Migration von ursprünglichen Endpunkten zu unterstützten Endpunkten

Klassische Cluster

Sie müssen Maßnahmen ergreifen, wenn eine der folgenden Bedingungen auf Sie zutrifft:

• Sie verfügen über einen oder mehrere klassische Cluster, bei denen der Public-Service-Endpunkt aktiviert ist, und Sie beschränken den ausgehenden Zugriff mithilfe von Zulassungslisten oder Firewalls.
• Sie verfügen über benutzerdefinierte Skripte oder Tools, die Endpunkte von „ origin.<region>.containers.cloud.ibm.com “ direkt aufrufen.

Wenn keine der beiden Bedingungen zutrifft, sind keine Maßnahmen erforderlich.

Um die Verbindung Ihrer Worker-Knoten zu Red Hat OpenShift on IBM Cloud aufrechtzuerhalten, führen Sie bitte vor dem 31. Juli 2026 die folgenden Schritte durch.

• Wenn Sie IP-basierte Firewall-Regeln verwenden: Stellen Sie sicher, dass die im Abschnitt „Kommunikation zwischen Worker-Knoten und Cluster-Master zulassen“ dokumentierten IP-Adressen in Ihren Firewall-Regeln enthalten sind.

• Wenn Sie domänenbasierte Firewall-Regeln verwenden: Fügen Sie die folgenden Bootstrap-Domänen Ihrer Zulassungsliste hinzu.

• Falls Sie benutzerdefinierte Skripte verwenden, die Origin-Endpunkte direkt aufrufen: Wechseln Sie zu den unterstützten API-Endpunkten. Weitere Informationen finden Sie unter „ Über die API “.

Notieren Sie vor Beginn die öffentlichen IP-Adressen aller Workerknoten in dem Cluster.

ibmcloud oc worker ls --cluster <cluster_name_or_ID>

Kommunikation von Workerknoten mit dem Cluster-Master zulassen

Um Workerknoten die Kommunikation mit dem Cluster-Master über den öffentlichen Cloud-Serviceendpunkt zu ermöglichen, lassen Sie ausgehenden Netzverkehr von der Quellen-<each_worker_node_publicIP> zum TCP/UDP-Zielportbereich 30000–32767 und Port 443 sowie die folgenden IP-Adressen und Netzgruppen zu. Wenn Sie darüber hinaus beabsichtigen, Ingress oder Routen zu verwenden, um Apps in Ihrem Cluster zugänglich zu machen, können Sie den eingehenden Netzverkehr über diese Ports für die IP-Adressen Ihres Workerknotens zulassen, damit die Red Hat OpenShift-Steuerebene den Zustand Ihrer Router überprüfen kann.

Diese Tabelle wird verschoben. Die neuesten IP-Listen und fortgesetzte Aktualisierungen finden Sie im Ordner für die Isolation des öffentlichen Netzes im IBM/kube-samples -Repository. Du kannst die Pull-Anfragen im Repo im Auge behalten, um über Aktualisierungen auf dem Laufenden zu bleiben.

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_publicIP> TO <public_IPs>
• Ersetzen Sie <public_IPs> durch die öffentlichen IP-Adressen der Region, in der sich Ihr Cluster befindet.

Workerknoten die Kommunikation mit IBM Cloud Container Registry ermöglichen

Erlauben Sie ausgehenden Netzwerkverkehr von Ihren Worker-Knoten zu IBM Cloud Container Registry. Weitere Informationen finden Sie unter Über Firewall auf IBM Cloud Container Registry zugreifen.

Ausgehenden Datenverkehr von Workerknoten zu IAM zulassen

Lassen Sie den ausgehenden Netzverkehr von Ihrem Workerknoten an IBM Cloud Identity and Access Management (IAM) zu. Ihre Zulassungsliste muss auf Layer 7 eingestellt sein, damit der IAM-Domainname zugelassen wird. IAM verfügt nicht über spezifische IP-Adressen, die Sie zulassen können. Falls Ihre Whitelist Layer 7 nicht unterstützt, können Sie den gesamten Netzwerkverkehr von HTTPS über Port 443 zulassen.

• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.bluemix.net
• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.cloud.ibm.com

Optional: Ausgehenden Netzdatenverkehr von den Workerknoten zu Monitoring- und IBM Cloud Logs-Services zulassen

• IBM Cloud Monitoring:

  • TCP port 443, port 6443 FROM <each_worker_node_public_IP> TO <monitoring_public_IP>
  • Ersetzen Sie <monitoring_public_IP> durch Monitoring-IP-Adressen.

• IBM Cloud Logs:

  • TCP port 443, port 80 FROM <each_worker_node_public_IP> TO <logging_public_IP>
  • Ersetzen Sie <logging_public_IP> durch die IP-Adressen von IBM Cloud Logs.

