crio.conf(5)(Kubernetes) Daemon crio.conf(5)(Kubernetes)
Aleksa Sarai OCTOBER 2016

crio.conf - فایل پیکربندی دیمن زمان اجرای کانتینر کوبرنتیز مبتنی بر OCI به نام CRI-O

فایل پیکربندی CRI-O تمامی گزینه‌های پیکربندی و فلگ‌های خط فرمان موجود برای دیمن زمان اجرای کانتینر کوبرنتیز مبتنی بر OCI به نام crio(8) ⟨./crio.8.md⟩ را تعیین می‌کند، اما در قالب TOML که ویرایش و نسخه‌بندی آن ساده‌تر است.

ابزار CRI-O از بارگذاری مجدد بخشی از پیکربندی در حین اجرا پشتیبانی می‌کند که می‌توان با ارسال سیگنال SIGHUP به فرآیند در حال اجرا این کار را انجام داد. گزینه‌هایی که در حال حاضر در crio.conf از این قابلیت پشتیبانی می‌کنند با عبارت 'This option supports live configuration reload' مشخص شده‌اند.

فایل containers-registries.conf(5) نیز می‌تواند با ارسال سیگنال SIGHUP به فرآیند crio مجدداً بارگذاری شود.

فایل پیش‌فرض crio.conf در مسیر /etc/crio/crio.conf قرار دارد.

قالب TOML ⟨https://github.com/toml-lang/toml⟩ به عنوان قالب کدگذاری فایل پیکربندی استفاده می‌شود. هر گزینه و زیرجدول فهرست‌شده در اینجا، زیرمجموعه جدول سراسری "crio" است. هیچ گزینه مستقلی خارج از جداول استفاده نمی‌شود. ساختار TOML را می‌توان به صورت ساده شده زیر بیان کرد:

[table]
option = value
[table.subtable1]
option = value
[table.subtable2]
option = value

ابزار CRI-O مقادیر پیش‌فرض ذخیره‌سازی خود را از فایل containers-storage.conf(5) واقع در /etc/containers/storage.conf می‌خواند. اگر می‌خواهید پیش‌فرض‌های سیستم را تغییر دهید، این پیکربندی ذخیره‌سازی را ویرایش کنید. اگر قصد دارید ذخیره‌سازی را فقط برای CRI-O تغییر دهید، می‌توانید گزینه‌های پیکربندی ذخیره‌سازی را در اینجا تغییر دهید.

root="/var/lib/containers/storage" مسیر "دایرکتوری ریشه". CRI-O تمام داده‌های خود از جمله تصاویر کانتینرها را در این دایرکتوری ذخیره می‌کند.

runroot="/run/containers/storage" مسیر "دایرکتوری اجرا". CRI-O تمام وضعیت‌های اجرایی خود را در این دایرکتوری ذخیره می‌کند.

storage_driver="overlay" درایور ذخیره‌سازی مورد استفاده برای مدیریت ذخیره‌سازی تصاویر و کانتینرها. لطفاً برای مشاهده تمام درایورهای ذخیره‌سازی موجود به containers-storage.conf(5) مراجعه کنید.

storage_option=[] فهرستی جهت ارسال گزینه‌ها به درایور ذخیره‌سازی. لطفاً برای مشاهده تمام گزینه‌های ذخیره‌سازی به containers-storage.conf(5) مراجعه کنید.

log_dir="/var/log/crio/pods" دایرکتوری لاگ پیش‌فرض که همه گزارش‌ها در آن قرار می‌گیرند، مگر اینکه مستقیماً توسط kubelet مشخص شود. دایرکتوری لاگ مشخص‌شده باید یک مسیر مطلق باشد.

version_file="/run/crio/version" مکانی که CRI-O فایل موقت نسخه را در آن قرار می‌دهد. این فایل برای بررسی اینکه آیا crio wipe باید کانتینرها را پاک کند استفاده می‌شود، که همیشه هنگام راه‌اندازی مجدد نود باید انجام شود.

version_file_persist="" مکانی که CRI-O فایل دائمی نسخه را در آن قرار می‌دهد. این فایل برای بررسی اینکه آیا crio wipe باید تصاویر را پاک کند استفاده می‌شود، که فقط هنگام ارتقای CRI-O باید صورت گیرد.

imagestore="" ذخیره‌سازی تصاویر تازه دریافت‌شده در مسیر مشخص‌شده، به جای مسیری که توسط --root ارائه شده است.

internal_wipe=true این گزینه در حال حاضر منسوخ شده است و در آینده حذف خواهد شد. تعیین می‌کند که آیا CRI-O باید کانتینرها را پس از راه‌اندازی مجدد سیستم و تصاویر را پس از ارتقا هنگام شروع به کار سرور پاک کند یا خیر. در صورت تنظیم روی false، برای پاکسازی کانتینرها و تصاویر در این شرایط باید دستور crio wipe اجرا شود.

internal_repair=true تعیین می‌کند که آیا CRI-O باید خرابی فضای ذخیره‌سازی کانتینر و تصویر را پس از راه‌اندازی مجدد ناگهانی بررسی کند یا خیر. در صورت بروز خرابی، CRI-O همچنین برای تعمیر فضای ذخیره‌سازی تلاش می‌کند.

clean_shutdown_file="/var/lib/crio/clean.shutdown" مکانی برای CRI-O جهت قرار دادن فایل خاموشی تمیز. برای بررسی اینکه آیا crio پیش از خاموش شدن زمان کافی برای همگام‌سازی داشته است یا خیر استفاده می‌شود. در صورت عدم یافتن، دستور crio wipe دایرکتوری ذخیره‌سازی را پاک خواهد کرد.

