Azure Red Hat OpenShift のネットワークの概念

この記事では、OpenShift 4 クラスターでのAzure Red Hat OpenShift ネットワークの概要について説明します。これには、図と重要なエンドポイントの一覧が含まれています。主要な OpenShift ネットワークの概念の詳細については、Azure Red Hat OpenShift 4 ネットワークのドキュメントを参照してください。

Azure Red Hat OpenShift を OpenShift 4 上にデプロイすると、クラスター全体が仮想ネットワーク内に配置されます。この仮想ネットワーク内では、コントロールプレーンノードとワーカーノードが、それぞれのサブネット内に存在します。各サブネットには、内部ロードバランサーとパブリックロードバランサーが使用されています。

注

最新の変更については、「 Azure Red Hat OpenShift の新機能」を参照してください。

ネットワークコンポーネント

次の一覧は、Azure Red Hat OpenShift クラスターにおける重要なネットワークコンポーネントをまとめたものです。

aro-pls
- この Azure Private Link エンドポイントは、クラスターを管理する目的で Microsoft および Red Hat のサイト信頼性エンジニアによって使われます。
aro-internal
- クラスターのインストールプロセスによって、この内部ロードバランサーが作成されます。内部ネットワーク (api-int) 上の API サーバーへのトラフィックのバランスを取り、内部サービストラフィックを伝送します。コントロールプレーンノードとワーカーノードはバックエンドプールにあります。
- cloud-controller-manager は、注釈service.beta.kubernetes.io/azure-load-balancer-internal: "true"を使用してLoadBalancer型の Kubernetes サービスを作成するときに、追加の内部ロードバランサーフロントエンド IP を作成する場合があります。これらの IP は、RP で管理される internal-lb-ip-v4とは別です。
アロ
- このエンドポイントは、すべてのパブリックトラフィックに使用されます。アプリケーションとルートを作成すると、このエンドポイントがイングレストラフィックのパスになります。
- このエンドポイントによって、API サーバーへのトラフィックがルーティングおよび分散されます (API がパブリックの場合)。このエンドポイントは、コントロールプレーンが Azure Resource Manager にアクセスしてクラスターの正常性について返信できるように、パブリック発信 IP を割り当てます。
- また、このロードバランサーは、Azure Load Balancer のアウトバウンド規則を通じて、ワーカーノードで実行中のすべてのポッドからのエグレスインターネット接続も処理します。
  - 現在、アウトバウンド規則は構成できません。それらでは、各ノードに 1,024 個の TCP ポートが割り当てられます。
  - DisableOutboundSnat は LB ルールでは構成されないため、ポッドはこの ALB で構成される任意のパブリック IP をエグレス IP として取得できます。
  - 前の 2 つの点の結果として、エフェメラル SNAT ポートを追加する唯一の方法は、パブリック LoadBalancer 型サービスを Azure Red Hat OpenShift に追加することです。
aro-nsg
- サービスを公開すると、API によってこのネットワークセキュリティグループに規則が作成され、トラフィックがポート 6443 経由でコントロールプレーンやノードを通過したりそれらに到達したりできるようになります。
- 既定では、このネットワークセキュリティグループで、すべてのアウトバウンドトラフィックが許可されます。現時点では、アウトバウンドトラフィックは Azure Red Hat OpenShift コントロールプレーンのみに制限できます。
Azure Container Registry
- コンテナーレジストリは、Microsoft によって内部的に提供および使用されます。読み取り専用であり、Azure Red Hat OpenShift ユーザーによる使用は想定されていません。
  - このレジストリは、ホストプラットフォームイメージとクラスターコンポーネントを提供します。たとえば、コンテナーの監視やログ記録などです。
  - このレジストリへの接続は、プライベートエンドポイント経由で行われます (Azure サービス間の内部接続)。
  - デフォルトでは、この内部レジストリはクラスターの外部では使えません。
Private Link
- Private Link は管理プレーンからクラスターへのネットワーク接続を許可します。これは、Microsoft および Red Hat のサイト信頼性エンジニアがクラスターの管理を支援するために使われます。

ネットワークポリシー

イングレス: OVN-Kubernetes ネットワークプラグインはイングレスネットワークポリシーをサポートします。ネットワークポリシーは既定で有効になっており、ユーザーはそれを適用します。イングレスネットワークポリシーは、V1 NetworkPolicy に準拠しています。
エグレス: OpenShift では、エグレスファイアウォール機能を介したエグレスネットワークポリシーがサポートされます。各名前空間またはプロジェクトは、エグレスポリシーを 1 つだけ持つことができます。 "既定" 名前空間はエグレスポリシーをサポートしていません。システムは、最初から最後の順にエグレスポリシーを評価します。

OpenShift におけるネットワークの基礎

Azure Red Hat OpenShiftは、OVN-Kubernetes をクラスターネットワークプラグインとして使用します。 OVN-Kubernetes は Geneve トンネルを使用してオーバーレイネットワークを提供し、Container Network Interface (CNI) 仕様を実装します。 OVN-Kubernetes には、ネットワークポリシーの適用が組み込まれています。オーバーレイはポッド間通信を管理するため、仮想ネットワークに追加のルートは必要ありません。