13.4. OpenShift Update Service 없이 연결이 끊긴 환경에서 클러스터 업데이트

절차

1. 일시 중지하려는 사용 가능한 MachineHealthCheck 리소스를 모두 나열하려면 다음 명령을 실행합니다.

   $ oc get machinehealthcheck -n openshift-machine-api

2. 머신 상태 점검을 일시 중지하려면 cluster.x-k8s.io/paused="" 주석을 MachineHealthCheck 리소스에 추가합니다. 다음 명령을 실행합니다.

   $ oc -n openshift-machine-api annotate mhc <mhc-name> cluster.x-k8s.io/paused=""

   주석이 지정된 MachineHealthCheck 리소스는 다음 YAML 파일과 유사합니다.

   apiVersion: machine.openshift.io/v1beta1
   kind: MachineHealthCheck
   metadata:
     name: example
     namespace: openshift-machine-api
     annotations:
       cluster.x-k8s.io/paused: ""
   spec:
     selector:
       matchLabels:
         role: worker
     unhealthyConditions:
     - type:    "Ready"
       status:  "Unknown"
       timeout: "300s"
     - type:    "Ready"
       status:  "False"
       timeout: "300s"
     maxUnhealthy: "40%"
   status:
     currentHealthy: 5
     expectedMachines: 5

   중요

   클러스터를 업데이트한 후 머신 상태 점검을 다시 시작합니다. 검사를 다시 시작하려면 다음 명령을 실행하여 MachineHealthCheck 리소스에서 일시 중지 주석을 제거합니다.

   $ oc -n openshift-machine-api annotate mhc <mhc-name> cluster.x-k8s.io/paused-

절차

1. 인터넷에 연결된 장치에서 다음 명령을 실행합니다.

   $ oc adm release info -o 'jsonpath={.digest}{"\n"}' quay.io/openshift-release-dev/ocp-release:${OCP_RELEASE_VERSION}-${ARCHITECTURE}

   {OCP_RELEASE_VERSION} 의 경우 4.10.16 과 같이 업데이트할 OpenShift Container Platform 버전을 지정합니다.

   {ARCHITECTURE} 의 경우 x86_64,aarch64,s390x, ppc64le 과 같은 클러스터의 아키텍처를 지정합니다.

   출력 예

   sha256:a8bfba3b6dddd1a2fbbead7dac65fe4fb8335089e4e7cae327f3bad334add31d

2. 클러스터를 업데이트할 때 사용할 sha256 다이제스트를 복사합니다.

절차

1. 미러링된 저장소를 설정합니다.

   • Red Hat Quay Repository Mirroring에 설명된대로 Red Hat Quay를 사용하여 미러링된 저장소를 설정합니다. Red Hat Quay를 사용하면 한 저장소에서 다른 저장소로 이미지를 복사하고 시간이 지남에 따라 해당 저장소를 반복해서 자동으로 동기화할 수 있습니다.

   • skopeo와 같은 툴을 사용하여 소스 디렉토리에서 미러링된 저장소로 이미지를 수동으로 복사합니다.

     예를 들어, Red Hat Enterprise Linux(RHEL) 7 또는 RHEL 8 시스템에 skopeo RPM 패키지를 설치한 후 다음 예와 같이 skopeo 명령을 사용합니다.

     $ skopeo copy \
     docker://registry.access.redhat.com/ubi9/ubi-minimal:latest@sha256:5cf... \
     docker://example.io/example/ubi-minimal

     이 예제에는 example.io 라는 컨테이너 이미지 레지스트리가 있으며, registry.access.redhat.com 에서 ubi9/ubi-minimal 이미지를 복사할 example 이라는 이미지 저장소가 있습니다. 레지스트리를 생성한 후 OpenShift Container Platform 클러스터를 설정하여 소스 저장소의 요청을 미러링된 저장소로 리디렉션할 수 있습니다.