جدول crio.api شامل تنظیمات مربوط به رابط kubelet/gRPC است.

listen="/run/crio/crio.sock" مسیر سوکت AF_LOCAL که CRI-O روی آن گوش فرا می‌دهد.

stream_address="127.0.0.1" آدرس IP که سرور استریمینگ روی آن گوش خواهد داد.

stream_port="0" درگاهی (پورتی) که سرور استریمینگ روی آن گوش خواهد داد. اگر پورت روی "0" تنظیم شود، CRI-O یک شماره پورت آزاد تصادفی اختصاص می‌دهد.

stream_enable_tls=false فعال‌سازی انتقال رمزگذاری‌شده TLS برای سرور استریمینگ.

stream_idle_timeout="" مدت زمان تا پایان استریم‌های باز به دلیل عدم فعالیت.

stream_tls_cert="" مسیر فایل گواهی x509 که برای ارائه استریم رمزگذاری‌شده استفاده می‌شود. این فایل می‌تواند تغییر کند و CRI-O به‌طور خودکار تغییرات را ظرف ۵ دقیقه اعمال می‌کند.

stream_tls_key="" مسیر فایل کلید که برای ارائه استریم رمزگذاری‌شده استفاده می‌شود. این فایل می‌تواند تغییر کند و CRI-O به‌طور خودکار تغییرات را ظرف ۵ دقیقه اعمال می‌کند.

stream_tls_ca="" مسیر فایل CA(های) x509 مورد استفاده برای اعتبارسنجی و احراز هویت ارتباط کلاینت با استریم رمزگذاری‌شده. این فایل می‌تواند تغییر کند و CRI-O به‌طور خودکار تغییرات را ظرف ۵ دقیقه اعمال می‌کند.

tls_min_version="VersionTLS12" حداقل نسخه TLS برای سرورهای استریمینگ و معیارها. مقادیر معتبر "VersionTLS12" و "VersionTLS13" هستند. پیش‌فرض "VersionTLS12" است.

tls_cipher_suites=[] فهرست مجموعه‌الگوریتم‌های رمزنگاری برای TLS 1.2. در صورت حذف، از مجموعه‌های پیش‌فرض Go استفاده خواهد شد. این گزینه بر TLS 1.3 تأثیری ندارد زیرا Go الگوریتم‌های رمزنگاری را به‌طور خودکار مدیریت می‌کند.

grpc_max_send_msg_size=83886080 حداکثر اندازه پیام ارسالی gRPC به بایت. در صورت عدم تنظیم یا مقدار کمتر یا مساوی صفر، مقدار پیش‌فرض CRI-O برابر با 80 * 1024 * 1024 خواهد بود.

grpc_max_recv_msg_size=83886080 حداکثر اندازه پیام دریافتی gRPC. در صورت عدم تنظیم یا مقدار کمتر یا مساوی صفر، مقدار پیش‌فرض CRI-O برابر با 80 * 1024 * 1024 خواهد بود.

جدول crio.runtime شامل تنظیمات مربوط به زمان اجرای OCI مورد استفاده و گزینه‌های نحوه راه‌اندازی و مدیریت زمان اجرای OCI است.

default_runtime="crun" نام زمان اجرای OCI برای استفاده به عنوان پیش‌فرض. این گزینه از بارگذاری مجدد پیکربندی در حین اجرا پشتیبانی می‌کند.

default_ulimits=[] فهرستی از ulimitها جهت تنظیم در کانتینرها به صورت پیش‌فرض، که به صورت "<name>=<soft>:<hard>" مشخص می‌شود، به عنوان مثال: "nofile=1024:2048". اگر مقداری در اینجا تنظیم نشود، تنظیمات از دیمن CRI-O به ارث می‌رسد.

no_pivot=false در صورت تنظیم روی true، زمان اجرا از pivot_root استفاده نخواهد کرد و به جای آن از MS_MOVE استفاده می‌کند.

decryption_keys_path="/etc/crio/keys/" مسیری که کلیدهای لازم برای رمزگشایی تصویر در آن قرار دارند.

additional_artifact_stores=[] فهرستی از مسیرهای اضافی و فقط‌خواندنی مخزن آرتیفکت‌های OCI (آزمایشی و در معرض تغییر). CRI-O انتظار دارد یک زیرشاخه "artifacts/" در هر مسیر پیکربندی‌شده وجود داشته باشد. تمام ورودی‌ها باید مسیرهای مطلق باشند. آرتیفکت‌ها در این مخازن نسبت به مخزن اصلی اولویت دارند. از آنجا که این مخازن فقط‌خواندنی هستند، CRI-O نمی‌تواند آرتیفکت‌ها را از آن‌ها حذف کند. اگر تگی در رجیستری دوباره نشانه‌گذاری شود، نسخه محلی قدیمی در مخزن فقط‌خواندنی همچنان استفاده خواهد شد؛ برای دریافت نسخه جدید، آرتیفکت باید مستقیماً از سیستم فایل مخزن فقط‌خواندنی حذف شود.

