절차

1. 패키지 및 툴을 설치 및 다운로드하는 데 사용되는 다음 URL을 허용 목록에 추가하십시오.

   domain	포트	함수
   registry.redhat.io	443	코어 컨테이너 이미지를 제공합니다.
   quay.io	443	코어 컨테이너 이미지를 제공합니다.
   *.quay.io	443	코어 컨테이너 이미지를 제공합니다.
   sso.redhat.com	443, 80	필수 항목입니다. https://console.redhat.com/openshift 사이트에서는 sso.redhat.com 의 인증을 사용하여 풀 시크릿을 다운로드하고 Red Hat SaaS 솔루션을 사용하여 서브스크립션, 클러스터 인벤토리, 예상 보고 등을 쉽게 모니터링할 수 있습니다.
   quay-registry.s3.amazonaws.com	443	코어 컨테이너 이미지를 제공합니다.
   ocm-quay-production-s3.s3.amazonaws.com	443	코어 컨테이너 이미지를 제공합니다.
   quayio-production-s3.s3.amazonaws.com	443	코어 컨테이너 이미지를 제공합니다.
   cart-rhcos-ci.s3.amazonaws.com	443	RHCOS(Red Hat Enterprise Linux CoreOS) 이미지를 제공합니다.
   openshift.org	443	RHCOS(Red Hat Enterprise Linux CoreOS) 이미지를 제공합니다.
   registry.access.redhat.com	443	개발자가 OpenShift 및 Kubernetes에서 빌드하는 데 도움이 되는 odo CLI 툴에 대한 액세스를 제공합니다.
   console.redhat.com	443, 80	필수 항목입니다. 클러스터와 OpenShift Console Manager 간의 상호 작용을 통해 예약 업그레이드와 같은 기능을 활성화할 수 있습니다.
   sso.redhat.com	443	https://console.redhat.com/openshift 사이트에서 sso.redhat.com 의 인증을 사용합니다.
   pull.q1w2.quay.rhcloud.com	443	quay.io를 사용할 수 없는 경우 코어 컨테이너 이미지를 폴백으로 제공합니다.
   .q1w2.quay.rhcloud.com	443	quay.io를 사용할 수 없는 경우 코어 컨테이너 이미지를 폴백으로 제공합니다.
   www.okd.io	443	openshift.org 사이트는 www.okd.io 을 통해 리디렉션됩니다.
   www.redhat.com	443, 80	sso.redhat.com 사이트는 www.redhat.com 을 통해 리디렉션됩니다.
   aws.amazon.com	443	iam.amazonaws.com 및 sts.amazonaws.com 사이트는 aws.amazon.com 을 통해 리디렉션됩니다.
   catalog.redhat.com	443	registry.access.redhat.com 및 https://registry.redhat.io 사이트는 catalog.redhat.com 을 통해 리디렉션됩니다.

   허용 목록에 quay.io와 같은 사이트를 추가할 때 *.quay.io와 같은 와일드카드 항목을 거부 목록에 추가하지 마십시오. 대부분의 경우 이미지 레지스트리는 CDN(Content deliver network)을 사용하여 이미지를 제공합니다. 방화벽 블록에 액세스하는 경우 초기 다운로드 요청이 cdn01.quay.io와 같은 호스트 이름에 리디렉션될 때 이미지 다운로드가 거부됩니다.

   cdn01.quay.io 와 같은 CDN 호스트 이름은 허용 목록에 .quay.io 와 같은 와일드카드 항목을 추가할 때 적용됩니다.

2. 다음 Telemetry URL을 허용 목록에 추가합니다.

   domain	포트	함수
   cert-api.access.redhat.com	443	Telemetry에 필요합니다.
   api.access.redhat.com	443	Telemetry에 필요합니다.
   infogw.api.openshift.com	443	Telemetry에 필요합니다.
   console.redhat.com	443	Telemetry 및 Red Hat Insights에 필요합니다.
   observatorium.api.openshift.com	443	관리형 OpenShift별 Telemetry에 필요합니다.

