3.2. 노드의 사용자 정의

프로세스

1. RHEL 8 시스템을 가져온 후 등록하고 구독하십시오.

   # subscription-manager register
   Username: yourname
   Password: ***************
   # subscription-manager attach --auto

2. 소프트웨어 및 컨테이너를 빌드하는 데 필요한 소프트웨어를 설치하십시오.

   # yum install podman make git -y

3. kmod-via-containers 리포지토리를 복제합니다.

   $ mkdir kmods; cd kmods
   $ git clone https://github.com/kmods-via-containers/kmods-via-containers

4. RHEL 8 빌드 호스트에 KVC 프레임 워크 인스턴스를 설치하여 모듈을 테스트합니다. kmods-via-container systemd 서비스가 추가되어 로드됩니다.

   $ cd kmods-via-containers/
   $ sudo make install
   $ sudo systemctl daemon-reload

5. 커널 모듈의 소스 코드를 가져옵니다. 소스 코드는 제어할 수 없지만 다른 사람이 제공하는 타사 모듈을 빌드하는 데 사용될 수 있습니다. 다음과 같이 시스템에 복제할 수있는 kvc-simple-kmod 예제에 표시된 내용과 유사한 내용이 필요합니다.

   $ cd ..
   $ git clone https://github.com/kmods-via-containers/kvc-simple-kmod

6. 다음과 같이 설정 파일 simple-kmod.conf을 편집하고 Dockerfile의 이름을 Dockerfile.rhel로 변경합니다.

   $ cd kvc-simple-kmod
   $ cat simple-kmod.conf
   
   KMOD_CONTAINER_BUILD_CONTEXT="https://github.com/kmods-via-containers/kvc-simple-kmod.git"
   KMOD_CONTAINER_BUILD_FILE=Dockerfile.rhel
   KMOD_SOFTWARE_VERSION=dd1a7d4
   KMOD_NAMES="simple-kmod simple-procfs-kmod"

7. 커널 모듈의 kmods-via-containers @ .service 인스턴스 (이 예제에서는 simple-kmod)를 만들고 이를 활성화합니다.

   $ sudo make install
   $ sudo kmods-via-containers build simple-kmod $(uname -r)

8. systemd 서비스를 활성화하고 시작한 다음 상태를 확인하십시오.

   $ sudo systemctl enable kmods-via-containers@simple-kmod.service
   $ sudo systemctl start kmods-via-containers@simple-kmod.service
   $ sudo systemctl status kmods-via-containers@simple-kmod.service
   ● kmods-via-containers@simple-kmod.service - Kmods Via Containers - simple-kmod
      Loaded: loaded (/etc/systemd/system/kmods-via-containers@.service;
             enabled; vendor preset: disabled)
      Active: active (exited) since Sun 2020-01-12 23:49:49 EST; 5s ago...

9. 커널 모듈이 로드되었는지 확인하려면 lsmod 명령을 사용하여 모듈을 나열하십시오.

   $ lsmod | grep simple_
   simple_procfs_kmod     16384  0
   simple_kmod            16384  0

10. simple-kmod 예제에는 작동 여부를 테스트하는 몇 가지 다른 방법이 있습니다. dmesg를 사용하여 커널 링 버퍼에 "Hello world"메시지를 찾으십시오.

    $ dmesg | grep 'Hello world'
    [ 6420.761332] Hello world from simple_kmod.

    /proc에서 simple-procfs-kmod의 값을 확인합니다.

    $ sudo cat /proc/simple-procfs-kmod
    simple-procfs-kmod number = 0

    spkut 명령을 실행하여 모듈에 대한 자세한 정보를 가져옵니다.

    $ sudo spkut 44
    KVC: wrapper simple-kmod for 4.18.0-147.3.1.el8_1.x86_64
    Running userspace wrapper using the kernel module container...
    + podman run -i --rm --privileged
       simple-kmod-dd1a7d4:4.18.0-147.3.1.el8_1.x86_64 spkut 44
    simple-procfs-kmod number = 0
    simple-procfs-kmod number = 44

프로세스

1. 각 노드의 BIOS에서 TPM v2 암호화를 활성화해야하는지 확인하십시오. 이는 대부분의 Dell 시스템에서 필요합니다. 컴퓨터 설명서를 확인하십시오.

2. 클러스터에 대한 Kubernetes 매니페스트를 생성합니다.

   $ ./openshift-install create manifests --dir=<installation_directory>

3. openshift 디렉토리에서 마스터 및/또는 작업자 파일을 작성하여 해당 노드의 디스크를 암호화하십시오. 이 두 파일의 예는 다음과 같습니다.

