ワーカー・ノードがクラスター・マスターと通信できるようにする

ワーカー・ノードがパブリック・クラウド・サービス・エンドポイントを介してクラスター・マスターと通信できるようにするには、ソース <each_worker_node_publicIP> から宛先 TCP/UDP ポート範囲 30000 から 32767 および ポート 443、および以下の IP アドレスとネットワーク・グループへの発信ネットワーク・トラフィックを許可します。 さらに、Ingress または経路を使用してクラスター内のアプリを公開する場合は、Red Hat OpenShift コントロール・プレーンがルーターの正常性を検査できるように、これらのポートを介するワーカー・ノードの IP アドレスへの着信ネットワーク・トラフィックも許可してください。

この表は変化します。 最新の IP リストおよび継続的な更新については、 IBM/kube-samples リポジトリー内のパブリック・ネットワーク分離フォルダーを参照してください。 プルリクエストをレポでウォッチし、アップデートを求めることができる。

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_publicIP> TO <public_IPs>
• <public_IPs> を、クラスターが配置されているリージョンのパブリック IP アドレスで置き換えます。

ワーカー・ノードが IBM Cloud Container Registry と通信できるようにする

ワーカーノードから IBM Cloud Container Registry への発信ネットワークトラフィックを許可する。 詳しくは、 ファイアウォールを介した IBM Cloud Container Registry へのアクセス を参照してください。

ワーカー・ノードから IAM への発信ネットワーク・トラフィックを許可する

ワーカー・ノードから IBM Cloud ID およびアクセス管理 (IAM) への発信ネットワーク・トラフィックを許可します。 IAMドメイン名を許可するには、allowlistをレイヤー7にする必要がある。 IAM には、許可できる特定の IP アドレスがありません。 許可リストがレイヤー7をサポートしていない場合、ポート443上のすべての HTTPS ネットワークトラフィックを許可することができます。

• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.bluemix.net
• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.cloud.ibm.com

オプション: ワーカー・ノードから Monitoring サービスと IBM Cloud Logs サービスへの発信ネットワーク・トラフィックを許可する

• IBM Cloud Monitoring:

  • TCP port 443, port 6443 FROM <each_worker_node_public_IP> TO <monitoring_public_IP>
  • <monitoring_public_IP> を Monitoring IP アドレスで置き換えます。

• IBM Cloud Logs:

  • TCP port 443, port 80 FROM <each_worker_node_public_IP> TO <logging_public_IP>
  • <logging_public_IP> を IBM Cloud Logs のIPアドレスに 置き換える。

次のステップ

ロード・バランサー・サービスを使用している場合は、VRRP プロトコルを使用するすべてのトラフィックが、パブリック・インターフェースおよびプライベート・インターフェースでのワーカー・ノード間で許可されることを確認します。Red Hat OpenShift on IBM Cloud では、パブリック・ロード・バランサーおよびプライベート・ロード・バランサーの IP アドレスを管理するために VRRP プロトコルが使用されます。

Ingress または routes を使用してクラスタ内のアプリケーションを公開している場合は、 Red Hat OpenShift コントロール・プレーンがルーターの正常性をチェックできるよう、ポート 80 の アカマイのソース IP アドレスからルーター・サービスの IP アドレスへのネットワーク・トラフィックの着信を許可してください。

ワーカー・ノードがクラスター・マスターと通信できるようにする

ワーカー・ノードがプライベート・クラウド・サービス・エンドポイントを介してクラスター・マスターと通信できるようにするには、ソース <each_worker_node_privateIP> から宛先 TCP/UDP ポート範囲 30000 から 32767 および ポート 443、および以下の IP アドレスとネットワーク・グループへの発信ネットワーク・トラフィックを許可します。

この表は変化します。 最新の IP リストおよび継続的な更新については、 IBM/kube-samples リポジトリー内のプライベート・ネットワーク分離フォルダーを参照してください。 プルリクエストをレポでウォッチし、アップデートを求めることができる。

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_privateIP> TO <private_IPs>
• <private_IPs> を、クラスターが配置されているリージョンのプライベート IP アドレスで置き換えます。

開いているポート

ワーカー・ノードが正しく機能するように、許可リスト内の以下のポートを開きます。 以下のポートは、すべての宛先 IP を開く必要があります。

• ワーカー・ノードの更新および再ロードを許可するために、ワーカーからポート 80 および 443 へのアウトバウンド TCP および UDP 接続を許可します。
• ボリュームとしてファイル・ストレージのマウントを許可するために、ポート 2049 へのアウトバウンド TCP および UDP を許可します。
• ブロック・ストレージに対する通信用に、ポート 3260 へのアウトバウンド TCP と UDP を許可します。
• Red Hat OpenShift ダッシュボード、および oc logs や oc exec などのコマンドのために、ポート 10250 へのインバウンド TCP および UDP 接続を許可します。
• DNS アクセスのために、TCP および UDP のポート 53 およびポート 5353 へのインバウンドおよびアウトバウンドの接続を許可します。

