원본 엔드포인트에서 지원되는 엔드포인트로 마이그레이션

클래식 클러스터

다음 조건 중 하나라도 해당된다면 반드시 조치를 취해야 합니다:

• 공용 서비스 엔드포인트가 활성화된 하나 이상의 클래식 클러스터가 있으며, 허용 목록이나 방화벽을 통해 아웃바운드 액세스를 제한하고 있습니다.
• origin.<region>.containers.cloud.ibm.com 엔드포인트를 직접 호출하는 사용자 정의 스크립트나 도구를 사용하고 계신가요?

두 조건 모두 해당되지 않는 경우, 별도의 조치가 필요하지 않습니다.

워커 노드가 Red Hat OpenShift on IBM Cloud 에 계속 연결되도록 하려면, 2026년 7월 31일 이전에 다음 단계를 완료하십시오.

• IP 기반 방화벽 규칙을 사용하는 경우: “워커 노드가 클러스터 마스터와 통신할 수 있도록 허용” 섹션에 명시된 IP 주소가 방화벽 규칙에 포함되어 있는지 확인하십시오.

• 도메인 기반 방화벽 규칙을 사용하는 경우: 다음 부트스트랩 도메인을 허용 목록에 추가하십시오.

• 원본 엔드포인트를 직접 호출하는 사용자 정의 스크립트가 있는 경우: 지원되는 API 엔드포인트로 전환하십시오. 자세한 내용은 ‘API 소개’를 참조하십시오.

시작하기 전에 클러스터에서 각 작업자 노드의 공인 IP 주소를 기록하십시오.

ibmcloud oc worker ls --cluster <cluster_name_or_ID>

작업자 노드가 클러스터 마스터와 통신하도록 허용하십시오.

작업자 노드가 퍼블릭 클라우드 서비스 엔드포인트를 통해 클러스터 마스터와 통신하도록 허용하려면 소스 *<each_worker_node_publicIP>*에서 대상 TCP/UDP 포트 범위 30000 - 32767 및 포트 443으로의 발신 네트워크 트래픽과 다음 IP 주소 및 네트워크 그룹을 허용하십시오. 또한, Ingress 또는 라우트를 사용하여 클러스터에 있는 앱을 노출하려는 경우에는 Red Hat OpenShift 제어 플레인이 라우터의 상태를 확인할 수 있도록 이러한 포트를 통한 작업자 노드 IP 주소로의 수신 네트워크 트래픽 또한 허용하십시오.

이 테이블이 이동 중입니다. 최신 IP 목록 및 지속적인 업데이트는 IBM/kube-samples 저장소의 공용 네트워크 격리 폴더를 참조하십시오. 저장소에서 업데이트를 위한 가져오기 요청을 감시 할 수 있습니다.

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_publicIP> TO <public_IPs>
• *<public_IPs>*를 클러스터가 있는 지역에 있는 구역의 공인 IP 주소로 대체하십시오.

작업자 노드가 IBM Cloud Container Registry과(와) 통신하도록 허용

워커 노드에서 IBM Cloud Container Registry 으로의 아웃바운드 네트워크 트래픽을 허용하십시오. 자세한 정보는 방화벽을 통해 IBM Cloud Container Registry 에 액세스 를 참조하십시오.

작업자 노드에서 IAM으로 나가는 네트워크 트래픽 허용

작업자 노드에서 IBM Cloud Identity and Access Management(IAM)로의 발신 네트워크 트래픽을 허용합니다. IAM 도메인 이름을 허용하려면 허용 목록을 레이어 7로 설정해야 합니다. IAM에는 허용할 수 있는 특정 IP 주소가 없습니다. 허용 목록이 레이어 7을 지원하지 않는 경우, 포트 443을 통해 이루어지는 모든 HTTPS 네트워크 트래픽을 허용할 수 있습니다.

• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.bluemix.net
• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.cloud.ibm.com

선택사항: 작업자 노드에서 Monitoring 및 IBM Cloud Logs 서비스로 나가는 네트워크 트래픽 허용

• IBM Cloud Monitoring:

  • TCP port 443, port 6443 FROM <each_worker_node_public_IP> TO <monitoring_public_IP>
  • *<monitoring_public_IP>*를 Monitoring IP 주소로 대체하십시오.

• IBM Cloud Logs:

  • TCP port 443, port 80 FROM <each_worker_node_public_IP> TO <logging_public_IP>
  • <logging_public_IP>를 IBM Cloud Logs IP 주소로 바꿉니다.

