Container Service for Kubernetes:NodeLocal DNSCache アドオンの使用

仕組み

NodeLocal DNSCache は次の 2 つのコンポーネントで構成されます：

• DaemonSet (DNS キャッシュエージェント)：各ノードで実行され、仮想ネットワークインターフェイスを作成し、デフォルトで 169.254.20.10 宛ての DNS クエリをリッスンします。リッスン IP アドレスを変更するには、チケットを送信してください。

• Deployment (アドミッションコントローラー)：アドミッション Webhook を介して Pod の作成リクエストをインターセプトし、Pod の spec に dnsConfig を自動的に注入します。

キャッシュエージェントは CoreDNS をベースとしており、プロキシとキャッシュのみを提供します。hosts や rewrite などのプラグインは有効化しないでください。これらは CoreDNS 側で設定します。

NodeLocal DNSCache のデプロイ後の DNS クエリフロー：

NodeLocal DNSCache のデプロイ後の DNS クエリフロー：

詳細については、「DNS 解決ポリシーとキャッシュポリシー」をご参照ください。

前提条件

開始する前に、次の事項を確認してください：

• ACK クラスター が作成済みであること。

• kubectl が クラスターに接続 されていること。

制限事項

• Windows ノードはサポートされていません。仮想ノード (ECI および ACS Pod を含む) 上の Pod では、NodeLocal DNSCache v1.6.0 以降と ack-virtual-node v2.14.0 以降がインストールされている場合にのみ DNS キャッシュがサポートされます。

• クラスターで Terway を使用している場合、バージョン 1.0.10.301 以降が必要です。Terway が IPvlan を使用した inclusive ENI モードで実行されている場合は、先に Terway を IPvlan モード向けに設定してください。

• NodeLocal DNSCache は CoreDNS の透過的なキャッシュプロキシとしてのみ動作し、プラグイン拡張性は提供しません。hosts や rewrite などのプラグインは、代わりに CoreDNS で設定してください。

• NodeLocal DNSCache を使用する前に、CoreDNS forward プラグインのデフォルトプロトコルを設定してください。そうしないと、CoreDNS が外部ドメインを解決できないことがあります。DNS サービスのベストプラクティスをご参照ください。

• デフォルトでは master ノードにインストールされません。Pod が Taint 付きの master ノード上で実行される場合は、kube-system 名前空間の node-local-dns DaemonSet に一致する Toleration を追加してください。

NodeLocal DNSCache のインストール

1. ACK コンソール にログインします。左側メニューで、ACK コンソール の [クラスター] をクリックします。

2. クラスターを見つけて、[操作] 列で [その他] > [運用] > [コンポーネント管理] を選択します。

3. [アドオン] ページで [ネットワーク] タブをクリックし、[ACK NodeLocal DNSCache] を見つけます。

4. [インストール] をクリックします。ダイアログボックスで [OK] をクリックします。

NodeLocal DNSCache の設定

Pod からの DNS クエリを NodeLocal DNSCache 経由でルーティングするには、Pod の dnsConfig の nameservers を 169.254.20.10 と kube-dns のクラスター IP に設定します。次のいずれかの方法を使用します：

kubectl label namespace default node-local-dns-injection=enabled

dnsConfig:
  nameservers:
  - 169.254.20.10
  - 172.21.0.10
  options:
  - name: ndots
    value: "3"
  - name: attempts
    value: "2"
  - name: timeout
    value: "1"
  searches:
  - default.svc.cluster.local
  - svc.cluster.local
  - cluster.local
dnsPolicy: None

metadata:
  labels:
    node-local-dns-injection: "disabled"

apiVersion: v1
kind: Pod
metadata:
  name: alpine
  namespace: default
spec:
  containers:
  - image: alpine
    command:
      - sleep
      - "10000"
    imagePullPolicy: Always
    name: alpine
  dnsPolicy: None
  dnsConfig:
    nameservers: ["169.254.20.10","172.21.0.10"]
    searches:
    - default.svc.cluster.local
    - svc.cluster.local
    - cluster.local
    options:
    - name: ndots
      value: "3"
    - name: attempts
      value: "2"
    - name: timeout
      value: "1"

--cluster-dns=169.254.20.10 --cluster-dns=<kube-dns-ip> --cluster-domain=<search-domain>

sudo systemctl daemon-reload
sudo systemctl restart kubelet

例：Deployment 向けの NodeLocal DNSCache 設定

default 名前空間の Deployment で、方法 1 (自動注入) を使用して NodeLocal DNSCache を有効にします。

1. 名前空間にラベルを付与して、dnsConfig の自動注入を有効にします。

   重要

   アドミッションコントローラーは kube-system および kube-public 名前空間の Pod をスキップします。これらの名前空間では注入を有効にしないでください。

   kubectl label namespace default node-local-dns-injection=enabled

2. サンプルアプリケーションをデプロイします。次の YAML を ubuntu-deployment.yaml として保存します：

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: ubuntu
     labels:
       app: ubuntu
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: ubuntu
     template:
       metadata:
         labels:
           app: ubuntu
       spec:
         containers:
         - name: ubuntu
           image: ubuntu
           command: ["sh", "-c"]
           args: ["sleep 100000"]

