-gitops-server-7df86f9774-db682          1/1     Running   	     1          28s

   새로 추가된 컨테이너 이미지 콘텐츠를 사용할 수 있기 전에 새 openshift-gitops-repo-server Pod가 초기화를 완료하고 이전 Pod가 종료될 때까지 기다려야 합니다.

절차

1. PolicyGenTemplate CR에서 모든 정책에 대한 평가 간격을 구성하려면 spec 필드에 evaluationInterval 을 추가한 다음 적절한 준수 및 비준수 값을 설정합니다. 예를 들면 다음과 같습니다.

   spec:
     evaluationInterval:
       compliant: 30m
       noncompliant: 20s

2. PolicyGenTemplate CR에서 spec.sourceFiles 오브젝트에 대한 평가 간격을 구성하려면 evaluationInterval 을 sourceFiles 필드에 추가합니다. 예를 들면 다음과 같습니다.

   spec:
     sourceFiles:
      - fileName: SriovSubscription.yaml
        policyName: "sriov-sub-policy"
        evaluationInterval:
          compliant: never
          noncompliant: 10s

3. Git 리포지토리에서 PolicyGenTemplate CR 파일을 커밋하고 변경 사항을 내보냅니다.

1. 관리형 클러스터에서 cluster-admin 권한이 있는 사용자로 로그인합니다.

2. open-cluster-management-agent-addon 네임스페이스에서 실행 중인 pod를 가져옵니다. 다음 명령을 실행합니다.

   $ oc get pods -n open-cluster-management-agent-addon

   출력 예

   NAME                                         READY   STATUS    RESTARTS        AGE
   config-policy-controller-858b894c68-v4xdb    1/1     Running   22 (5d8h ago)   10d

3. config-policy-controller Pod에 대한 로그의 예상 간격으로 적용된 정책이 평가되고 있는지 확인합니다.

   $ oc logs -n open-cluster-management-agent-addon config-policy-controller-858b894c68-v4xdb

   출력 예

   2022-05-10T15:10:25.280Z       info   configuration-policy-controller controllers/configurationpolicy_controller.go:166      Skipping the policy evaluation due to the policy not reaching the evaluation interval  {"policy": "compute-1-config-policy-config"}
   2022-05-10T15:10:25.280Z       info   configuration-policy-controller controllers/configurationpolicy_controller.go:166      Skipping the policy evaluation due to the policy not reaching the evaluation interval  {"policy": "compute-1-common-compute-1-catalog-policy-config"}

절차

1. 소스 파일 validatorCRs/informDuValidator.yaml 을 포함하는 독립 실행형 PolicyGenTemplate 사용자 정의 리소스(CR)를 생성합니다. 각 클러스터 유형에 대해 하나의 독립 실행형 PolicyGenTemplate CR만 있으면 됩니다. 예를 들어, 이 CR은 단일 노드 OpenShift 클러스터에 대한 검증기를 적용합니다.

   예제 single-node 클러스터 검증기에서는 정책 CR을 알립니다 (group-du-sno-validator-ranGen.yaml).

   apiVersion: ran.openshift.io/v1
   kind: PolicyGenTemplate
   metadata:
     name: "group-du-sno-validator" 1
     namespace: "ztp-group" 2
   spec:
     bindingRules:
       group-du-sno: "" 3
     bindingExcludedRules:
       ztp-done: "" 4
     mcp: "master" 5
     sourceFiles:
       - fileName: validatorCRs/informDuValidator.yaml
         remediationAction: inform 6
         policyName: "du-policy" 7

   1

   PolicyGenTemplates 개체의 이름입니다. 이 이름은 요청된 네임스페이스에서 생성된 placementBinding,placementRule 및 정책 의 일부로 사용됩니다.

   2

   이 값은 PolicyGenTemplates 그룹에 사용된 네임스페이스 와 일치해야 합니다.

   3

   bindingRules 에 정의된 group-du-* 레이블은 SiteConfig 파일에 있어야 합니다.