Optional: Eingehenden Netzwerkverkehr für die Überwachung der Ingress-Subdomäne zulassen

Wenn Sie die Zustandsüberwachung der Ingress-Domäne verwenden möchten, um den Zustand Ihrer Service-Endpunkte zu überwachen, müssen Sie den eingehenden Zugriff der Überwachungsdienste zulassen.

Standardmäßig werden Statusüberwachungsanfragen über HTTPS an Port 443 gesendet. Daher müssen Sie den Datenverkehr aus den unten aufgeführten IP-Bereichen für Port 443 zulassen. Wenn Ihr Gesundheitsmonitor so konfiguriert ist, dass er stattdessen HTTP verwendet, muss der Datenverkehr der Zulassungsliste auf Port 80 ausgerichtet sein. Wenn Sie einen benutzerdefinierten Port TCP verwenden, stellen Sie außerdem sicher, dass Sie den eingehenden Datenverkehr zu diesem Port zulassen.

Weitere Informationen finden Sie in der IBM NS1 Connect Dokumentation zur Überwachung.

Nächste Schritte

Wenn Sie Lastausgleichsfunktionsservices verwenden, stellen Sie sicher, dass der gesamte Datenverkehr, der das VRRP-Protokoll verwendet, zwischen Workerknoten auf den öffentlichen und privaten Schnittstellen zulässig ist. Red Hat OpenShift on IBM Cloud verwendet das VRRP-Protokoll, um IP-Adressen für öffentliche und private Lastausgleichsfunktionen zu verwalten.

Wenn Sie Ingress oder Routen verwenden, um Anwendungen in Ihrem Cluster verfügbar zu machen, lassen Sie eingehenden Netzwerkverkehr von den Quell-IP-Adressen IBM NS1 auf Port 80 zu den IP-Adressen Ihrer Router-Dienste zu, damit die Red Hat OpenShift-Steuerungsebene den Betriebszustand Ihrer Router überprüfen kann.

Kommunikation von Workerknoten mit dem Cluster-Master zulassen

Um Workerknoten die Kommunikation mit dem Cluster-Master über den privaten Cloud-Serviceendpunkt zu ermöglichen, lassen Sie ausgehenden Netzverkehr von der Quellen-<each_worker_node_privateIP> zum TCP/UDP-Zielportbereich 30000–32767 und Port 443 sowie die folgenden IP-Adressen und Netzgruppen zu.

Diese Tabelle wird verschoben. Die neuesten IP-Listen und fortgesetzte Aktualisierungen finden Sie im Ordner für die Isolation privater Netze im IBM/kube-samples -Repository. Du kannst die Pull-Anfragen im Repo im Auge behalten, um über Aktualisierungen auf dem Laufenden zu bleiben.

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_privateIP> TO <private_IPs>
• Ersetzen Sie <private_IPs> durch die private IP-Adressen der Region, in der sich Ihr Cluster befindet.

Offene Ports

Öffnen Sie die folgenden Ports in Ihrer Zulassungsliste, damit Ihre Workerknoten ordnungsgemäß funktionieren. Die folgenden Ports müssen für alle Ziel-IPs offen sein.

• Abgehende TCP- und UDP-Verbindungen von den Workern zu den Ports 80 und 443 zulassen, um das Aktualisieren und erneute Laden von Workerknoten zu ermöglichen.
• Abgehende TCP- und UDP-Verbindungen zu Port 2049 zulassen, um das Anhängen von Dateispeicher als Datenträger zu ermöglichen.
• Abgehende TCP- und UDP-Verbindungen zu Port 3260 zulassen, um die Kommunikation mit Blockspeicher zu ermöglichen.
• Eingehende TCP- und UDP-Verbindungen zu Port 10250 für das Red Hat OpenShift-Dashboard und Befehle wie oc logs und oc exec zulassen.
• Eingehende und abgehende Verbindungen zu TCP- und UDP-Port 53 und Port 5353 für DNS-Zugriff zulassen.

Kommunikation zwischen Workerknoten aktivieren

Aktivieren Sie die Kommunikation zwischen den Worker-Knoten, indem Sie den gesamten Datenverkehr über „ TCP “, „ UDP “, VRRP und IPEncap zwischen den Worker-Knoten auf den privaten Schnittstellen zulassen und zudem VRRP auf der öffentlichen Schnittstelle aktivieren. „ Red Hat OpenShift on IBM Cloud “ nutzt das VRRP-Protokoll zur Verwaltung der IP-Adressen für Load Balancer und das IPEncap-Protokoll, um den Datenverkehr zwischen Pods über Subnetze hinweg zu ermöglichen.

Workerknoten die Kommunikation mit IBM Cloud Container Registry ermöglichen

Damit Workerknoten mit IBM Cloud Container Registry kommunizieren können, müssen Sie abgehenden Netzverkehr von den Workerknoten an IBM Cloud Container Registry-Regionen zulassen.