   マニフェストを適用します：

   kubectl apply -f ubuntu-deployment.yaml

   想定される出力：

   deployment.apps/ubuntu created

3. Deployment が実行中であることを確認します。

   kubectl get deployment ubuntu

   想定される出力：

   NAME     READY   UP-TO-DATE   AVAILABLE   AGE
   ubuntu   2/2     2            2           7s

4. dnsConfig が注入されていることを確認します。Pod 名を取得します：

   kubectl get pods

   想定される出力：

   NAME                      READY   STATUS    RESTARTS   AGE
   ubuntu-766448f68c-m****   1/1     Running   0          4m39s
   ubuntu-766448f68c-w****   1/1     Running   0          4m39s

   Pod の dnsConfig を確認します：

   kubectl get pod ubuntu-766448f68c-m**** -o=jsonpath='{.spec.dnsConfig}'

   想定される出力：

   map[nameservers:[169.254.20.10 172.21.0.10] options:[map[name:ndots value:3]] searches:[default.svc.cluster.local svc.cluster.local cluster.local]]

   nameservers に 169.254.20.10 が含まれていることで、dnsConfig が注入されたことを確認できます。

NodeLocal DNSCache の更新

1. ACK コンソール にログインします。左側メニューで [クラスター] をクリックします。

2. クラスター名をクリックします。左側メニューで [運用] > [アドオン] を選択します。

3. [アドオン] ページで NodeLocal DNSCache を見つけ、[アップグレード] をクリックします。ダイアログボックスで [OK] をクリックします。

アップグレード中に、node-local-dns DaemonSet に設定したカスタム Toleration は上書きされます。アップグレード後に再設定してください。アップグレードに失敗した場合は、コンポーネントのトラブルシューティングをご参照ください。

NodeLocal DNSCache のアンインストール

1. ACK コンソール にログインします。左側メニューで [クラスター] をクリックします。

2. クラスター名をクリックします。左側メニューで [運用] > [アドオン] を選択します。

3. [アドオン] ページで NodeLocal DNSCache を見つけ、[アンインストール] をクリックします。ダイアログボックスで [OK] をクリックします。

IPvlan モード向けの Terway 設定

Terway の初期バージョンを使用するクラスターでは、デフォルト設定で 169.254.20.10 宛ての DNS トラフィックが正しくルーティングされない場合があります。NodeLocal DNSCache をインストールする前に設定を更新してください。

1. Terway の ConfigMap を編集します：

   kubectl -n kube-system edit cm eni-config -o yaml

2. ConfigMap を確認します：

   • eniip_virtual_type が IPVlan でない場合は、変更は不要です。NodeLocal DNSCache のインストールに進んでください。

   • host_stack_cidrs がすでに存在する場合は、変更は不要です。NodeLocal DNSCache のインストールに進んでください。

3. eniip_virtual_type が IPVlan で、かつ host_stack_cidrs が存在しない場合は、host_stack_cidrs を追加し、169.254.20.10/32 に設定します。保存して終了します。

   10-terway.conf: |
    {
      "cniVersion": "0.3.0",
      "name": "terway",
      "eniip_virtual_type": "IPVlan",
      "host_stack_cidrs": ["169.254.20.10/32"],
      "type": "terway"
    }

4. Terway の DaemonSet Pod を一覧表示します：

   kubectl -n kube-system get pod | grep terway-eniip

   想定される出力：

   terway-eniip-7****         2/2     Running   0          30m
   terway-eniip-s****         2/2     Running   0          30m

5. 更新した設定を適用するために Pod を削除します：

   kubectl -n kube-system delete pod terway-eniip-7**** terway-eniip-s****

6. クラスターのノードにログインし、更新を確認します：

   cat /etc/cni/net.d/*

   想定される出力：

   {
     "cniVersion": "0.3.0",
     "name": "terway-chainer",
     "plugins": [
       {
         "eniip_virtual_type": "IPVlan",
         "host_stack_cidrs": [
           "169.254.20.10/32"
         ],
         "type": "terway"
       },
       {
         "type": "cilium-cni"
       }
     ]
   }

   すべての Terway Pod が実行中になったら、NodeLocal DNSCache のインストールに進んでください。

次のステップ

• DNS ベースのサービスディスカバリー

• DNS ポリシーとドメイン名の解決

• DNS サービスのベストプラクティス