   4

   bindingExcludedRules 에 정의된 레이블은 'ztp-done:'이어야 합니다. ztp-done 레이블은 토폴로지 Aware Lifecycle Manager와 조정하는 데 사용됩니다.

   5

   MCP 는 소스 파일 validatorCRs/informDuValidator.yaml 에 사용되는 MachineConfigPool 오브젝트를 정의합니다. 단일 노드 및 표준 클러스터 배포의 경우 3노드 클러스터 배포 및 작업자 의 마스터 여야 합니다.

   6

   선택 사항: 기본값은 inform 입니다.

   7

   이 값은 생성된 RHACM 정책의 이름으로 사용됩니다. 단일 노드 예제에 대해 생성된 검증기 정책은 group-du-sno-validator-du-policy 입니다.

2. Git 리포지토리에서 PolicyGenTemplate CR 파일을 커밋하고 변경 사항을 내보냅니다.

절차

1. common-ranGen.yaml 파일의 .spec.sourceFiles 에 다음 YAML을 추가하여 AMQP Operator를 구성합니다.

   #AMQ interconnect operator for fast events
   - fileName: AmqSubscriptionNS.yaml
     policyName: "subscriptions-policy"
   - fileName: AmqSubscriptionOperGroup.yaml
     policyName: "subscriptions-policy"
   - fileName: AmqSubscription.yaml
     policyName: "subscriptions-policy"

2. 요구 사항에 따라 group-du-3node-ranGen.yaml,group-du-sno-ranGen.yaml 또는 group-du-standard-ranGen.yaml 파일에 다음 Policy Gen 변경 사항을 적용합니다.

   1. .sourceFiles.sourceFiles에서 AMQ 전송 호스트를 config-policy 로 구성하는 PtpOperatorConfig CR 파일을 추가합니다.

      - fileName: PtpOperatorConfigForEvent.yaml
        policyName: "config-policy"

   2. PTP 클럭 유형 및 인터페이스에 linuxptp 및 phc2sys 를 구성합니다. 예를 들어 .sourceFiles 에 다음 스탠자를 추가합니다.

      - fileName: PtpConfigSlave.yaml 1
        policyName: "config-policy"
        metadata:
          name: "du-ptp-slave"
        spec:
          profile:
          - name: "slave"
            interface: "ens5f1" 2
            ptp4lOpts: "-2 -s --summary_interval -4" 3
            phc2sysOpts: "-a -r -m -n 24 -N 8 -R 16" 4
          ptpClockThreshold: 5
            holdOverTimeout: 30 #secs
            maxOffsetThreshold: 100  #nano secs
            minOffsetThreshold: -100 #nano secs

      1

      요구 사항에 따라 PtpConfigMaster.yaml,PtpConfigSlave.yaml 또는 PtpConfigSlaveCvl.yaml 하나가 될 수 있습니다. PtpConfigSlaveCvl.yaml 은 Intel E810 Columbiaville NIC에 대해 linuxptp 서비스를 구성합니다. group-du-sno-ranGen.yaml 또는 group-du-3node-ranGen.yaml 을 기반으로 하는 구성의 경우 PtpConfigSlave.yaml 을 사용합니다.

      2

      장치별 인터페이스 이름입니다.

      3

      PTP 빠른 이벤트를 활성화하려면 .spec.sourceFiles.spec.profile 의 --summary_interval -4 값을 ptp4lOpts 에 추가해야 합니다.

      4

      필수 phc2sysOpts 값. -m 은 stdout 에 메시지를 출력합니다. linuxptp-daemon DaemonSet 은 로그를 구문 분석하고 Prometheus 지표를 생성합니다.