conmon="" مسیر فایل باینری conmon، مورد استفاده برای پایش زمان اجرای OCI. در صورت خالی بودن، با استفاده از $PATH جستجو می‌شود. این گزینه در حال حاضر منسوخ شده و با RuntimeHandler.MonitorPath جایگزین خواهد شد.

conmon_cgroup="" تنظیم cgroup برای conmon. این گزینه در حال حاضر منسوخ شده و با RuntimeHandler.MonitorCgroup جایگزین خواهد شد.

conmon_env=[] فهرست متغیرهای محیطی برای فرآیند conmon، جهت ارسال متغیرهای محیطی ضروری به conmon یا زمان اجرا. این گزینه در حال حاضر منسوخ شده و با RuntimeHandler.MonitorEnv جایگزین خواهد شد.

default_env=[] متغیرهای محیطی اضافی جهت تنظیم برای تمام کانتینرها. این مقادیر در صورت تعیین در مشخصات تصویر کانتینر یا در پیکربندی زمان اجرای کانتینر رونویسی (override) می‌شوند.

min_injected_gomaxprocs=0 فعال‌سازی تزریق GOMAXPROCS برای کانتینرهای پاد burstable و best-effort. این مقدار به عنوان حداقل کف عمل می‌کند. برای پادهای burstable دارای درخواست CPU، مقدار GOMAXPROCS به‌طور خودکار از روی درخواست محاسبه می‌شود؛ مقدار محاسبه‌شده تنها در صورتی استفاده می‌شود که از این کف بیشتر باشد. برای پادهای best-effort (بدون درخواست CPU)، این مقدار مستقیماً استفاده می‌شود. پادهای guaranteed و workload-partitioned نادیده گرفته می‌شوند. برای غیرفعال‌سازی روی 0 تنظیم کنید (پیش‌فرض).

selinux=false در صورت تنظیم روی true، از SELinux برای تفکیک پادها روی هاست استفاده خواهد شد. این گزینه منسوخ شده و در آینده بر اساس وضعیت فعال بودن SELinux روی هاست تفسیر می‌شود.

seccomp_profile="" مسیر پروفایل seccomp.json که به عنوان پروفایل پیش‌فرض seccomp زمان اجرا استفاده می‌شود. در صورت عدم تعیین، از پروفایل seccomp پیش‌فرض داخلی استفاده خواهد شد. این گزینه در حال حاضر منسوخ شده و با SeccompDefault FeatureGate در کوبرنتیز جایگزین خواهد شد.

privileged_seccomp_profile="" فعال‌سازی پروفایل seccomp برای کانتینرهای ممتاز از مسیر محلی.

apparmor_profile="" جهت تغییر نام پروفایل پیش‌فرض AppArmor در CRI-O استفاده می‌شود. نام پروفایل پیش‌فرض "crio-default" است.

blockio_config_file="" مسیر فایل پیکربندی کلاس blockio برای تنظیم کنترل‌کننده blockio در cgroup.

blockio_reload=false در صورت تنظیم روی true، زمان اجرا فایل blockio_config_file را مجدداً بارگذاری کرده و دستگاه‌های بلوکی سیستم را پیش از اعمال پارامترهای blockio دوباره اسکن می‌کند.

cdi_spec_dirs=[] دایرکتوری‌ها جهت اسکن برای مشخصات رابط دستگاه کانتینر (CDI) جهت فعال‌سازی تزریق دستگاه‌های CDI. برای جزئیات بیشتر درباره CDI و نحو فایل‌های مشخصات CDI لطفاً به https://github.com/container-orchestrated-devices/container-device-interface مراجعه کنید.

دایرکتوری‌های بعدی در فهرست نسبت به دایرکتوری‌های قبلی اولویت دارند. فهرست پیش‌فرض دایرکتوری‌ها عبارت است از:

  cdi_spec_dirs = [
	  "/etc/cdi",
	  "/run/cdi",
  ]

irqbalance_config_file="/etc/sysconfig/irqbalance" برای تغییر فایل پیکربندی سرویس irqbalance که توسط CRI-O استفاده می‌شود کاربرد دارد. برای CentOS/SUSE این فایل در /etc/sysconfig/irqbalance قرار دارد. برای Ubuntu این فایل در /etc/default/irqbalance قرار دارد.

irqbalance_config_restore_file="/etc/sysconfig/orig_irq_banned_cpus" برای تنظیم ماسک CPU ممنوعه در irqbalance جهت بازیابی در هنگام راه‌اندازی CRI-O استفاده می‌شود. در صورت تنظیم روی 'disable'، تلاشی برای بازیابی انجام نخواهد شد.

rdt_config_file="" مسیر فایل پیکربندی RDT برای تنظیم شبه‌سیستم فایل resctrl.

cgroup_manager="systemd" پیاده‌سازی مدیریت cgroup مورد استفاده برای زمان اجرا.

default_capabilities=[] فهرست قابلیت‌های پیش‌فرض برای کانتینرها. اگر خالی باشد یا کامنت شود، تنها قابلیت‌های تعریف‌شده در فایل json کانتینر توسط کاربر یا کوبرنتیز اضافه می‌شوند.