ワーカー間の通信を有効にする

Red Hat OpenShift on IBM Cloud は、VRRP プロトコルを使用してロードバランサーの IP アドレスを管理し、IPEncap プロトコルを使用してサブネット間のポッド間トラフィックを許可します。

ワーカー・ノードが IBM Cloud Container Registry と通信できるようにする

ワーカー・ノードが IBM Cloud Container Registry と通信できるようにするには、ワーカー・ノードから IBM Cloud Container Registry リージョンへの発信ネットワーク・トラフィックを許可します。

• TCP port 443 FROM <each_worker_node_privateIP> TO <registry_ip>
• <registry_ip> を、トラフィックを許可するレジストリー IP アドレスに置き換えます。 グローバル・レジストリーには IBM 提供のパブリック・イメージが保管され、リージョン・レジストリーにはユーザー独自のプライベート・イメージまたはパブリック・イメージが保管されます。

2022 年 6 月 23 日には、 br-sao 地域と ca-tor 地域のみが変更されました。 残りの地域は 2022 年 7 月 5 日に変更されました。 詳しくは、 Container Registry 2022 年 7 月 5 日に変更されたプライベート IP アドレス を参照してください。

オプション： IBM Cloud Logs、 IBM Cloud Monitoring サービスのallowlistルールを設定する

ロギングとメトリックデータを送信するには、 IBM Cloud Logs と IBM Cloud Monitoring サービスに allowlist ルールを設定します。

• IBM Cloud Logs プライベートエンドポイント
• Monitoring プライベート・エンドポイント

コンソールでのサブネット IP アドレスの取得

1. IBM Cloud コンソールリソースリスト から、クラスタをクリックします。
2. Worker nodes をクリックする。
3. クラスター内のワーカー・ノードによって使用される各 パブリック VLAN をメモします。 複数のワーカー・ノードが同じパブリック VLAN を使用する可能性があります。
4. IBM Cloud から をクリックし、 インフラストラクチャ > クラシックインフラストラクチャ > IP管理 > VLAN の順にクリックします。
5. 各パブリックVLANをクリックして、クラスタ内のワーカーノードで使用されているかどうかを確認します。
6. クラスター内のワーカー・ノードによって使用されるパブリック VLAN ごとに、 「サブネット」 セクションを見つけ、表に含まれている各 IP アドレスをメモします。 これらは、許可リストに含める必要がある IP アドレスです。

CLI でのサブネット IP アドレスの取得

1. ワーカー・ノードが使用するパブリック VLAN をリストします。 出力は publicVLAN=<vlan_id> のようにフォーマット設定されます。

   oc describe nodes | grep publicVLAN | sort | uniq
   

2. パブリック VLAN ごとに、関連付けられたパブリック・サブネットを見つけます。 出力で、 identifier 列のサブネット IP アドレスをメモします。

   ibmcloud sl subnet list | grep <vlan-id>
   

   ID 2761690 のパブリック VLAN に関連付けられたサブネットの出力例。

   ID        identifier        type                 network_space   datacenter   vlan_id   IPs   hardware   virtual_servers  
   1962263   169.62.46.56      SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2008207   169.62.39.248     SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2342562   169.62.2.128      ADDITIONAL_PRIMARY   PUBLIC          wdc07        2761690   16    0          5
   

3. ワーカー・ノードをリストし、それらのパブリック IP を取得します。 出力では、パブリック IP が 「外部 IP (External-IP)」 列にリストされます。 これらの IP アドレスのうち、前にリストしたサブネットに含まれているものをメモし、それらのサブネット ID をメモします。

4. サブネット ID ごとに、コマンドを実行してサブネットの詳細を取得します。 各出力で、 identifier 列の IP アドレスをメモします。 これは、IAM 許可リストに追加する必要がある IP アドレスです。

   ibmcloud sl subnet detail <subnet_id>
   

   出力例

   Name             Value   
   ID               2342562   
   identifier       169.62.2.128/28   
   subnet type      ADDITIONAL_PRIMARY   
   network space    PUBLIC   
   gateway          169.62.2.129   
   broadcast        169.62.2.143   
   datacenter       wdc07   
   usable ips       13   
   IP address       ID          IP address      
                   186531376   169.62.2.128      
                   186531378   169.62.2.129      
                   186531380   169.62.2.130      
                   186531382   169.62.2.131      
                   186531384   169.62.2.132      
                   186531386   169.62.2.133      
                   186531388   169.62.2.134      
                   186531390   169.62.2.135      
                   186531392   169.62.2.136      
                   186531394   169.62.2.137      
                   186531396   169.62.2.138      
                   186531398   169.62.2.139      
                   186531400   169.62.2.140      
                   186531402   169.62.2.141      
                   186531404   169.62.2.142      
                   186531406   169.62.2.143      
   
   virtual guests   hostname                                                 domain    public_ip      private_ip      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000187   iks.ibm   169.62.2.130   10.191.55.109      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-000002a2   iks.ibm   169.62.2.133   10.191.55.108      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000372   iks.ibm   169.62.2.135   10.191.55.121      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-00000219   iks.ibm   169.62.2.132   10.191.55.105      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-0000012f   iks.ibm   169.62.2.134   10.191.55.107