선택 사항입니다: 인그레스 하위 도메인 모니터링을 위해 들어오는 네트워크 트래픽 허용

인그레스 도메인 상태 모니터링을 사용하여 서비스 엔드포인트의 상태를 모니터링하려면 모니터링 서비스에서 인바운드 액세스를 허용해야 합니다.

기본적으로 모니터링 상태 요청은 HTTPS 을 통해 포트 443으로 전송되므로 포트 443을 대상으로 하는 아래 IP 범위의 트래픽을 허용 목록에 추가해야 합니다. 상태 모니터가 HTTP 대신 포트 80을 사용하도록 구성된 경우 허용 목록 트래픽을 포트 80으로 지정해야 합니다. 또한 사용자 지정 TCP 포트를 사용하는 경우 해당 포트로 들어오는 트래픽을 허용해야 합니다.

자세한 내용은 모니터링에 대한 IBM NS1 Connect 문서를 참조하세요.

다음 단계

로드 밸런서 서비스를 사용하는 경우에는 VRRP 프로토콜을 사용하는 모든 트래픽이 공용 및 사설 인터페이스의 작업자 노드 간에 허용되는지 확인하십시오. Red Hat OpenShift on IBM Cloud는 VRRP 프로토콜을 사용하여 공용 및 사설 로드 밸런서의 IP 주소를 관리합니다.

클러스터 내 앱을 노출하기 위해 Ingress 또는 라우트를 사용하는 경우, Red Hat OpenShift 제어 플레인이 라우터의 상태를 확인할 수 있도록 IBM NS1 의 소스 IP 주소에서 포트 80을 통해 라우터 서비스의 IP 주소로 들어오는 네트워크 트래픽을 허용해야 합니다.

작업자 노드가 클러스터 마스터와 통신하도록 허용하십시오.

작업자 노드가 프라이빗 클라우드 서비스 엔드포인트를 통해 클러스터 마스터와 통신하도록 허용하려면 소스 *<each_worker_node_privateIP>*에서 대상 TCP/UDP 포트 범위 30000 - 32767 및 포트 443으로의 발신 네트워크 트래픽과 다음 IP 주소 및 네트워크 그룹을 허용하십시오.

이 테이블이 이동 중입니다. 최신 IP 목록 및 지속적인 업데이트는 IBM/kube-samples 저장소의 사설 네트워크 격리 폴더를 참조하십시오. 저장소에서 업데이트를 위한 가져오기 요청을 감시 할 수 있습니다.

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_privateIP> TO <private_IPs>
• *<private_IPs>*를 클러스터가 있는 지역의 사설 IP 주소로 대체하십시오.

포트 열기

작업자 노드가 제대로 작동하도록 허용 목록에서 다음 포트를 여십시오. 모든 대상 IP에 대해 다음 포트가 열려 있어야 합니다.

• 작업자 노드 업데이트와 재로드가 허용되도록 작업자에서 포트 80 및 443으로 아웃바운드 TCP 및 UDP 연결을 허용하십시오.
• 볼륨으로서 파일 스토리지의 마운트가 허용되도록 포트 2049로의 아웃바운드 TCP 및 UDP를 허용하십시오.
• 블록 스토리지와의 통신에 대해 포트 3260으로의 아웃바운드 TCP 및 UDP를 허용합니다.
• Red Hat OpenShift 대시보드와 명령(예: oc logs 및 oc exec)에 대해 포트 10250으로의 인바운드 TCP 및 UDP 연결을 허용하십시오.
• DNS 액세스용 TCP 및 UDP 포트 53 및 포트 5353에 대한 인바운드와 아웃바운드 연결을 허용하십시오.

작업자 간 통신 사용

사설 인터페이스의 워커 노드 간 모든 TCP, UDP, VRRP 및 IPEncap 트래픽을 허용하고, 공용 인터페이스에서도 VRRP를 허용하여 워커 간 통신을 활성화하십시오. Red Hat OpenShift on IBM Cloud 는 VRRP 프로토콜을 사용하여 로드 밸런서의 IP 주소를 관리하고, IPEncap 프로토콜을 사용하여 서브넷 간 포드 간 트래픽을 허용합니다.

작업자 노드가 IBM Cloud Container Registry과(와) 통신하도록 허용

워커 노드가 IBM Cloud Container Registry 와 통신할 수 있도록 하려면, 워커 노드에서 IBM Cloud Container Registry 리전으로 나가는 네트워크 트래픽을 허용해야 합니다.