فهرست پیش‌فرض عبارت است از:

  default_capabilities = [
	  "CHOWN",
	  "DAC_OVERRIDE",
	  "FSETID",
	  "FOWNER",
	  "SETGID",
	  "SETUID",
	  "SETPCAP",
	  "NET_BIND_SERVICE",
	  "KILL",
  ]

add_inheritable_capabilities=false افزودن قابلیت‌ها به مجموعه ارث‌برنده (inheritable)، علاوه بر گروه پیش‌فرض مجاز (permitted)، کران‌دار (bounding) و مؤثر (effective). اگر انتظار می‌رود قابلیت‌ها برای کاربران غیرریشه کار کنند، این گزینه باید تنظیم شود.

default_sysctls=[] فهرست sysctlهای پیش‌فرض. در صورت خالی بودن یا کامنت شدن، تنها مقادیر sysctl تعریف‌شده در فایل json کانتینر توسط کاربر یا کوبرنتیز اضافه می‌شوند.

یک مثال می‌تواند اجازه پینگ درون کانتینرها باشد. در سیستم‌هایی که از /proc/sys/net/ipv4/ping_group_range پشتیبانی می‌کنند، فهرست پیش‌فرض می‌تواند چنین باشد:

default_sysctls = [
     "net.ipv4.ping_group_range = 0   2147483647",
]

allowed_devices=[] فهرست دستگاه‌ها روی هاست که کاربر می‌تواند با یادداشت مجاز "io.kubernetes.cri-o.Devices" مشخص کند.

additional_devices=[] فهرست دستگاه‌های اضافی. به صورت "<host>:<container>:<permissions>" مشخص می‌شود، برای مثال: "--additional-devices=/dev/sdc:/dev/xvdc:rwm". در صورت خالی بودن یا کامنت شدن، تنها دستگاه‌های تعریف‌شده در فایل json کانتینر توسط کاربر یا کوبرنتیز افزوده خواهند شد.

hooks_dir=["path", ...] هر فایل *.json در مسیر، یک هوک برای کانتینرهای CRI-O پیکربندی می‌کند. برای جزئیات بیشتر در مورد نحو فایل‌های JSON و معنای تزریق هوک، به oci-hooks(5) مراجعه کنید. در حال حاضر CRI-O از هر دو طرحواره 1.0.0 و 0.1.0 هوک پشتیبانی می‌کند، اگرچه طرحواره 0.1.0 منسوخ شده است.

مسیرهای ذکرشده بعدی در آرایه اولویت بالاتری دارند (oci-hooks(5) اولویت دایرکتوری را توضیح می‌دهد).

برای شرایط یادداشت‌ها، CRI-O از یادداشت‌های کوبرنتیز استفاده می‌کند که زیرمجموعه‌ای از یادداشت‌های ارسالی به زمان اجرای OCI هستند. برای مثال، io.kubernetes.cri-o.Volumes بخشی از یادداشت‌های پیکربندی زمان اجرای OCI است، اما جزو یادداشت‌های کوبرنتیز که برای هوک‌ها تطبیق داده می‌شوند نیست.

برای شرایط مانت اتصالی (bind-mount)، فقط مانت‌هایی که صراحتاً توسط پیکربندی کوبرنتیز درخواست شده‌اند در نظر گرفته می‌شوند. مانت‌های اتصالی که CRI-O به صورت پیش‌فرض درج می‌کند (مانند /dev/shm) در نظر گرفته نمی‌شوند.

default_mounts=[] فهرست مانت‌های پیش‌فرض برای هر کانتینر. منسوخ‌شده: این گزینه در نسخه‌های آینده به نفع default_mounts_file حذف خواهد شد.

default_mounts_file="" مسیر فایلی که مانت‌های پیش‌فرض را برای هر کانتینر مشخص می‌کند. قالب پیکربندی به صورت /SRC:/DST است، یک مانت در هر سطر. توجه داشته باشید که CRI-O مانت‌های پیش‌فرض خود را از دو فایل زیر می‌خواند:

1) `/etc/containers/mounts.conf` (یعنی default_mounts_file): این فایل بازنویسی (override) است که کاربران می‌توانند مانت‌های پیش‌فرض خود را اضافه کنند یا مانت‌های پیش‌فرض همراه بسته را بازنویسی نمایند.
2) `/usr/share/containers/mounts.conf`: این فایل پیش‌فرضی است که برای مانت‌ها خوانده می‌شود. اگر می‌خواهید CRI-O از یک فایل مانت خاص دیگر بخواند، می‌توانید default_mounts_file را تغییر دهید. توجه داشته باشید که در این صورت، CRI-O تنها مانت‌های یافت‌شده در این فایل را اضافه می‌کند.

pids_limit=-1 حداکثر تعداد فرآیندهای مجاز در یک کانتینر. این گزینه منسوخ شده است. فلگ --pod-pids-limit در Kubelet باید به جای آن استفاده شود.

log_filter="" فیلتر کردن پیام‌های لاگ بر اساس عبارت منظم ارائه‌شده. این گزینه از بارگذاری مجدد پیکربندی در حین اجرا پشتیبانی می‌کند. به عنوان مثال 'request:.*' تمام درخواست‌های gRPC را فیلتر می‌کند.

log_level="info" تغییر میزان جزئیات لاگ‌ها بر اساس سطح تنظیم‌شده. گزینه‌ها عبارتند از fatal، panic، error، warn، info، debug و trace. این گزینه از بارگذاری مجدد پیکربندی در حین اجرا پشتیبانی می‌کند.

