マスターの前に行う更新

以下の表に、クラスターのマスターを更新する前に実行する必要がある操作を示します。

プライベート・サービス・エンドポイントを使用する VPC クラスターのクラスター・マスター・アクセスは、バージョン 4.13から大幅に変更されました。 このタイプのクラスターを更新する前に、以下の情報を確認し、クラスターをアップグレードする前にどのような変更を行う必要があるかを検討してください。 また、プライベート・サービス・エンドポイントのみを持つ新しい 4.14 クラスターを作成する前に、これを考慮してください。

必要な作業

VPC クラスターのワーカー・ノードが引き続き Container Registry からイメージをプルするようにするために必要な手順は、ネットワーク・セキュリティーのセットアップによって異なります。

• すべてのセキュリティー・グループ、ネットワーク ACL、およびネットワーク・ポリシーにデフォルトのネットワーク・ルールを使用する場合は、アクションを実行する必要はありません。
• VPC 内の特定の TCP 接続をブロックするカスタマイズされたネットワーク・セキュリティー・セットアップがある場合は、バージョン 4.14の新規クラスターに更新または作成する前に、追加のアクションを実行する必要があります。 以下のセクションで調整を行い、レジストリー用の新しい VPE ゲートウェイへの接続が許可されるようにします。

追加のステップを実行する必要があるかどうかに関係なく、バージョン 4.14 を実行していない VPC 内の他のクラスターを保持している場合は、それらのクラスターで クラスター・マスターをリフレッシュ する必要があります。 このリフレッシュにより、新しい VPE へのトラフィックが許可されるように、 non-4.14 クラスターに正しい更新が確実に適用されます。

カスタム・セキュリティー・グループがあります。 何を変更しますか?

バージョン 4.14でクラスターを更新または作成すると、必要な許可ルールが IBM管理の kube-<cluster_ID> クラスター・セキュリティー・グループに自動的に追加されます。 ただし、 kube-<cluster_ID> クラスター・セキュリティー・グループ・ルールを使用 しない VPC クラスターを作成した場合は、レジストリーの VPE ゲートウェイへのトラフィックを許可するために、以下のセキュリティー・グループ・ルールが実装されていることを確認する必要があります。 カスタム・セットアップでルールがまだ実装されていない場合は、 それらを追加 します。 これらの各ルールは、VPC 内のゾーンごとに作成する必要があり、そのゾーンの VPC アドレス接頭部の範囲全体を宛先 CIDR として指定する必要があります。 VPC 内の各ゾーンの VPC アドレス接頭部の範囲を確認するには、 ibmcloud is vpc-address-prefixes <vpc_name_or_id> を実行します。

カスタムセキュリティグループに以下のルールを追加する。

これらのルールをより制限的にするには、VPE ゲートウェイで使用されるセキュリティー・グループに宛先を設定するか、正確な VPE ゲートウェイ予約済み IP アドレスを指定することができます。 VPC 内のすべてのクラスター・ワーカーが削除されると、これらの IP アドレスが変更される可能性があることに注意してください。

カスタム ACL があります。 何を変更しますか?

クラスター・ワーカーに適用される VPC ネットワーク ACL が、特定の Egress トラフィックと Ingress トラフィックのみを許可するようにカスタマイズされている場合は、VPE Gateway for Registry との間の接続を許可するために、以下の ACL ルールまたは同等のルールが実装されていることを確認してください。 ルールがまだ実装されていない場合は、 追加 してください。 これらの各ルールは、VPC 内のゾーンごとに作成する必要があり、ソース (アウトバウンド・ルールの場合) または宛先 (インバウンド・ルールの場合) としてゾーンの VPC アドレス接頭部範囲全体を指定する必要があります。 CIDR。 VPC 内の各ゾーンの VPC アドレス接頭部の範囲を確認するには、 ibmcloud is vpc-address-prefixes <vpc_name_or_id> を実行します。 各ルールの優先度は、このトラフィックを拒否するルール (すべてのトラフィックを拒否するルールなど) よりも高くなければなりません。

カスタムACLに以下のルールを追加する。

カスタム・ネットワーク・ポリシーがあります。 何を変更しますか?

Calico ポリシーを使用してクラスター・ワーカーからのアウトバウンド接続を制限する場合は、以下のポリシー・ルールを追加して、VPE Gateway for Registry への接続を許可する必要があります。 このポリシーは、VPC 内のゾーンごとに作成する必要があり、そのゾーンの VPC アドレス接頭部の範囲全体を宛先 CIDR として指定する必要があります。 VPC 内の各ゾーンの VPC アドレス接頭部の範囲を確認するには、 ibmcloud is vpc-address-prefixes <vpc_name_or_id> を実行します。

apiVersion: projectcalico.org/v3
kind: GlobalNetworkPolicy
metadata:
  name: allow-vpe-gateway-registry
spec:
  egress:
  - action: Allow
    destination:
      nets:
      - <entire-vpc-address-prefix-range> # example: 10.245.0.0/16
      ports:
      - 443
    protocol: TCP
    source: {}
  order: 500
  selector: ibm.role == 'worker_private'
  types:
  - Egress