17장. 설치 구성

프로세스

1. RHEL 8 시스템을 등록합니다.

   # subscription-manager register

2. RHEL 8 시스템에 서브스크립션을 연결합니다.

   # subscription-manager attach --auto

3. 소프트웨어 및 컨테이너를 빌드하는 데 필요한 소프트웨어를 설치합니다.

   # yum install podman make git -y

4. kmod-via-containers 저장소를 복제합니다.

   1. 저장소의 폴더를 만듭니다.

      $ mkdir kmods; cd kmods

   2. 저장소를 복제합니다.

      $ git clone https://github.com/kmods-via-containers/kmods-via-containers

5. RHEL 8 빌드 호스트에 KVC 프레임 워크 인스턴스를 설치하여 모듈을 테스트합니다. kmods-via-container systemd 서비스가 추가되어 로드됩니다.

   1. kmod-via-containers 디렉터리로 변경합니다.

      $ cd kmods-via-containers/

   2. KVC 프레임워크 인스턴스를 설치합니다.

      $ sudo make install

   3. systemd 관리자 설정을 다시로드합니다.

      $ sudo systemctl daemon-reload

6. 커널 모듈의 소스 코드를 가져옵니다. 소스 코드는 제어할 수 없지만 다른 사람이 제공하는 타사 모듈을 빌드하는 데 사용될 수 있습니다. 다음과 같이 시스템에 복제할 수있는 kvc-simple-kmod 예제에 표시된 내용과 유사한 내용이 필요합니다.

   $ cd .. ; git clone https://github.com/kmods-via-containers/kvc-simple-kmod

7. 설정 파일 simple-kmod.conf을 편집하고 Dockerfile의 이름을 Dockerfile.rhel로 변경합니다.

   1. kvc-simple-kmod 디렉터리로 변경합니다.

      $ cd kvc-simple-kmod

   2. Dockerfile의 이름을 바꿉니다.

      $ cat simple-kmod.conf

      Dockerfile 예

      KMOD_CONTAINER_BUILD_CONTEXT="https://github.com/kmods-via-containers/kvc-simple-kmod.git"
      KMOD_CONTAINER_BUILD_FILE=Dockerfile.rhel
      KMOD_SOFTWARE_VERSION=dd1a7d4
      KMOD_NAMES="simple-kmod simple-procfs-kmod"

8. 커널 모듈의 kmods-via-containers @.service 인스턴스 (이 예제에서는 simple-kmod)를 만듭니다.

   $ sudo make install

9. kmods-via-containers @.service 인스턴스를 활성화합니다.

   $ sudo kmods-via-containers build simple-kmod $(uname -r)

10. systemd 서비스를 활성화하고 시작합니다.

    $ sudo systemctl enable kmods-via-containers@simple-kmod.service --now

    1. 서비스 상태를 확인합니다.

       $ sudo systemctl status kmods-via-containers@simple-kmod.service

       출력 예

       ● kmods-via-containers@simple-kmod.service - Kmods Via Containers - simple-kmod
          Loaded: loaded (/etc/systemd/system/kmods-via-containers@.service;
                 enabled; vendor preset: disabled)
          Active: active (exited) since Sun 2020-01-12 23:49:49 EST; 5s ago...

11. 커널 모듈이 로드되었는지 확인하려면 lsmod 명령을 사용하여 모듈을 나열하십시오.

    $ lsmod | grep simple_

    출력 예

    simple_procfs_kmod     16384  0
    simple_kmod            16384  0

12. 선택사항. 다른 방법을 사용하여 simple-kmod 예제가 작동하는지 확인합니다.

    • dmesg를 사용하여 커널 링 버퍼에 "Hello world"메시지를 찾으십시오.

      $ dmesg | grep 'Hello world'

      출력 예

      [ 6420.761332] Hello world from simple_kmod.

    • /proc에서 simple-procfs-kmod의 값을 확인합니다.

      $ sudo cat /proc/simple-procfs-kmod

      출력 예

      simple-procfs-kmod number = 0

    • spkut 명령을 실행하여 모듈에 대한 자세한 정보를 가져옵니다.

      $ sudo spkut 44

      출력 예

      KVC: wrapper simple-kmod for 4.18.0-147.3.1.el8_1.x86_64
      Running userspace wrapper using the kernel module container...
      + podman run -i --rm --privileged
         simple-kmod-dd1a7d4:4.18.0-147.3.1.el8_1.x86_64 spkut 44
      simple-procfs-kmod number = 0
      simple-procfs-kmod number = 44

프로세스

1. 각 노드의 BIOS에서 TPM v2 암호화를 활성화해야하는지 확인하십시오. 이는 대부분의 Dell 시스템에서 필요합니다. 컴퓨터 설명서를 확인하십시오.