log_size_max=-1 حداکثر اندازه مجاز برای فایل لاگ کانتینر. اعداد منفی نشان‌دهنده عدم اعمال محدودیت اندازه هستند. در صورت مثبت بودن، باید >= 8192 باشد تا با بافر خواندن conmon تطابق داشته یا از آن بیشتر باشد. فایل کوتاه (truncate) شده و دوباره باز می‌شود تا حد مجاز هرگز تجاوز نکند. این گزینه منسوخ شده است. فلگ --container-log-max-size در Kubelet باید به جای آن استفاده شود.

log_to_journald=false تعیین اینکه آیا خروجی کانتینر علاوه بر فایل لاگ کوبرنتیز در journald نیز ثبت شود یا خیر.

container_exits_dir="/run/crio/exits" مسیر دایرکتوری که فایل‌های خروج کانتینر توسط conmon در آن نوشته می‌شوند.

container_attach_socket_dir="/run/crio" مسیر دایرکتوری برای سوکت‌های اتصال کانتینر.

bind_mount_prefix="" پیشوندی برای استفاده در مبدأ مانت‌های اتصالی. این گزینه هنگام اجرای CRI-O درون یک کانتینر و مانت شدن دایرکتوری / روی هاست به عنوان /host درون کانتینر کاربرد دارد. در این حالت اگر CRI-O با گزینه --bind-mount-prefix=/host اجرا شود، CRI-O دایرکتوری /host را به هر مانت اتصالی که تحویل CRI می‌دهد اضافه می‌کند. اگر کوبرنتیز بخواهد /var/lib/foobar درون کانتینر مانت شود، CRI-O مسیر /host/var/lib/foobar را مانت خواهد کرد. از آنجا که خود CRI-O در کانتینری با / یا هاست مانت‌شده روی /host اجرا می‌شود، کانتینر در نهایت به /var/lib/foobar از هاست دسترسی پیدا می‌کند نه /var/lib/foobar از کانتینر CRI-O.

read_only=false در صورت تنظیم روی true، تمام کانتینرها در حالت فقط‌خواندنی اجرا خواهند شد.

uid_mappings="" نگاشت‌های UID برای فضای نام کاربر در هر کانتینر. یک بازه به صورت containerUID:HostUID:Size مشخص می‌شود. بازه‌های چندگانه باید با کاما جدا شوند. این گزینه منسوخ شده و در آینده با پشتیبانی بومی فضای نام کاربر در کوبرنتیز جایگزین خواهد شد.

minimum_mappable_uid=-1 کمترین UID هاست که می‌تواند در نگاشت‌های ارائه‌شده مشخص شود، چه به عنوان بخشی از uid_mappings و چه به عنوان بخشی از درخواستی دریافت‌شده از طریق CRI، برای پادی که با UID غیر از 0 اجرا خواهد شد. این گزینه منسوخ شده و در آینده با پشتیبانی فضای نام کاربر در کوبرنتیز (KEP-127) جایگزین خواهد شد.

gid_mappings="" نگاشت‌های GID برای فضای نام کاربر در هر کانتینر. یک بازه به صورت containerGID:HostGID:Size مشخص می‌شود. بازه‌های چندگانه باید با کاما جدا شوند. این گزینه منسوخ شده و در آینده با پشتیبانی فضای نام کاربر در کوبرنتیز (KEP-127) جایگزین خواهد شد.

minimum_mappable_gid=-1 کمترین GID هاست که می‌تواند در نگاشت‌های ارائه‌شده مشخص شود، چه به عنوان بخشی از gid_mappings و چه به عنوان بخشی از درخواستی دریافت‌شده از طریق CRI، برای پادی که با UID غیر از 0 اجرا خواهد شد. این گزینه منسوخ شده و در آینده با پشتیبانی فضای نام کاربر در کوبرنتیز (KEP-127) جایگزین خواهد شد.

ctr_stop_timeout=30 حداقل زمان بر حسب ثانیه برای انتظار پیش از صدور تایم‌اوت در خصوص توقف مناسب کانتینر.

drop_infra_ctr=true تعیین می‌کند که آیا هنگامی که پاد دارای فضای نام اختصاصی PID نیست و از زمان اجرای تفکیک‌کننده هسته (مانند kata) استفاده نمی‌کند، کانتینر infra حذف شود یا خیر. نیازمند تنظیم manage_ns_lifecycle روی true است.

infra_ctr_cpuset="" مجموعه CPU را برای اجرای کانتینرهای infra تعیین می‌کند. در صورت عدم تعیین، CRI-O از تمامی CPUهای آنلاین برای اجرای کانتینرهای infra استفاده خواهد کرد. می‌توانید CPUها را در قالب فهرست CPU لینوکس مشخص کنید. برای دستیابی به جداسازی بهتر پادهای تضمین‌شده، این پارامتر را برابر با reserved-cpus در kubelet تنظیم کنید.

shared_cpuset="" مجموعه CPU را تعیین می‌کند که مجاز است میان کانتینرهای تضمین‌شده به اشتراک گذاشته شود، صرف‌نظر از اختصاصی بودن CPUهای آن‌ها و علاوه بر آن. این فیلد اختیاری است و در صورت عدم تعیین استفاده نخواهد شد. می‌توانید CPUها را در قالب فهرست CPU لینوکس مشخص کنید.

