Seminar Open Cluster Management Intensiv: Administration und Betrieb

Das Intensivseminar bündelt die administrativen Spezialthemen zu einem vollständigen Betriebslernweg. Architektur, Installation, Registrierung, Inventar, Mandantentrennung, Sicherheit, Monitoring, Troubleshooting, Upgrades und Fleet-Lifecycle werden in einer zusammenhängenden Umgebung umgesetzt.

Zielsetzung

Eine OCM-Flotte wird geplant, aufgebaut, gehärtet, überwacht, gestört, aktualisiert und wiederhergestellt. Die Inhalte verdichten die administrativen Einzelseminare, ohne deren zusätzliche Übungsbreite vollständig zu wiederholen.

Zielgruppe

• Kubernetes- und OCM-Administratoren
• Senior Platform Engineers
• SRE- und Cloud-Betriebsteams

Voraussetzungen

Sehr sichere Kubernetes-Administration, kubectl, YAML, RBAC, Zertifikate, Monitoring und grundlegende OCM-Kenntnisse.

Inhaltsübersicht

1. Tag 1: Architektur, Komponenten und Vertrauensmodell
2. Tag 2: Standardregistrierung, Netzwerk und Double Opt-in
3. Tag 3: ManagedClusterSets, Workspaces und Mandantentrennung
4. Tag 4: Systematisches Troubleshooting der Kernpfade
5. Tag 5: Sicherheit, Upgrade und Fleet-Lifecycle

Kapitel 1 – Tag 1: Architektur, Komponenten und Vertrauensmodell

Inhaltsverzeichnis: Hub-Spoke- und Hub-Agent-Prinzipien; ClusterManager, Klusterlet, Registration Agent und Work Agent; Cluster-Namespaces, deklarative Steuerung und Statusrückmeldung; Skalierung, Autonomie der Spokes und Ausfallverhalten

Fachliche Inhalte

• Hub-Spoke- und Hub-Agent-Prinzipien
• ClusterManager, Klusterlet, Registration Agent und Work Agent
• Cluster-Namespaces, deklarative Steuerung und Statusrückmeldung
• Skalierung, Autonomie der Spokes und Ausfallverhalten

Schritt-für-Schritt-Anleitung

1. Schritt 1: Die Rollen von Hub, Managed Cluster und Add-on-Komponenten in einem Architekturdiagramm markieren.
2. Schritt 2: Den Registrierungs-, Verteilungs- und Rückmeldepfad für eine Änderung vollständig nachzeichnen.
3. Schritt 3: Cluster-Namespaces und RBAC-Grenzen für zwei getrennte Betriebsteams entwerfen.
4. Schritt 4: Ausfallbilder für Hub-Unterbrechung, Netzwerkpartition und nicht erreichbaren Spoke analysieren.

Praxisprüfung

Die Architektur wird anhand eines Nachrichtenflusses und einer Fehlerfallmatrix geprüft; unklare Verantwortlichkeiten werden vor der Installation bereinigt.

Kapitel 2 – Tag 2: Standardregistrierung, Netzwerk und Double Opt-in

Inhaltsverzeichnis: Netzwerk- und DNS-Voraussetzungen zwischen Spoke und Hub; Bootstrap-Kubeconfig, CertificateSigningRequest und Annahmeprozess; clusteradm init, join und accept; ManagedCluster-Status, Lease und Zertifikatsablage

Fachliche Inhalte

• Netzwerk- und DNS-Voraussetzungen zwischen Spoke und Hub
• Bootstrap-Kubeconfig, CertificateSigningRequest und Annahmeprozess
• clusteradm init, join und accept
• ManagedCluster-Status, Lease und Zertifikatsablage

Schritt-für-Schritt-Anleitung

1. Schritt 1: Erreichbarkeit, Zertifikatsnamen, Proxy-Einstellungen und Kubernetes-Kontexte vor dem Join prüfen.
2. Schritt 2: Den Klusterlet per clusteradm installieren und die entstehenden CSR- und ManagedCluster-Objekte beobachten.
3. Schritt 3: Die Registrierung auf Hub-Seite kontrolliert annehmen und die beidseitige Zustimmung verifizieren.
4. Schritt 4: Lease, Conditions, Hub-Kubeconfig-Secret und Agent-Protokolle als Abnahmekriterien auswerten.