   $ cat << EOF > ./99-openshift-worker-tpmv2-encryption.yaml
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     name: worker-tpm
     labels:
       machineconfiguration.openshift.io/role: worker
   spec:
     config:
       ignition:
         version: 2.2.0
       storage:
         files:
         - contents:
             source: data:text/plain;base64,e30K
           filesystem: root
           mode: 420
           path: /etc/clevis.json
   EOF

   $ cat << EOF > ./99-openshift-master-tpmv2-encryption.yaml
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     name: master-tpm
     labels:
       machineconfiguration.openshift.io/role: master
   spec:
     config:
       ignition:
         version: 2.2.0
       storage:
         files:
         - contents:
             source: data:text/plain;base64,e30K
           filesystem: root
           mode: 420
           path: /etc/clevis.json
   EOF

4. YAML 파일의 백업 사본을 만듭니다. 클러스터를 만들 때 파일이 삭제되므로 백업을 수행해야합니다.
5. 나머지 OpenShift Container Platform 배포를 계속합니다.

프로세스

1. 암호화 설정을 구성하고 openshift-install을 실행하여 함께 작업할 클러스터 및 oc를 설치하기 위해 Red Hat Enterprise Linux 서버에 액세스합니다.
2. 기존 Tang 서버를 설정하거나 액세스합니다. 자세한 내용은 Network-bound disk encryption에서 참조하십시오. Tang에 표시하는 방법에 대한 자세한 내용은 Securing Automated Decryption New Cryptography and Techniques에서 참조하십시오.
3. 클러스터에 대해 RHCOS 설치를 수행할 때 네트워크를 설정하기 위해 커널 인수를 추가합니다. 이 단계를 생략하면 두 번째 부팅이 실패합니다. 예를 들어 DHCP 네트워킹을 설정하려면 ip=dhcp를 지정하거나 커널 명령 줄에 매개 변수를 추가할 때 정적 네트워크를 설정합니다.

4. 지문을 생성합니다. clevis 패키지를 설치하십시오 (아직 설치되지 않은 경우). Tang 서버에서 지문을 생성합니다. url 값을 Tang 서버 URL로 바꾸십시오.

   $ sudo yum install clevis -y
   $ echo nifty random wordwords \
        | clevis-encrypt-tang \
          '{"url":"https://tang.example.org"}'
   
   The advertisement contains the following signing keys:
   
   PLjNyRdGw03zlRoGjQYMahSZGu9
   
   Do you wish to trust these keys? [ynYN] y
   eyJhbmc3SlRyMXpPenc3ajhEQ01tZVJiTi1oM...

5. Base64로 인코딩된 파일을 만들고 값을 새로 생성된 Tang 서버 (url) URL 및 지문 (thp)으로 바꿉니다.

   $ (cat <<EOM
   {
    "url": "https://tang.example.com",
    "thp": "PLjNyRdGw03zlRoGjQYMahSZGu9"
   }
   EOM
   ) | base64 -w0
   
   ewogInVybCI6ICJodHRwczovL3RhbmcuZXhhbXBsZS5jb20iLAogInRocCI6ICJaUk1leTFjR3cwN3psVExHYlhuUWFoUzBHdTAiCn0K

6. TPM2 예제의 "source"를 작업자 및/또는 마스터 노드의 다음 예제 중 하나 또는 둘 다에 대한 Base64 인코딩 파일로 바꿉니다.

   $ cat << EOF > ./99-openshift-worker-tang-encryption.yaml
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     name: worker-tang
     labels:
       machineconfiguration.openshift.io/role: worker
   spec:
     config:
       ignition:
         version: 2.2.0
       storage:
         files:
         - contents:
             source: data:text/plain;base64,e30K
             source: data:text/plain;base64,ewogInVybCI6ICJodHRwczovL3RhbmcuZXhhbXBsZS5jb20iLAogInRocCI6ICJaUk1leTFjR3cwN3psVExHYlhuUWFoUzBHdTAiCn0K
           filesystem: root
           mode: 420
           path: /etc/clevis.json
   EOF

   $ cat << EOF > ./99-openshift-master-encryption.yaml
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     name: master-tang
     labels:
       machineconfiguration.openshift.io/role: master
   spec:
     config:
       ignition:
         version: 2.2.0
       storage:
         files:
         - contents:
             source: data:text/plain;base64,e30K
             source: data:text/plain;base64,ewogInVybCI6ICJodHRwczovL3RhbmcuZXhhbXBsZS5jb20iLAogInRocCI6ICJaUk1leTFjR3cwN3psVExHYlhuUWFoUzBHdTAiCn0K
           filesystem: root
           mode: 420
           path: /etc/clevis.json
   EOF

7. 나머지 OpenShift Container Platform 배포를 계속합니다.