2. OpenShift Container Platform 클러스터에 로그인합니다.

3. 필요에 따라 ImageDigestMirrorSet 또는 ImageTagMirrorSet CR을 생성하여 소스 및 미러를 자체 레지스트리 및 저장소 쌍과 이미지로 교체합니다.

   apiVersion: config.openshift.io/v1 1
   kind: ImageDigestMirrorSet 2
   metadata:
     name: ubi9repo
   spec:
     imageDigestMirrors: 3
     - mirrors:
       - example.io/example/ubi-minimal 4
       - example.com/example/ubi-minimal 5
       source: registry.access.redhat.com/ubi9/ubi-minimal 6
       mirrorSourcePolicy: AllowContactingSource 7
     - mirrors:
       - mirror.example.com/redhat
       source: registry.redhat.io/openshift4 8
       mirrorSourcePolicy: AllowContactingSource
     - mirrors:
       - mirror.example.com
       source: registry.redhat.io 9
       mirrorSourcePolicy: AllowContactingSource
     - mirrors:
       - mirror.example.net/image
       source: registry.example.com/example/myimage 10
       mirrorSourcePolicy: AllowContactingSource
     - mirrors:
       - mirror.example.net
       source: registry.example.com/example 11
       mirrorSourcePolicy: AllowContactingSource
     - mirrors:
       - mirror.example.net/registry-example-com
       source: registry.example.com 12
       mirrorSourcePolicy: AllowContactingSource

   1

   이 CR과 함께 사용할 API를 나타냅니다. config.openshift.io/v1 이어야 합니다.

   2

   풀 유형에 따라 오브젝트의 종류를 나타냅니다.

   • ImageDigestMirrorSet: 다이제스트 참조 이미지를 가져옵니다.
   • ImageTagMirrorSet: 태그 참조 이미지를 가져옵니다.

   3

   다음 중 하나로 이미지 풀 메서드의 유형을 나타냅니다.

   • imageDigestMirrors: ImageDigestMirrorSet CR에 사용합니다.
   • imageTagMirrors: ImageTagMirrorSet CR에 사용합니다.

   4

   미러링된 이미지 레지스트리 및 저장소의 이름을 나타냅니다.

   5

   선택 사항: 각 대상 저장소에 대한 보조 미러 저장소를 나타냅니다. 하나의 미러가 다운되면 대상 저장소에서 다른 미러를 사용할 수 있습니다.

   6

   이미지 가져오기 사양에서 참조하는 레지스트리 및 리포지토리 소스를 나타냅니다.

   7

   선택 사항: 이미지 가져오기에 실패하는 경우 대체 정책을 표시합니다.

   • AllowContactingSource: 소스 저장소에서 이미지를 계속 가져올 수 있습니다. 이는 기본값입니다.
   • NeverContactSource: 소스 저장소에서 이미지를 가져 오는 지속적인 시도를 방지합니다.

   8

   선택 사항: 레지스트리 내부의 네임스페이스를 나타내며, 이를 통해 해당 네임스페이스의 이미지를 사용할 수 있습니다. 레지스트리 도메인을 소스로 사용하는 경우 오브젝트는 레지스트리의 모든 리포지토리에 적용됩니다.

   9

   선택 사항: 레지스트리를 나타내며, 레지스트리의 이미지를 사용할 수 있습니다. 레지스트리 이름을 지정하면 오브젝트가 소스 레지스트리의 모든 리포지토리에 적용됩니다.

   10

   미러 mirror.example.net/image@sha256:... .에서 registry.example.com/example/myimage@sha256:…​ 이미지를 가져옵니다.

   11

   미러 mirror.example.net/image@sha256:…​ 에서 소스 레지스트리 네임스페이스에서 registry.example.com/example/image@sha256:…​ 이미지를 가져옵니다.

   12

   미러 레지스트리 example.net/registry-example-com/myimage@sha256:…​ 에서 registry.example.com/myimage@sha256 이미지를 가져옵니다. ImageContentSourcePolicy 리소스는 소스 레지스트리의 모든 리포지토리에 적용되며 미러 레지스트리 mirror.example.net/registry-example-com 에 적용됩니다.

4. 새 오브젝트를 생성합니다.

   $ oc create -f registryrepomirror.yaml

   오브젝트가 생성되면 MCO(Machine Config Operator)에서 새 설정이 각 노드에 배포될 때 노드를 차단합니다. MCO는 ImageTagMirrorSet 오브젝트의 노드만 다시 시작합니다. MCO는 ImageDigestMirrorSet 개체의 노드를 다시 시작하지 않습니다. 노드가 차단 해제되면 클러스터는 소스 저장소에 대한 요청에 미러링된 저장소를 사용하기 시작합니다.

5. 미러링된 구성 설정이 적용되었는지 확인하려면 노드 중 하나에서 다음을 수행하십시오.

   1. 노드를 나열합니다.