• TCP port 443 FROM <each_worker_node_privateIP> TO <registry_ip>
• Ersetzen Sie <registry_ip> durch die Registry-IP-Adresse, an die Sie Datenverkehr zulassen möchten. In der globalen Registry werden von IBM bereitgestellte öffentliche Images gespeichert. Ihre eigenen privaten oder öffentlichen Images werden in regionalen Registrys gespeichert.

Optional: Einrichten von Regeln für die Zulassen-Liste für die Dienste IBM Cloud Logs und IBM Cloud Monitoring

Um Protokoll- und Metrikdaten zu senden, richten Sie Whitelist-Regeln für Ihre Dienste „ IBM Cloud Logs “ und „ IBM Cloud Monitoring “ ein.

• IBM Cloud Logs private Endpunkte
• Monitoring private Endpunkte

Teilnetz-IP-Adressen in der Konsole abrufen

1. Klicken Sie in der Ressourcenliste der Konsole IBM Cloud auf Ihren Cluster.
2. Klicken Sie auf „ Worker-Knoten “.
3. Beachten Sie jedes öffentliche VLAN, das von den Workerknoten in Ihrem Cluster verwendet wird. Möglicherweise verwenden mehrere Workerknoten dasselbe öffentliche VLAN.
4. Klicken Sie im Menü von IBM Cloud spielkonsole auf , dann auf Infrastruktur > Klassische Infrastruktur > IP-Management > VLANs.
5. Klicken Sie auf jedes öffentliche VLAN, um zu überprüfen, ob es von den Arbeitsknoten in Ihrem Cluster verwendet wird.
6. Suchen Sie für jedes öffentliche VLAN, das von den Workerknoten in Ihrem Cluster verwendet wird, den Abschnitt Teilnetze und notieren Sie sich alle in der Tabelle enthaltenen IP-Adressen. Dies sind die IP-Adressen, die Sie in Ihre Zulassungsliste aufnehmen müssen.

Teilnetz-IP-Adressen in der CLI abrufen

1. Listen Sie die öffentlichen VLANs auf, die Ihre Workerknoten verwenden. Die Ausgabe wird als publicVLAN=<vlan_id> formatiert.

   oc describe nodes | grep publicVLAN | sort | uniq
   

2. Suchen Sie für jedes öffentliche VLAN die zugehörigen öffentlichen Teilnetze. Notieren Sie in der Ausgabe die IP-Adressen des Teilnetzes in der Spalte identifier.

   ibmcloud sl subnet list | grep <vlan-id>
   

   Beispielausgabe von Teilnetzen, die dem öffentlichen VLAN mit der ID 2761690 zugeordnet sind

   ID        identifier        type                 network_space   datacenter   vlan_id   IPs   hardware   virtual_servers  
   1962263   169.62.46.56      SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2008207   169.62.39.248     SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2342562   169.62.2.128      ADDITIONAL_PRIMARY   PUBLIC          wdc07        2761690   16    0          5
   

3. Listen Sie Ihre Workerknoten auf und rufen Sie ihre öffentlichen IP-Adressen ab. In der Ausgabe werden die öffentlichen IP-Adressen in der Spalte External-IP aufgelistet. Notieren Sie, welche dieser IP-Adressen in den zuvor aufgelisteten Teilnetzen enthalten sind, und notieren Sie diese Teilnetz-IDs.

4. Führen Sie für jede Teilnetz-ID den Befehl zum Abrufen der Teilnetzdetails aus. Notieren Sie in jeder Ausgabe die IP-Adresse in der Spalte identifier. Dies ist die IP-Adresse, die Sie zur IAM-Zulassungsliste hinzufügen müssen.

   ibmcloud sl subnet detail <subnet_id>
   

   Beispielausgabe

   Name             Value   
   ID               2342562   
   identifier       169.62.2.128/28   
   subnet type      ADDITIONAL_PRIMARY   
   network space    PUBLIC   
   gateway          169.62.2.129   
   broadcast        169.62.2.143   
   datacenter       wdc07   
   usable ips       13   
   IP address       ID          IP address      
                   186531376   169.62.2.128      
                   186531378   169.62.2.129      
                   186531380   169.62.2.130      
                   186531382   169.62.2.131      
                   186531384   169.62.2.132      
                   186531386   169.62.2.133      
                   186531388   169.62.2.134      
                   186531390   169.62.2.135      
                   186531392   169.62.2.136      
                   186531394   169.62.2.137      
                   186531396   169.62.2.138      
                   186531398   169.62.2.139      
                   186531400   169.62.2.140      
                   186531402   169.62.2.141      
                   186531404   169.62.2.142      
                   186531406   169.62.2.143      
   virtual guests   hostname                                                 domain    public_ip      private_ip      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000187   iks.ibm   169.62.2.130   10.191.55.109      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-000002a2   iks.ibm   169.62.2.133   10.191.55.108      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000372   iks.ibm   169.62.2.135   10.191.55.121      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-00000219   iks.ibm   169.62.2.132   10.191.55.105      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-0000012f   iks.ibm   169.62.2.134   10.191.55.107