namespaces_dir="/run" دایرکتوری که وضعیت فضاهای نام مدیریت‌شده در آن رهگیری می‌شود. تنها زمانی استفاده می‌شود که manage_ns_lifecycle مقدار true داشته باشد.

pinns_path="" مسیر باینری pinns، که برای مدیریت چرخه حیات فضای نام مورد نیاز است.

absent_mount_sources_to_reject=[] فهرستی از مسیرها که در صورت عدم وجود روی هاست، باعث شکست در ایجاد کانتینر می‌شوند (برخلاف رفتار کنونی که یک پوشه می‌سازد).

device_ownership_from_security_context=false تغییر رفتار پیش‌فرض در تنظیم مالکیت uid/gid دستگاه‌های کانتینر از SecurityContext در CRI (یعنی RunAsUser/RunAsGroup) به جای دریافت uid/gid از هاست.

enable_criu_support=true فعال‌سازی یکپارچه‌سازی با CRIU؛ نیازمند وجود فایل باینری criu در $PATH است. (پیش‌فرض: true)

enable_pod_events=false فعال‌سازی CRI-O برای تولید رویدادهای کانتینر در سطح پاد به منظور بهینه‌سازی عملکرد ماژول تولید رویدادهای چرخه حیات پاد (PLEG) در Kubelet.

hostnetwork_disable_selinux=true تعیین می‌کند که آیا در صورت اجرای پاد در فضای نام شبکه هاست، SELinux درون پاد غیرفعال شود یا خیر.

disable_hostport_mapping=false فعال یا غیرفعال‌سازی نگاشت hostport کانتینر در CRI-O. مقدار پیش‌فرض 'false' است.

timezone="" تنظیم منطقه زمانی برای یک کانتینر در CRI-O. در صورت ارائه یک رشته خالی، CRI-O رفتار پیش‌فرض خود را حفظ می‌کند. برای تطابق با منطقه زمانی ماشین هاست از 'Local' استفاده کنید.

جدول "crio.runtime.runtimes" فهرستی از زمان‌های اجرای سازگار با OCI را تعریف می‌کند. زمان اجرای مورد استفاده بر اساس گرداننده زمان اجرا (runtime handler) ارائه‌شده توسط CRI انتخاب می‌شود. در صورت عدم ارائه runtime handler، زمان اجرا بر اساس سطح اعتماد بار کاری انتخاب خواهد شد. این گزینه از بارگذاری مجدد پیکربندی در حین اجرا پشتیبانی می‌کند.

runtime_path="" مسیر زمان اجرای سازگار با OCI که برای این گرداننده زمان اجرا استفاده می‌شود.

runtime_root="" دایرکتوری ریشه مورد استفاده برای ذخیره‌سازی داده‌های زمان اجرا.

runtime_type="oci" نوع زمان اجرای مورد استفاده برای این گرداننده زمان اجرا. مقادیر "oci" یا "vm".

inherit_default_runtime=false رونویسی مسیر زمان اجرا، مسیر پیکربندی زمان اجرا، ریشه زمان اجرا و نوع زمان اجرا از زمان اجرای پیش‌فرض هنگام بارگذاری.

runtime_config_path="" مسیر فایل پیکربندی زمان اجرا؛ تنها باید با انواع زمان اجرای VM استفاده شود.

privileged_without_host_devices=false تعیین اینکه آیا این گرداننده زمان اجرا از ارسال دستگاه‌های هاست به کانتینرهای ممتاز جلوگیری می‌کند یا خیر.

allowed_annotations=[] این فیلد در حال حاضر منسوخ شده است. اگر می‌خواهید از allowed_annotations استفاده کنید، لطفاً از ورک‌لود (workload) استفاده نمایید. فهرستی از یادداشت‌های آزمایشی که این گرداننده زمان اجرا مجاز به پردازش آن‌ها است. مقادیر شناسایی‌شده کنونی عبارتند از: "io.kubernetes.cri-o.userns-mode" برای پیکربندی فضای نام کاربر برای پاد. "io.kubernetes.cri-o.Devices" برای پیکربندی دستگاه‌ها برای پاد. "io.kubernetes.cri-o.ShmSize" برای پیکربندی اندازه /dev/shm. "io.kubernetes.cri-o.UnifiedCgroup.$CTR_NAME" برای پیکربندی بلوک یکپارچه cgroup v2 برای کانتینر. "io.containers.trace-syscall" برای ردگیری فراخوانی‌های سیستمی از طریق هوک OCI seccomp BPF. "seccomp-profile.kubernetes.cri-o.io" برای تنظیم پروفایل seccomp برای: یک کانتینر خاص با استفاده از "seccomp-profile.kubernetes.cri-o.io/<CTR>" یا کل پاد با استفاده از "seccomp-profile.kubernetes.cri-o.io/POD". توجه داشته باشید که این یادداشت هم روی کانتینرها و هم روی تصاویر عمل می‌کند. برای تصاویر، یادداشت ساده seccomp-profile.kubernetes.cri-o.io می‌تواند بدون پسوند الزامی /POD یا نام کانتینر استفاده شود.

container_min_memory="" حداقل حافظه‌ای که باید برای یک کانتینر تنظیم شود. این مقدار می‌تواند برای رونویسی مقدار سراسری فعلی برای یک زمان اجرای خاص استفاده شود. در صورت عدم تنظیم، مقدار پیش‌فرض سراسری "12 MiB" استفاده خواهد شد.