   관리형 클러스터를 사용하려면 Telemetry를 통해 Red Hat이 문제에 보다 신속하게 대응하고, 고객 지원을 개선하며, 제품 업그레이드가 클러스터에 미치는 영향을 보다 잘 이해할 수 있어야 합니다. Red Hat에서 원격 상태 모니터링 데이터를 사용하는 방법에 대한 자세한 내용은 원격 상태 모니터링 정보를 참조하십시오.

3. 다음 AWS(Amazon Web Services) API URls를 나열하십시오.

   domain	포트	함수
   .amazonaws.com	443	AWS 서비스 및 리소스에 액세스하는데 필요합니다.

   또는 AWS(Amazon Web Services) API에 와일드카드를 사용하지 않도록 선택하는 경우 다음 URL을 허용해야 합니다.

   domain	포트	함수
   ec2.amazonaws.com	443	AWS 환경에서 클러스터를 설치하고 관리하는 데 사용됩니다.
   events.amazonaws.com	443	AWS 환경에서 클러스터를 설치하고 관리하는 데 사용됩니다.
   iam.amazonaws.com	443	AWS 환경에서 클러스터를 설치하고 관리하는 데 사용됩니다.
   route53.amazonaws.com	443	AWS 환경에서 클러스터를 설치하고 관리하는 데 사용됩니다.
   sts.amazonaws.com	443	AWS 환경에서 클러스터를 설치하고 관리하는 데 사용됩니다.
   tagging.us-east-1.amazonaws.com	443	AWS 환경에서 클러스터를 설치하고 관리하는 데 사용됩니다. 이 끝점은 클러스터가 배포된 지역에 관계없이 항상 us-east-1입니다.
   ec2.<aws_region>.amazonaws.com	443	AWS 환경에서 클러스터를 설치하고 관리하는 데 사용됩니다.
   elasticloadbalancing.<aws_region>.amazonaws.com	443	AWS 환경에서 클러스터를 설치하고 관리하는 데 사용됩니다.
   servicequotas.<aws_region>.amazonaws.com	443, 80	필수 항목입니다. 서비스 배포에 대한 할당량을 확인하는 데 사용됩니다.
   tagging.<aws_region>.amazonaws.com	443, 80	태그 형태로 AWS 리소스에 대한 메타데이터를 할당할 수 있습니다.

4. 다음 OpenShift URL을 허용 목록에 추가합니다.

   domain	포트	함수
   mirror.openshift.com	443	미러링된 설치 콘텐츠 및 이미지에 액세스하는 데 사용됩니다. 이 사이트는 릴리스 이미지 서명의 소스이기도 하지만 CVO(Cluster Version Operator)에는 단일 기능 소스만 필요합니다.
   storage.googleapis.com/openshift-release (권장)	443	mirror.openshift.com/에 대한 대체 사이트입니다. 클러스터에서 사용하는 플랫폼 릴리스 서명을 다운로드하여 quay.io에서 가져올 이미지를 확인하는 데 사용됩니다.
   api.openshift.com	443	클러스터에 사용 가능한 업데이트가 있는지 확인하는 데 사용됩니다.