2. 설치 노드에서 설치 프로그램이 포함된 디렉터리로 변경하고 클러스터에 대한 Kubernetes 매니페스트를 생성합니다.

   $ ./openshift-install create manifests --dir <installation_directory> 1

   1

   <installation_directory>를 설치 파일을 저장하려는 디렉토리의 경로로 바꿉니다.

3. TPM v2 암호화 모드를 사용하여 컨트롤 플레인 또는 컴퓨팅 노드의 부팅 디스크를 암호화하도록 머신 구성 파일을 생성합니다.

   중요

   영향을 받는 노드에서 부팅 디스크 미러링을 구성하는 경우에도 이 단계를 건너뜁니다. 부트 디스크 미러링을 구성할 때 디스크 암호화를 구성합니다.

   • 컨트롤 플레인 노드에서 암호화를 구성하려면 다음 머신 구성 샘플을 <installation_directory>/openshift 디렉터리의 파일에 저장합니다. 예를 들어 파일 이름을 99-openshift-master-tpmv2-encryption.yaml 로 지정합니다.

     apiVersion: machineconfiguration.openshift.io/v1
     kind: MachineConfig
     metadata:
       name: master-tpm
       labels:
         machineconfiguration.openshift.io/role: master
     spec:
       config:
         ignition:
           version: 3.2.0
         storage:
           luks:
             - name: root
               device: /dev/disk/by-partlabel/root
               clevis:
                 tpm2: true 1
               options: [--cipher, aes-cbc-essiv:sha256]
               wipeVolume: true
           filesystems:
             - device: /dev/mapper/root
               format: xfs
               wipeFilesystem: true
               label: root

     1

     신뢰할 수 있는 플랫폼 모듈(TPM) 보안 암호화 프로세서를 사용하여 루트 파일 시스템을 암호화하려면 이 속성을 true 로 설정합니다.

   • 계산 노드에서 암호화를 구성하려면 다음 머신 구성 샘플을 <installation_directory>/openshift 디렉터리의 파일에 저장합니다. 예를 들어 파일 이름을 99-openshift-worker-tpmv2-encryption.yaml 로 지정합니다.

     apiVersion: machineconfiguration.openshift.io/v1
     kind: MachineConfig
     metadata:
       name: worker-tpm
       labels:
         machineconfiguration.openshift.io/role: worker
     spec:
       config:
         ignition:
           version: 3.2.0
         storage:
           luks:
             - name: root
               device: /dev/disk/by-partlabel/root
               clevis:
                 tpm2: true 1
               options: [--cipher, aes-cbc-essiv:sha256]
               wipeVolume: true
           filesystems:
             - device: /dev/mapper/root
               format: xfs
               wipeFilesystem: true
               label: root

     1

     신뢰할 수 있는 플랫폼 모듈(TPM) 보안 암호화 프로세서를 사용하여 루트 파일 시스템을 암호화하려면 이 속성을 true 로 설정합니다.

4. YAML 파일의 백업 사본을 생성합니다. Ignition 구성 파일을 생성할 때 원본 YAML 파일이 사용됩니다.
5. 나머지 OpenShift Container Platform 배포를 계속합니다.

프로세스

1. Tang 서버를 설정하거나 기존 서버에 액세스합니다. 자세한 내용은 Network-bound disk encryption에서 참조하십시오.

2. 클러스터에 대해 Red Hat Enterprise Linux CoreOS (RHCOS) 설치를 수행할 때 네트워크를 설정하기 위해 커널 인수를 추가합니다. 예를 들어 DHCP 네트워킹을 설정하려면 ip=dhcp를 지정하거나 커널 명령 줄에 매개 변수를 추가할 때 정적 네트워크를 설정합니다. DHCP 및 정적 네트워킹 모두에 대해 rd.neednet = 1 커널 인수도 제공해야 합니다.

   중요

   이 단계를 건너 뛰면 두 번째 부팅이 실패합니다.

4. 아직 설치되지 않은 경우 RHEL 8 시스템에 clevis 패키지를 설치합니다.

   $ sudo yum install clevis

5. RHEL 8 시스템에서 다음 명령을 실행하여 교환 키의 지문을 생성합니다. http://tang.example.com:7500을 Tang 서버의 URL로 바꿉니다.

   $ clevis-encrypt-tang '{"url":"http://tang.example.com:7500"}' < /dev/null > /dev/null 1

   1

   이 예에서 tangd.socket은 Tang 서버의 포트 7500에서 수신 대기 중입니다.

   참고

   clevis-encrypt-tang 명령은 이 단계에서 교환 키의 지문을 생성하는 데만 사용됩니다. 이때 데이터가 암호화를 위해 명령에 전달되지 않으므로 /dev/null 은 일반 텍스트 대신 입력으로 제공됩니다. 이 프로세스에 필요하지 않으므로 암호화된 출력은 /dev/null에도 전송됩니다.