      5

      선택 사항: ptpClockThreshold 가 없으면 기본값이 ptpClockThreshold 필드에 사용됩니다. 스탠자는 기본 ptpClockThreshold 값을 표시합니다. ptpClockThreshold 값은 PTP 이벤트가 트리거되기 전에 PTP 마스터 클럭이 연결 해제된 후의 기간을 구성합니다. holdOverTimeout 은 PTP 마스터 클럭의 연결이 끊어지면 PTP 클럭 이벤트 상태가 FREERUN 로 변경되기 전 시간(초)입니다. maxOffsetThreshold 및 minOffsetThreshold 설정은 CLOCK_REALTIME (phc2sys) 또는 마스터 오프셋(ptp4l)의 값과 비교되는 나노초에 오프셋 값을 구성합니다. ptp4l 또는 phc2sys 오프셋 값이 이 범위를 벗어나는 경우 PTP 클럭 상태가 FREERUN 로 설정됩니다. 오프셋 값이 이 범위 내에 있으면 PTP 클럭 상태가 LOCKED 로 설정됩니다.

3. 특정 사이트 YAML 파일에 다음 PolicyGenTemplate 변경 사항을 적용합니다(예: example-sno-site.yaml ).

   1. .sourceFiles.sourceFiles에서 AMQ 라우터를 config-policy 에 구성하는 Interconnect CR 파일을 추가합니다.

      - fileName: AmqInstance.yaml
        policyName: "config-policy"

4. 다른 필요한 변경 사항 및 파일을 사용자 지정 사이트 리포지토리와 병합합니다.
5. 사이트 구성 리포지토리의 변경 사항을 내보내 GitOps ZTP를 사용하여 PTP 빠른 이벤트를 새 사이트에 배포합니다.

절차

1. AMQ Interconnect Operator 및 Bare Metal Event Relay Operator를 구성하려면 common-ranGen.yaml 파일의 spec.sourceFiles 에 다음 YAML을 추가합니다.

   # AMQ interconnect operator for fast events
   - fileName: AmqSubscriptionNS.yaml
     policyName: "subscriptions-policy"
   - fileName: AmqSubscriptionOperGroup.yaml
     policyName: "subscriptions-policy"
   - fileName: AmqSubscription.yaml
     policyName: "subscriptions-policy"
   # Bare Metal Event Rely operator
   - fileName: BareMetalEventRelaySubscriptionNS.yaml
     policyName: "subscriptions-policy"
   - fileName: BareMetalEventRelaySubscriptionOperGroup.yaml
     policyName: "subscriptions-policy"
   - fileName: BareMetalEventRelaySubscription.yaml
     policyName: "subscriptions-policy"

2. 사이트 구성 파일의 .spec.sourceFiles 에 Interconnect CR을 추가합니다(예: example-sno-site.yaml 파일).

   - fileName: AmqInstance.yaml
     policyName: "config-policy"

3. 특정 그룹 구성 파일의 spec.sourceFiles (예: group-du-sno-ranGen.yaml 파일에서 spec.sourceFiles)에 HardwareEvent CR을 추가합니다.

   - fileName: HardwareEvent.yaml
     policyName: "config-policy"
     spec:
       nodeSelector: {}
       transportHost: "amqp://<amq_interconnect_name>.<amq_interconnect_namespace>.svc.cluster.local" 1
       logLevel: "info"

   1

   transportHost URL은 기존 AMQ Interconnect CR 이름과 네임스페이스 로 구성됩니다. 예를 들어 transportHost: "amqp://amq-router.amq-router.svc.cluster.local" 에서 AMQ Interconnect 이름은 둘 다 amq-router 로 설정됩니다.

   참고

   각 BMC(Baseboard Management Controller)에는 단일 HardwareEvent 리소스만 필요합니다.

4. Git에서 PolicyGenTemplate 변경 사항을 커밋한 다음 사이트 구성 리포지토리로 변경 사항을 내보내 GitOps ZTP를 사용하여 베어 메탈 이벤트 모니터링을 새 사이트에 배포합니다.

5. 다음 명령을 실행하여 Redfish 보안을 생성합니다.

   $ oc -n openshift-bare-metal-events create secret generic redfish-basic-auth \
   --from-literal=username=<bmc_username> --from-literal=password=<bmc_password> \
   --from-literal=hostaddr="<bmc_host_ip_addr>"