5. Allowlist the following site reliability engineering (SRE) 및 관리 URL:

   domain	포트	함수
   api.pagerduty.com	443	이 경고 서비스는 클러스터 내 alertmanager가 수행할 이벤트의 Red Hat SRE에 알리는 경고를 보내는 데 사용됩니다.
   events.pagerduty.com	443	이 경고 서비스는 클러스터 내 alertmanager가 수행할 이벤트의 Red Hat SRE에 알리는 경고를 보내는 데 사용됩니다.
   api.deadmanssnitch.com	443	AWS에서 Red Hat OpenShift Service에서 클러스터가 사용 가능하고 실행 중인지를 나타내는 주기적인 ping을 보내는 데 사용하는 경고 서비스입니다.
   nosnch.in	443	AWS에서 Red Hat OpenShift Service에서 클러스터가 사용 가능하고 실행 중인지를 나타내는 주기적인 ping을 보내는 데 사용하는 경고 서비스입니다.
   *.osdsecuritylogs. splunkcloud.comOR inputs1.osdsecuritylogs.complunkcloud.comcominputs2.osdsecuritylogs.splunkcloud.cominputs4.osdsecuritylogs.splunkcloud.cominputs5.osdsecuritylogs.splunkcloud.cominputs6.osdsecuritylogs.splunkcloud.comsinputs.splunkcloud.com storeds.complunkcloud.com	9997	splunk-forwarder-operator 에서 로그 기반 경고에 사용할 로깅 전달 끝점으로 사용합니다.
   http-inputs-osdsecuritylogs.splunkcloud.com	443	필수 항목입니다. splunk-forwarder-operator 에서 로그 기반 경고에 사용할 로깅 전달 끝점으로 사용합니다.
   SFTP.access.redhat.com (권장)	22	클러스터 문제를 해결하기 위해 진단 로그를 업로드하기 위해 must-gather-operator 에서 사용하는 SFTP 서버입니다.

6. AWS(Amazon Web Services) API에 와일드카드를 허용하지 않은 경우 내부 OpenShift 레지스트리에 사용된 S3 버킷도 허용해야 합니다. 해당 끝점을 검색하려면 클러스터가 성공적으로 프로비저닝된 후 다음 명령을 실행합니다.

   $ oc -n openshift-image-registry get pod -l docker-registry=default -o json | jq '.items[].spec.containers[].env[] | select(.name=="REGISTRY_STORAGE_S3_BUCKET")'

   S3 끝점은 '<cluster-name>-<random-string>-image-registry-<cluster-region>-<random-string>.s3.dualstack.<cluster-region>.amazonaws.com 형식이어야 합니다.

7. 빌드에 필요한 언어 또는 프레임 워크에 대한 리소스를 제공하는 사이트를 허용 목록에 추가합니다.
8. OpenShift에 사용된 언어 및 프레임워크에 의존하는 아웃바운드 URL을 허용 목록에 추가합니다. 방화벽 또는 프록시에서 허용되는 권장 URL 목록은 OpenShift Outbound URL을 참조하십시오.

1. 여기에 표시된 Pod 수는 테스트 Pod 수입니다. 실제 Pod 수는 애플리케이션 메모리, CPU 및 스토리지 요구사항에 따라 달라집니다.
2. 활성 프로젝트 수가 많은 경우 키 공간이 지나치게 커져서 공간 할당량을 초과하면 etcd 성능이 저하될 수 있습니다. etcd 스토리지를 사용할 수 있도록 조각 모음을 포함하여 etcd를 정기적으로 유지보수하는 것이 좋습니다.
3. 시스템에는 일부 상태 변경에 대한 대응으로 지정된 네임스페이스의 모든 오브젝트에서 반복해야 하는 컨트롤 루프가 많습니다. 단일 네임스페이스에 형식의 오브젝트가 많으면 루프 비용이 많이 들고 상태 변경 처리 속도가 느려질 수 있습니다. 이 제한을 적용하면 애플리케이션 요구사항을 충족하기에 충분한 CPU, 메모리 및 디스크가 시스템에 있다고 가정합니다.
4. 각 서비스 포트와 각 서비스 백엔드는 iptables에 해당 항목이 있습니다. 지정된 서비스의 백엔드 수는 끝점 오브젝트의 크기에 영향을 미치므로 시스템 전체에서 전송되는 데이터의 크기에 영향을 미칩니다.

