Le macchine virtuali di storage (SVM) forniscono isolamento e separazione amministrativa tra tenant su un sistema ONTAP. L'impiego di una SVM ai container OpenShift e alle macchine virtuali di virtualizzazione OpenShift consente la delega di Privileges e l'applicazione delle Best practice per la limitazione del consumo delle risorse.

Per evitare che Trident utilizzi tutti i volumi disponibili sul sistema storage, è necessario impostare un limite per SVM. È possibile eseguire questa operazione dalla riga di comando:

Il valore di max-volumi è il volume totale fornito in tutti i nodi del cluster ONTAP, non su un singolo nodo ONTAP. Di conseguenza, potrebbero verificarsi alcune condizioni in cui un nodo del cluster ONTAP potrebbe avere volumi con provisioning Trident molto più o meno elevati rispetto a un altro nodo. Per evitare questo problema, assicurati che alla SVM utilizzata da Trident sia assegnato lo stesso numero di aggregati per ciascun nodo del cluster.

Puoi impostare un limite per le dimensioni massime del volume su base per SVM in ONTAP:

Oltre a controllare le dimensioni del volume nell'array di storage, è necessario sfruttare le funzionalità di Kubernetes.

Applicare la policy di qualità del servizio alla SVM per limitare il numero di IOPS consumabili dai volumi oggetto del provisioning di Trident. In questo modo è possibile prevenire l'impatto dei workload che utilizzano lo storage con provisioning Trident sui workload esterni alla SVM di Trident.

I gruppi di policy QoS ONTAP offrono opzioni di qualità del servizio per i volumi e consentono agli utenti di definire il limite massimo di throughput per uno o più carichi di lavoro. Per ulteriori informazioni sui gruppi di criteri QoS, fare riferimento a. "Comandi QoS di ONTAP 9.15"

Usa Namespaces limitare l'accesso ai volumi NFS e alle LUN iSCSI create da Trident è un componente critico della postura di sicurezza per l'implementazione di Kubernetes. In questo modo si impedisce agli host che non fanno parte del cluster Kubernetes di accedere ai volumi e di modificare i dati in modo imprevisto.

Inoltre, un processo in un contenitore può accedere all'archivio montato sull'host, ma che non è destinato al contenitore. L'utilizzo di Namespaces per fornire un limite logico per le risorse può evitare questo problema. Tuttavia,

È importante comprendere che gli spazi dei nomi sono il limite logico delle risorse in Kubernetes. Pertanto, è fondamentale garantire che gli spazi dei nomi vengano utilizzati per fornire la separazione quando appropriato. Tuttavia, i container con privilegi vengono eseguiti con un numero sostanzialmente maggiore di autorizzazioni a livello di host rispetto al normale. Pertanto, disattivare questa funzionalità utilizzando "policy di sicurezza pod".

Utilizzare una policy di esportazione dedicata per le distribuzioni OpenShift che hanno nodi di infrastruttura dedicati o altri nodi che non sono in grado di pianificare applicazioni utente, è necessario utilizzare policy di esportazione separate per limitare ulteriormente l'accesso alle risorse di archiviazione. Ciò include la creazione di una policy di esportazione per i servizi implementati nei nodi dell'infrastruttura (ad esempio, i servizi OpenShift Metrics e Logging) e le applicazioni standard implementate nei nodi non dell'infrastruttura.

Trident può creare e gestire automaticamente le policy di esportazione. In questo modo, Trident limita l'accesso ai volumi che fornisce ai nodi nel cluster Kubernetes e semplifica l'aggiunta/eliminazione dei nodi.

Tuttavia, se si sceglie di creare manualmente un criterio di esportazione, compilarlo con una o più regole di esportazione che elaborano ogni richiesta di accesso al nodo.

Disattiva showmount per l'applicazione SVM Un pod implementato nel cluster Kubernetes può emettere il comando showmount -e sulla LIF dati e ricevere un elenco dei mount disponibili, compresi quelli a cui non ha accesso. Per evitare questo, disabilitare la funzione showmount utilizzando il seguente CLI:

Migration Toolkit for OpenShift Virtualization è un operatore fornito da Red Hat disponibile dall'OperatorHub della OpenShift Container Platform. Questo tool può essere utilizzato per la migrazione di macchine virtuali da vSphere, Red Hat Virtualization, OpenStack e OpenShift Virtualization.

I dettagli sulla migrazione delle VM da vSphere sono disponibili in "Flussi di lavoro > virtualizzazione Red Hat OpenShift con NetApp ONTAP"

È possibile configurare i limiti per i vari parametri dalla CLI o dalla console Web di migrazione. Di seguito sono riportati alcuni campioni

Se si migrano più di 10 VM da un host ESXi nello stesso piano di migrazione, è necessario aumentare la memoria del servizio NFC dell'host. In caso contrario, la migrazione non riuscirà perché la memoria di servizio NFC è limitata a 10 connessioni parallele. Per ulteriori dettagli, consultate la documentazione di Red Hat: "Aumento della memoria di servizio NFC di un host ESXi"

Ecco una migrazione parallela di successo di 10 VM dallo stesso host in vSphere alla virtualizzazione OpenShift utilizzando Migration Toolkit for Virtualization.

VM sullo stesso host ESXi

Per la prima volta viene creato Un piano per la migrazione di 10 VM da VMware

Il piano di migrazione è iniziato ad essere eseguito

Tutte le 10 VM sono state migrate con successo

Tutte le macchine virtuali 10 sono in esecuzione in OpenShift Virtualization