platform_runtime_paths={} نگاشتی از پلتفرم‌ها به مسیرهای فایل اجرایی زمان اجرای مربوطه برای این گرداننده زمان اجرا.

no_sync_log=false در صورت تنظیم روی true، زمان اجرا فایل لاگ را هنگام چرخش یا خروج کانتینر سینک نمی‌کند. این گزینه فقط برای نوع زمان اجرای 'oci' معتبر است. تنظیم این گزینه روی true می‌تواند باعث از دست رفتن داده‌ها شود، مثلاً زمانی که سیستم کرش می‌کند.

default_annotations={} نگاشتی از کلیدها به مقادیر یادداشت‌های تنظیم‌شده روی کانتینرهای اجراشده توسط این گرداننده زمان اجرا، در صورتی که توسط مشخصات پاد بازنویسی نشده باشند.

stream_websockets=false فعال‌سازی پروتکل وب‌سوکت برای عملیات exec، attach و هدایت پورت (port forward) کانتینر. ابزار conmon-rs (با runtime_type = "pod") از این پیکربندی برای exec و attach پشتیبانی می‌کند. هدایت پورت در نسخه‌های آینده پشتیبانی خواهد شد.

seccomp_profile="" مسیر پروفایل seccomp.json که به عنوان پروفایل پیش‌فرض seccomp برای این زمان اجرا استفاده می‌شود. در صورت عدم تعیین، پروفایل seccomp جدول crio.runtime استفاده خواهد شد. اگر آن هم مشخص نشده باشد، پروفایل پیش‌فرض داخلی seccomp استفاده خواهد شد.

container_create_timeout=240 مهلت زمانی برای عملیات ساخت کانتینر بر حسب ثانیه. در صورت عدم تنظیم، پیش‌فرض ۲۴۰ ثانیه است. اگر روی مقداری کمتر از ۳۰ ثانیه تنظیم شود، به‌طور خودکار روی ۳۰ ثانیه (حداقل مقدار مجاز) تنظیم می‌شود. این قابلیت به گرداننده‌های مختلف زمان اجرا امکان می‌دهد مهلت‌های متفاوتی برای ساخت کانتینر داشته باشند، که برای زمان‌های اجرای مبتنی بر ماشین مجازی که ممکن است به زمان بیشتری نیاز داشته باشند مفید است. ابزار conmon-rs (با runtime_type = "pod") از این مهلت زمانی قابل تنظیم برای ساخت کانتینر پشتیبانی نمی‌کند.

نکته: مهلت زمانی مؤثر، حداقل این مقدار و مقدار --runtime-request-timeout در kubelet (پیش‌فرض: ۲ دقیقه) است. اگر container_create_timeout = 600 (۱۰ دقیقه) تنظیم کنید اما kubelet مهلت پیش‌فرض ۲ دقیقه‌ای داشته باشد، عملیات پس از ۲ دقیقه لغو خواهد شد. هر دو مقدار را برای زمان‌های اجرای مبتنی بر VM به‌طور هماهنگ پیکربندی کنید. برای اطلاعات بیشتر درباره مهلت درخواست زمان اجرای kubelet، به مستندات کوبلت ⟨https://kubernetes.io/docs/reference/command-line-tools-reference/kubelet⟩ مراجعه کنید.

جدول "crio.runtime.workloads" فهرستی از ورک‌لودها (بار کاری) را تعریف می‌کند؛ روشی برای سفارشی‌سازی رفتار یک پاد و کانتینر. یک ورک‌لود برای پاد بر این اساس انتخاب می‌شود که آیا activation_annotation مربوط به آن به عنوان یک یادداشت روی پاد قرار دارد یا خیر.

activation_annotation="" یادداشت پادی است که این تنظیمات ورک‌لود را فعال می‌کند.

annotation_prefix="" پیشوندی است که پاد می‌تواند منبع خاصی را برای یک کانتینر رونویسی کند. یادداشت کامل باید به صورت $annotation_prefix.$resource/$ctrname = $value باشد.

allowed_annotations=[] برشی از یادداشت‌های آزمایشی که این ورک‌لود مجاز به پردازش آن‌ها است. مقادیر شناخته‌شده فعلی عبارتند از: "io.kubernetes.cri-o.userns-mode" برای پیکربندی فضای نام کاربر برای پاد. "io.kubernetes.cri-o.cgroup2-mount-hierarchy-rw" برای مانت کردن cgroupها به صورت قابل نوشتن هنگام تنظیم روی "true". "io.kubernetes.cri-o.Devices" برای پیکربندی دستگاه‌ها برای پاد. "io.kubernetes.cri-o.ShmSize" برای پیکربندی اندازه /dev/shm. "io.kubernetes.cri-o.UnifiedCgroup.$CTR_NAME" برای پیکربندی بلوک یکپارچه cgroup v2 برای کانتینر. "io.containers.trace-syscall" برای ردگیری فراخوانی‌های سیستمی از طریق هوک OCI seccomp BPF. "io.kubernetes.cri-o.seccompNotifierAction" برای فعال‌سازی ویژگی اعلام‌کننده seccomp. "io.kubernetes.cri-o.umask" برای تنظیم umask برای فرآیند init کانتینر. "io.kubernetes.cri.rdt-class" برای تنظیم کلاس RDT کانتینر. "seccomp-profile.kubernetes.cri-o.io" برای تنظیم پروفایل seccomp برای کانتینر یا پاد. "io.kubernetes.cri-o.DisableFIPS" برای غیرفعال‌سازی حالت FIPS برای پاد درون کلاستر کوبرنتیز با FIPS فعال.