1. etcd는 I/O 집약적이고 대기 시간에 민감하기 때문에 io1 디스크는 컨트롤 플레인/etcd 노드에 사용됩니다. 사용량에 따라 더 많은 수의 IOPS가 필요할 수 있습니다.
2. Prometheus는 사용 패턴에 따라 대량의 메모리를 요청할 수 있기 때문에 인프라 노드는 모니터링 구성 요소를 호스팅하는 데 사용됩니다.
3. 워크로드 노드는 성능 및 확장 가능한 워크로드 생성기 실행 전용입니다.

절차

1. 사용하려는 AWS(Amazon Web Services) 계정에 로그인합니다.

   프로덕션 클러스터를 실행하려면 전용 AWS 계정을 사용하는 것이 좋습니다. AWS 조직을 사용하는 경우 조직 내에서 AWS 계정을 사용하거나 새 조직을 생성할 수 있습니다.

   AWS 조직을 사용하고자 하는 AWS 계정에 서비스 제어 정책(SCP)을 적용해야 하는 경우 이러한 정책은 클러스터에 필요한 역할 및 정책보다 제한적이지 않아야 합니다.

2. AWS 관리 콘솔에서 ROSA 서비스를 활성화합니다.

   1. AWS 계정에 로그인합니다.
   2. ROSA를 활성화하려면 ROSA 서비스로 이동하여 OpenShift 사용을 선택합니다. https://console.aws.amazon.com/rosa/

3. AWS CLI를 설치하고 구성합니다.

   1. AWS 명령줄 인터페이스 설명서에 따라 운영 체제에 대한 AWS CLI를 설치하고 구성합니다.

      .aws/credentials 파일에 올바른 aws_access_key_id 및 aws_secret_access_key 를 지정합니다. AWS 문서의 AWS 구성 기본 사항을 참조하십시오.

   2. 기본 AWS 리전을 설정합니다.

      참고

      환경 변수를 사용하여 기본 AWS 리전을 설정할 수 있습니다.

      ROSA 서비스는 다음 우선 순위 순서로 영역을 평가합니다.

      1. --region 플래그를 사용하여 rosa 명령을 실행할 때 지정된 영역입니다.
      2. AWS_DEFAULT_REGION 환경 변수에 설정된 리전입니다. AWS 문서 의 AWS CLI를 구성하려면 환경 변수 를 참조하십시오.
      3. AWS 구성 파일에 설정된 기본 리전입니다. AWS 문서의 aws 구성을 사용한 빠른 구성을 참조하십시오.

   3. 선택 사항: AWS named profile을 사용하여 AWS CLI 설정 및 인증 정보를 구성합니다. Rosa 는 다음 우선 순위 순서로 프로필이라는 AWS를 평가합니다.

      1. --profile 플래그를 사용하여 rosa 명령을 실행할 때 지정된 프로필입니다.
      2. AWS_PROFILE 환경 변수에 설정된 프로필입니다. AWS 문서의 이름이 지정된 프로필 을 참조하십시오.

   4. 다음 명령을 실행하여 AWS API를 쿼리하여 AWS CLI가 올바르게 설치되어 구성되었는지 확인합니다.

      $ aws sts get-caller-identity

4. ROSA CLI (Rosa)의 최신 버전을 설치합니다.

   1. 운영 체제에 대한 Rosa CLI의 최신 릴리스를 다운로드합니다.

   2. 선택 사항: 다운로드한 파일의 이름을 로사 로 변경하고 파일을 실행 가능하게 만듭니다. 이 문서에서는 rosa 를 사용하여 실행 파일을 참조합니다.

      $ chmod +x rosa

   3. 선택 사항: 경로에 rosa 를 추가합니다.

      $ mv rosa /usr/local/bin/rosa

   4. 다음 명령을 입력하여 설치를 확인합니다.

      $ rosa

      출력 예

      Command line tool for ROSA.
      