Praxisprüfung

Ein fehlerhaftes Zertifikatsszenario wird absichtlich erzeugt, diagnostiziert und ohne Neuaufbau des gesamten Clusters korrigiert.

Kapitel 3 – Tag 3: ManagedClusterSets, Workspaces und Mandantentrennung

Inhaltsverzeichnis: ManagedClusterSet und Mitgliedschaftsmodelle; ManagedClusterSetBinding und Workspace-Namespaces; RBAC für Cluster-Set-Administratoren; Default- und Global-ClusterSet sowie Betriebsgrenzen

Fachliche Inhalte

• ManagedClusterSet und Mitgliedschaftsmodelle
• ManagedClusterSetBinding und Workspace-Namespaces
• RBAC für Cluster-Set-Administratoren
• Default- und Global-ClusterSet sowie Betriebsgrenzen

Schritt-für-Schritt-Anleitung

1. Schritt 1: Cluster nach Region und Verwendungszweck in exklusive Sets einordnen und die Mitgliedschaft verifizieren.
2. Schritt 2: ClusterSets gezielt an Workspace-Namespaces binden und den zulässigen Sichtbereich dokumentieren.
3. Schritt 3: Rollen und RoleBindings für getrennte Plattformteams erstellen und unzulässige Zugriffe testen.
4. Schritt 4: Default- und Global-Set in das Berechtigungskonzept einordnen und unbeabsichtigte Reichweite ausschließen.

Praxisprüfung

In einer Mandantenübung werden zwei Teams mit überlappenden, aber kontrollierten Clusterrechten eingerichtet und durch Negativtests abgesichert.

Kapitel 4 – Tag 4: Systematisches Troubleshooting der Kernpfade

Inhaltsverzeichnis: Registrierung und Zertifikatsfehler; ManifestWork-Anwendung und Statusfeedback; Placement-Entscheidungen und fehlende Kandidaten; Add-on-Installation und Agentfehler

Fachliche Inhalte

• Registrierung und Zertifikatsfehler
• ManifestWork-Anwendung und Statusfeedback
• Placement-Entscheidungen und fehlende Kandidaten
• Add-on-Installation und Agentfehler

Schritt-für-Schritt-Anleitung

1. Schritt 1: Fehler anhand der betroffenen API, Condition und zuständigen Controllerkomponente klassifizieren.
2. Schritt 2: Events, Logs, Statusobjekte und Secrets in einer festen Reihenfolge prüfen.
3. Schritt 3: Die Störung auf Hub, Kommunikationspfad oder Spoke eingrenzen und eine minimale Reproduktion erstellen.
4. Schritt 4: Korrektur, Wiederanlauf und Nachkontrolle durchführen, ohne Symptome nur durch Neustarts zu verdecken.

Praxisprüfung

Vier vorbereitete Fehlerbilder werden mit demselben Diagnoseverfahren bearbeitet und in einem wiederverwendbaren Runbook dokumentiert.

Kapitel 5 – Tag 5: Sicherheit, Upgrade und Fleet-Lifecycle

Inhaltsverzeichnis: Double Opt-in, Zertifikate und Rotation; Cluster-Namespaces und Rollenmodell; clusteradm- und operatorgestützte Aktualisierung; Registrierung von Cluster-API-Clustern

Fachliche Inhalte

• Double Opt-in, Zertifikate und Rotation
• Cluster-Namespaces und Rollenmodell
• clusteradm- und operatorgestützte Aktualisierung
• Registrierung von Cluster-API-Clustern

Schritt-für-Schritt-Anleitung

1. Schritt 1: Hub- und Spoke-Berechtigungen auf minimale Aktionen reduzieren und mit Negativtests prüfen.
2. Schritt 2: Mindest-TLS-Version und zulässige Cipher Suites per Profil konfigurieren und den Neustartpfad kontrollieren.
3. Schritt 3: Den Hub aktualisieren, Conditions und Generationen kontrollieren und erst danach die Pilot-Spokes bearbeiten.
4. Schritt 4: Lösch- und Wiederherstellungsverhalten von Hub- und Spoke-Ressourcen testen.

Praxisprüfung

Die Abschlussübung verbindet Härtung, gestaffelte Aktualisierung und Wiederherstellung zu einem dokumentierten Betriebsverfahren.