      $ oc get node

      출력 예

      NAME                           STATUS                     ROLES    AGE  VERSION
      ip-10-0-137-44.ec2.internal    Ready                      worker   7m   v1.26.0
      ip-10-0-138-148.ec2.internal   Ready                      master   11m  v1.26.0
      ip-10-0-139-122.ec2.internal   Ready                      master   11m  v1.26.0
      ip-10-0-147-35.ec2.internal    Ready                      worker   7m   v1.26.0
      ip-10-0-153-12.ec2.internal    Ready                      worker   7m   v1.26.0
      ip-10-0-154-10.ec2.internal    Ready                      master   11m  v1.26.0

   2. 디버깅 프로세스를 시작하고 노드에 액세스합니다.

      $ oc debug node/ip-10-0-147-35.ec2.internal

      출력 예

      Starting pod/ip-10-0-147-35ec2internal-debug ...
      To use host binaries, run `chroot /host`

   3. 루트 디렉토리를 /host 로 변경합니다.

      sh-4.2# chroot /host

   4. /etc/containers/registries.conf 파일을 체크하여 변경 사항이 적용되었는지 확인합니다.

      sh-4.2# cat /etc/containers/registries.conf

      다음 출력은 ImageDigestMirrorSet 오브젝트 및 ImageTagMirrorSet 오브젝트가 적용된 registries.conf 파일을 나타냅니다. 마지막 두 항목은 각각 digest-only 및 tag-only 로 표시됩니다.

      출력 예

      unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
      short-name-mode = ""
      
      [[registry]]
        prefix = ""
        location = "registry.access.redhat.com/ubi9/ubi-minimal" 1
      
        [[registry.mirror]]
          location = "example.io/example/ubi-minimal" 2
          pull-from-mirror = "digest-only" 3
      
        [[registry.mirror]]
          location = "example.com/example/ubi-minimal"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.example.com"
      
        [[registry.mirror]]
          location = "mirror.example.net/registry-example-com"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.example.com/example"
      
        [[registry.mirror]]
          location = "mirror.example.net"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.example.com/example/myimage"
      
        [[registry.mirror]]
          location = "mirror.example.net/image"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.redhat.io"
      
        [[registry.mirror]]
          location = "mirror.example.com"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.redhat.io/openshift4"
      
        [[registry.mirror]]
          location = "mirror.example.com/redhat"
          pull-from-mirror = "digest-only"
      [[registry]]
        prefix = ""
        location = "registry.access.redhat.com/ubi9/ubi-minimal"
        blocked = true 4
      
        [[registry.mirror]]
          location = "example.io/example/ubi-minimal-tag"
          pull-from-mirror = "tag-only" 5

      1

      가져오기 사양에 참조되는 리포지토리를 나타냅니다.

      2

      해당 저장소에 대한 미러를 나타냅니다.

      3

      미러에서 이미지 가져오기가 다이제스트 참조 이미지임을 나타냅니다.

      4

      NeverContactSource 매개변수가 이 리포지토리에 설정되어 있음을 나타냅니다.

      5

      미러에서 이미지 가져오기가 태그 참조 이미지임을 나타냅니다.

   5. 소스에서 이미지를 노드로 가져와 미러링에 의해 해결되는지 확인합니다.

      sh-4.2# podman pull --log-level=debug registry.access.redhat.com/ubi9/ubi-minimal@sha256:5cf...

절차

1. <local_registry>, <pull_spec>, 및 <pull_secret_file>에 대한 값을 지정하여 다음 명령을 실행합니다.

   $ oc adm catalog mirror <local_registry>/<pull_spec> <local_registry> -a <pull_secret_file> --icsp-scope=registry

   다음과 같습니다.

   <local_registry>

   연결이 끊긴 클러스터에 대해 구성한 로컬 레지스트리입니다 (예: local.registry:5000).

   <pull_spec>

   연결이 끊긴 레지스트리에 구성된 풀 사양입니다(예: redhat/redhat-operator-index:v4.13).

   <pull_secret_file>

   registry.redhat.io 풀 시크릿은 .json 파일 형식입니다. Red Hat OpenShift Cluster Manager에서 풀 시크릿을 다운로드할 수 있습니다.

   oc adm catalog mirror 명령은 /redhat-operator-index-manifests 디렉터리를 생성하고 imageContentSourcePolicy.yaml,catalogSource.yaml 및 mapping.txt 파일을 생성합니다.

2. 새 ImageContentSourcePolicy 리소스를 클러스터에 적용합니다.

   $ oc apply -f imageContentSourcePolicy.yaml