      Usage:
        rosa [command]
      
      Available Commands:
        completion  Generates bash completion scripts
        create      Create a resource from stdin
        delete      Delete a specific resource
        describe    Show details of a specific resource
        edit        Edit a specific resource
        help        Help about any command
        init        Applies templates to support Managed OpenShift on AWS clusters
        list        List all resources of a specific type
        login       Log in to your Red Hat account
        logout      Log out
        logs        Show logs of a specific resource
        verify      Verify resources are configured correctly for cluster install
        version     Prints the version of the tool
      
      Flags:
            --debug     Enable debug mode.
        -h, --help      help for rosa
        -v, --v Level   log level for V logs
      
      Use "rosa [command] --help" for more information about a command.

   5. rosa CLI에 대한 명령 완료 스크립트를 생성합니다. 다음 예제에서는 Linux 시스템에 대한 Bash 완료 스크립트를 생성합니다.

      $ rosa completion bash | sudo tee /etc/bash_completion.d/rosa

   6. 기존 터미널에서 rosa 명령 완료를 활성화하는 스크립트를 가져옵니다. 다음 예제에서는 Linux 시스템에서 로사에 대한 Bash 완료 스크립트를 제공합니다.

      $ source /etc/bash_completion.d/rosa

5. rosa CLI를 사용하여 Red Hat 계정에 로그인합니다.

   1. 다음 명령을 입력합니다.

      $ rosa login

   2. &lt ;my_offline_access_token> 을 토큰으로 바꿉니다.

      출력 예

      To login to your Red Hat account, get an offline access token at https://console.redhat.com/openshift/token/rosa
      ? Copy the token and paste it here: <my-offline-access-token>

      계속된 출력 예

      I: Logged in as '<rh-rosa-user>' on 'https://api.openshift.com'

6. AWS 계정에 ROSA 클러스터를 배포하는 데 필요한 할당량이 있는지 확인합니다.

   $ rosa verify quota [--region=<aws_region>]

   출력 예

   I: Validating AWS quota...
   I: AWS quota ok

   참고

   AWS 할당량이 리전에 따라 다를 수 있습니다. 오류가 발생하면 다른 리전을 사용해 보십시오.

   할당량을 늘려야 하는 경우 AWS 관리 콘솔 로 이동하여 실패한 서비스에 대한 할당량 증가를 요청합니다.

   할당량 검사가 성공하면 다음 단계로 진행합니다.

7. 클러스터 배포를 위해 AWS 계정을 준비합니다.

   1. 다음 명령을 실행하여 Red Hat 및 AWS 인증 정보가 올바르게 설정되었는지 확인합니다. AWS 계정 ID, 기본 리전 및 ARN이 예상한 내용과 일치하는지 확인합니다. 이제 OpenShift Cluster Manager로 시작하는 행을 무시해도 됩니다.

      $ rosa whoami

      출력 예

      AWS Account ID:               000000000000
      AWS Default Region:           us-east-1
      AWS ARN:                      arn:aws:iam::000000000000:user/hello
      OCM API:                      https://api.openshift.com
      OCM Account ID:               1DzGIdIhqEWyt8UUXQhSoWaaaaa
      OCM Account Name:             Your Name
      OCM Account Username:         you@domain.com
      OCM Account Email:            you@domain.com
      OCM Organization ID:          1HopHfA2hcmhup5gCr2uH5aaaaa
      OCM Organization Name:        Red Hat
      OCM Organization External ID: 0000000

8. ROSA(rosa) CLI에서 OpenShift CLI(oc), 버전 4.7.9 이상을 설치합니다.

   1. 이 명령을 입력하여 oc CLI의 최신 버전을 다운로드합니다.

      $ rosa download openshift-client

   2. oc CLI를 다운로드한 후 압축을 풀고 경로에 추가합니다.

   3. 다음 명령을 입력하여 oc CLI가 올바르게 설치되었는지 확인합니다.

      $ rosa verify openshift-client