Le macchine virtuali di archiviazione (SVM) garantiscono isolamento e separazione amministrativa tra i tenant su un sistema ONTAP . Dedicando una SVM ai container OpenShift e alle VM di virtualizzazione OpenShift è possibile delegare i privilegi e applicare le best practice per limitare il consumo di risorse.

Per impedire a Trident di consumare tutti i volumi disponibili sul sistema di archiviazione, è necessario impostare un limite sulla SVM. Puoi farlo dalla riga di comando:

Il valore max-volumes rappresenta il totale dei volumi forniti su tutti i nodi del cluster ONTAP e non su un singolo nodo ONTAP . Di conseguenza, potrebbero verificarsi alcune condizioni in cui un nodo del cluster ONTAP potrebbe avere molti più o meno volumi Trident forniti rispetto a un altro nodo. Per evitare ciò, assicurarsi che un numero uguale di aggregati da ciascun nodo del cluster venga assegnato all'SVM utilizzato da Trident.

È possibile impostare un limite massimo per la dimensione del volume per ogni SVM in ONTAP:

Oltre a controllare le dimensioni del volume nell'array di archiviazione, dovresti anche sfruttare le funzionalità di Kubernetes.

Applicare la policy di qualità del servizio (QoS) all'SVM per limitare il numero di IOPS utilizzabili dai volumi Trident forniti. Ciò aiuta a impedire che i carichi di lavoro che utilizzano l'archiviazione fornita da Trident influiscano sui carichi di lavoro esterni alla SVM Trident .

I gruppi di policy QoS ONTAP forniscono opzioni QoS per i volumi e consentono agli utenti di definire il limite di throughput per uno o più carichi di lavoro. Per ulteriori informazioni sui gruppi di policy QoS, fare riferimento a"Comandi QoS ONTAP 9.15"

Utilizza gli spazi dei nomi Limitare l'accesso ai volumi NFS e ai LUN iSCSI creati da Trident è un componente fondamentale della strategia di sicurezza per la distribuzione di Kubernetes. In questo modo si impedisce agli host che non fanno parte del cluster Kubernetes di accedere ai volumi e di modificare potenzialmente i dati in modo imprevisto.

Inoltre, un processo in un contenitore può accedere allo storage montato sull'host, ma che non è destinato al contenitore. L'utilizzo degli spazi dei nomi per fornire un confine logico per le risorse può evitare questo problema. Tuttavia,

È importante comprendere che gli spazi dei nomi rappresentano il confine logico per le risorse in Kubernetes. Pertanto, è fondamentale garantire che gli spazi dei nomi vengano utilizzati per fornire la separazione quando appropriato. Tuttavia, i contenitori privilegiati vengono eseguiti con autorizzazioni a livello di host notevolmente superiori al normale. Quindi, disabilita questa capacità utilizzando"politiche di sicurezza del pod" .

Utilizzare una policy di esportazione dedicata Per le distribuzioni OpenShift che dispongono di nodi infrastrutturali dedicati o altri nodi che non sono in grado di pianificare le applicazioni utente, è necessario utilizzare policy di esportazione separate per limitare ulteriormente l'accesso alle risorse di archiviazione. Ciò include la creazione di una policy di esportazione per i servizi distribuiti su tali nodi infrastrutturali (ad esempio, i servizi OpenShift Metrics e Logging) e per le applicazioni standard distribuite su nodi non infrastrutturali.

Trident può creare e gestire automaticamente le policy di esportazione. In questo modo, Trident limita l'accesso ai volumi che fornisce ai nodi nel cluster Kubernetes e semplifica l'aggiunta/eliminazione dei nodi.

Tuttavia, se si sceglie di creare manualmente una policy di esportazione, è possibile popolarla con una o più regole di esportazione che elaborino ogni richiesta di accesso al nodo.

Disabilita showmount per l'applicazione SVM Un pod distribuito nel cluster Kubernetes può emettere il comando showmount -e sul LIF dei dati e ricevere un elenco dei mount disponibili, inclusi quelli a cui non ha accesso. Per evitare ciò, disabilitare la funzionalità showmount utilizzando la seguente CLI:

Migration ToolKit per OpenShift Virtualization è un operatore fornito da Red Hat disponibile presso OperatorHub di OpenShift Container Platform. Questo strumento può essere utilizzato per migrare le VM da vSphere, Red Hat Virtualization, OpenStack e OpenShift Virtualization.

I dettagli sulla migrazione delle VM da VSphere sono disponibili in"Flussi di lavoro > Virtualizzazione Red Hat OpenShift con NetApp ONTAP"

È possibile configurare i limiti per vari parametri dalla CLI o dalla console Web di migrazione. Di seguito sono riportati alcuni esempi

Se si stanno migrando più di 10 VM da un host ESXi nello stesso piano di migrazione, è necessario aumentare la memoria del servizio NFC dell'host. In caso contrario, la migrazione non riuscirà perché la memoria del servizio NFC è limitata a 10 connessioni parallele. Per ulteriori dettagli, consultare la documentazione di Red Hat:"Aumento della memoria del servizio NFC di un host ESXi"

Ecco una migrazione parallela riuscita di 10 VM dallo stesso host in VSphere a OpenShift Virtualization utilizzando Migration Toolkit for Virtualization.

VM sullo stesso host ESXi

Viene prima creato un piano per la migrazione di 10 VM da VMware

L'esecuzione del piano di migrazione è iniziata

Tutte le 10 VM sono state migrate correttamente

Tutte e 10 le VM sono in esecuzione in OpenShift Virtualization