   출력 예

   The advertisement contains the following signing keys:
   
   PLjNyRdGw03zlRoGjQYMahSZGu9 1

   1

   교환 키의 지문입니다.

   Do you wish to trust these keys? [ynYN] 프롬프트가 표시되면 Y를 입력합니다.

   참고

   RHEL 8에서는 SHA-1 해시 알고리즘을 사용하여 지문을 생성하는 Clevis 버전 15를 제공합니다. 다른 일부 배포에서는 지문에 SHA-256 해시 알고리즘을 사용하는 Clevis 버전 17 이상을 제공합니다. OpenShift Container Platform 클러스터 노드에 RHCOS(Red Hat Enterprise Linux CoreOS)를 설치할 때 Clevis 바인딩 문제를 방지하려면 SHA-1을 사용하여 지문을 생성하는 Clevis 버전을 사용해야 합니다.

6. Kubernetes 매니페스트를 아직 생성하지 않은 경우 설치 노드에 설치 프로그램이 포함된 디렉터리로 변경하고 생성합니다.

   $ ./openshift-install create manifests --dir <installation_directory> 1

   1

   <installation_directory>를 설치 파일을 저장하려는 디렉토리의 경로로 바꿉니다.

7. Tang 암호화 모드를 사용하여 컨트롤 플레인 또는 컴퓨팅 노드의 부팅 디스크를 암호화하도록 머신 구성 파일을 생성합니다.

   중요

   영향을 받는 노드에서 부팅 디스크 미러링을 구성하는 경우 나중에 사용할 교환 키 지문을 기록하고 이 단계를 건너뜁니다. 부트 디스크 미러링을 구성할 때 디스크 암호화를 구성합니다.

   • 컨트롤 플레인 노드에서 암호화를 구성하려면 다음 머신 구성 샘플을 <installation_directory>/openshift 디렉터리의 파일에 저장합니다. 예를 들어 파일 이름을 99-openshift-master-tang-encryption.yaml 로 지정합니다.

     apiVersion: machineconfiguration.openshift.io/v1
     kind: MachineConfig
     metadata:
       name: master-tang
       labels:
         machineconfiguration.openshift.io/role: master
     spec:
       config:
         ignition:
           version: 3.2.0
         storage:
           luks:
             - name: root
               device: /dev/disk/by-partlabel/root
               clevis:
                 tang:
                   - url: http://tang.example.com:7500 1
                     thumbprint: PLjNyRdGw03zlRoGjQYMahSZGu9 2
               options: [--cipher, aes-cbc-essiv:sha256]
               wipeVolume: true
           filesystems:
             - device: /dev/mapper/root
               format: xfs
               wipeFilesystem: true
               label: root
       kernelArguments:
         - rd.neednet=1 3

     1

     Tang 서버의 URL을 지정합니다. 이 예에서 tangd.socket은 Tang 서버의 포트 7500에서 수신 대기 중입니다.

     2

     이전 단계에서 생성된 교환 키 지문을 지정합니다.

     3

     rd.neednet=1 커널 인수를 추가하여 initramfs에서 네트워크를 가져옵니다. 이 인수는 필수입니다.

   • 계산 노드에서 암호화를 구성하려면 다음 머신 구성 샘플을 <installation_directory>/openshift 디렉터리의 파일에 저장합니다. 예를 들어 파일 이름을 99-openshift-worker-tang-encryption.yaml 로 지정합니다.

     apiVersion: machineconfiguration.openshift.io/v1
     kind: MachineConfig
     metadata:
       name: worker-tang
       labels:
         machineconfiguration.openshift.io/role: worker
     spec:
       config:
         ignition:
           version: 3.2.0
         storage:
           luks:
             - name: root
               device: /dev/disk/by-partlabel/root
               clevis:
                 tang:
                   - url: http://tang.example.com:7500 1
                     thumbprint: PLjNyRdGw03zlRoGjQYMahSZGu9 2
               options: [--cipher, aes-cbc-essiv:sha256]
               wipeVolume: true
           filesystems:
             - device: /dev/mapper/root
               format: xfs
               wipeFilesystem: true
               label: root
       kernelArguments:
         - rd.neednet=1 3

     1

     Tang 서버의 URL을 지정합니다. 이 예에서 tangd.socket은 Tang 서버의 포트 7500에서 수신 대기 중입니다.

     2

     이전 단계에서 생성된 교환 키 지문을 지정합니다.

     3

     rd.neednet=1 커널 인수를 추가하여 initramfs에서 네트워크를 가져옵니다. 이 인수는 필수입니다.

8. YAML 파일의 백업 사본을 생성합니다. Ignition 구성 파일을 생성할 때 원본 YAML 파일이 사용됩니다.
9. 나머지 OpenShift Container Platform 설치를 계속합니다.