• TCP port 443 FROM <each_worker_node_privateIP> TO <registry_ip>
• <registry_ip> 을 트래픽을 허용하려는 레지스트리의 IP 주소로 변경하십시오. 글로벌 레지스트리는 IBM 제공 공용 이미지를 저장하고 지역 레지스트리는 사용자의 개인용 이미지 또는 공용 이미지를 저장합니다.

선택 사항입니다: IBM Cloud Logs 및 IBM Cloud Monitoring 서비스에 대한 허용 목록 규칙 설정

로깅 및 메트릭 데이터를 전송하려면 IBM Cloud Logs 및 IBM Cloud Monitoring 서비스에 대한 허용 목록 규칙을 설정하십시오.

• IBM Cloud Logs 비공개 엔드포인트
• Monitoring 사설 엔드포인트

콘솔에서 서브넷 IP 주소 가져오기

1. IBM Cloud 의 콘솔 리소스 목록 에서 클러스터를 클릭합니다.
2. 작업자 노드를 클릭하십시오.
3. 클러스터의 작업자 노드에서 사용되는 각 공용 VLAN 을 기록하십시오. 여러 작업자 노드가 동일한 공용 VLAN을 사용할 수 있습니다.
4. IBM Cloud 콘솔 메뉴 클릭하고, 인프라 > 클래식 인프라 > IP 관리 > VLAN을 클릭합니다.
5. 각 공용 VLAN을 클릭하여 클러스터의 작업자 노드에서 사용되고 있는지 확인하십시오.
6. 클러스터의 작업자 노드에서 사용하는 각 공용 VLAN에 대해 서브넷 섹션을 찾고 표에 포함된 각 IP 주소를 기록하십시오. 이는 허용 목록에 포함해야 하는 IP 주소입니다.

CLI에서 서브넷 IP 주소 가져오기

1. 작업자 노드가 사용하는 공용 VLAN을 나열하십시오. 출력은 publicVLAN=<vlan_id> 로 형식화됩니다.

   oc describe nodes | grep publicVLAN | sort | uniq
   

2. 각 공용 VLAN에 대해 연관된 공용 서브넷을 찾으십시오. 출력에서 ID 컬럼의 서브넷 IP 주소를 기록하십시오.

   ibmcloud sl subnet list | grep <vlan-id>
   

   ID가 2761690 인 공용 VLAN과 연관된 서브넷의 예제 출력입니다.

   ID        identifier        type                 network_space   datacenter   vlan_id   IPs   hardware   virtual_servers  
   1962263   169.62.46.56      SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2008207   169.62.39.248     SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2342562   169.62.2.128      ADDITIONAL_PRIMARY   PUBLIC          wdc07        2761690   16    0          5
   

3. 작업자 노드를 나열하고 해당 공용 IP를 가져오십시오. 출력에서 공용 IP는 외부 IP 열에 나열됩니다. 이 IP 주소 중에서 이전에 나열한 서브넷에 포함된 주소를 기록하고 해당 서브넷 ID를 기록하십시오.

4. 각 서브넷 ID에 대해 명령을 실행하여 서브넷 세부사항을 가져오십시오. 각 출력에서 ID 컬럼의 IP 주소를 기록하십시오. 이는 IAM 허용 목록에 추가해야 하는 IP 주소입니다.

   ibmcloud sl subnet detail <subnet_id>
   

   출력 예

   Name             Value   
   ID               2342562   
   identifier       169.62.2.128/28   
   subnet type      ADDITIONAL_PRIMARY   
   network space    PUBLIC   
   gateway          169.62.2.129   
   broadcast        169.62.2.143   
   datacenter       wdc07   
   usable ips       13   
   IP address       ID          IP address      
                   186531376   169.62.2.128      
                   186531378   169.62.2.129      
                   186531380   169.62.2.130      
                   186531382   169.62.2.131      
                   186531384   169.62.2.132      
                   186531386   169.62.2.133      
                   186531388   169.62.2.134      
                   186531390   169.62.2.135      
                   186531392   169.62.2.136      
                   186531394   169.62.2.137      
                   186531396   169.62.2.138      
                   186531398   169.62.2.139      
                   186531400   169.62.2.140      
                   186531402   169.62.2.141      
                   186531404   169.62.2.142      
                   186531406   169.62.2.143      
   virtual guests   hostname                                                 domain    public_ip      private_ip      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000187   iks.ibm   169.62.2.130   10.191.55.109      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-000002a2   iks.ibm   169.62.2.133   10.191.55.108      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000372   iks.ibm   169.62.2.135   10.191.55.121      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-00000219   iks.ibm   169.62.2.132   10.191.55.105      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-0000012f   iks.ibm   169.62.2.134   10.191.55.107