این ویژگی می‌تواند به شما در اشکال‌زدایی مسائل مربوط به seccomp کمک کند، مثلاً اگر فراخوانی‌های سیستمی مسدودشده (خطاهای عدم دسترسی) تأثیر منفی روی بار کاری داشته باشند.

برای استفاده از این قابلیت، زمان اجرایی را پیکربندی کنید که یادداشت "io.kubernetes.cri-o.seccompNotifierAction" را در آرایه allowed_annotations داشته باشد.

همچنین این ویژگی حداقل به runc نسخه 1.1.0 یا crun نسخه 0.19 نیاز دارد که از ویژگی اعلام‌کننده پشتیبانی می‌کنند.

اگر همه چیز تنظیم شده باشد، در صورت تنظیم یادداشت "io.kubernetes.cri-o.seccompNotifierAction" روی سندباکس پاد، CRI-O پروفایل‌های seccomp انتخابی را برای کانتینرها تغییر می‌دهد. سپس اگر کانتینری از یک فراخوانی سیستمی مسدودشده استفاده کند، به CRI-O اطلاع داده می‌شود و در صورتی که مقدار "io.kubernetes.cri-o.seccompNotifierAction=stop" باشد، پس از تایم‌اوت ۵ ثانیه، بار کاری خاتمه می‌یابد.

این همچنین بدین معناست که می‌توان چندین فراخوانی سیستمی را در آن بازه ثبت کرد، در حالی که با کشف هر فراخوانی جدید، زمان تایم‌اوت ریست خواهد شد.

همچنین یعنی مقدار "restartPolicy" در پاد باید روی "Never" تنظیم شده باشد، در غیر این صورت kubelet بلافاصله کانتینر را مجدداً راه‌اندازی می‌کند.

لطفاً توجه داشته باشید که اگر یک فراخوانی سیستمی بر اساس defaultAction در seccomp مسدود شود، CRI-O قادر به دریافت اعلان نیست که این یک محدودیت عمومی در زمان اجرا است.

جدول منابع ساختاری برای رونویسی منابع خاص برای پادهای استفاده‌کننده از این بار کاری است. این ساختار مقداری پیش‌فرض ارائه می‌دهد و می‌تواند با استفاده از AnnotationPrefix بازنویسی شود.

cpushares="" تعداد سهم‌های پردازنده (CPU shares) را که این پاد به آن دسترسی دارد تعیین می‌کند.

cpuset="" مجموعه cpuset را که این پاد به آن دسترسی دارد مشخص می‌کند.

جدول crio.image شامل تنظیمات مربوط به مدیریت تصاویر OCI است.

ابزار CRI-O پیش‌فرض‌های رجیستری‌های پیکربندی‌شده را از فایل سراسری containers-registries.conf(5) واقع در /etc/containers/registries.conf می‌خواند.

default_transport="docker://" انتقال (ترنسپورت) پیش‌فرض برای دریافت تصاویر از مخزن کانتینری راه دور.

global_auth_file="" مسیر فایلی مانند /var/lib/kubelet/config.json حاوی اعتبارنامه‌های لازم برای دریافت تصاویر از رجیستری‌های امن.

pause_image="registry.k8s.io/pause:3.10.1" تصویر روی رجیستری که برای ساخت کانتینرهای infra استفاده می‌شود. مقدار باید با نام هاست رجیستری آغاز شود. این گزینه از بارگذاری مجدد پیکربندی در حین اجرا پشتیبانی می‌کند.

pause_image_auth_file="" مسیر فایلی مانند /var/lib/kubelet/config.json حاوی اعتبارنامه‌های ویژه دریافت pause_image مذکور. این گزینه از بارگذاری مجدد پیکربندی در حین اجرا پشتیبانی می‌کند.

pause_command="/pause" دستوری که برای نگه‌داشتن کانتینر در وضعیت مکث (paused) اجرا می‌شود. این گزینه از بارگذاری مجدد پیکربندی در حین اجرا پشتیبانی می‌کند.

pinned_images=[] فهرستی از تصاویر که باید از فرآیند جمع‌آوری زباله (garbage collection) کوبلت مستثنی شوند. امکان تعیین نام تصاویر را با استفاده از الگوهای دقیق، الگوهای سراسری (glob) یا کلیدواژه فراهم می‌کند. تطابق‌های دقیق باید با کل نام تطابق داشته باشند، در الگوهای glob می‌توان یک علامت * در انتها داشت، و الگوهای کلیدواژه می‌توانند در هر دو انتها دارای علامت ستاره باشند. به صورت پیش‌فرض، این فهرست شامل تصویر pause است اگر توسط کاربر پیکربندی شده باشد، که به عنوان نگه‌دارنده جایگزین در پادهای کوبرنتیز استفاده می‌شود.

signature_policy="" مسیر فایلی که تعیین می‌کند هنگام تصمیم‌گیری درباره اعتماد یا عدم اعتماد به تصویری که دریافت کرده‌ایم، از چه نوع خط‌مشی استفاده کنیم. استفاده از این گزینه توصیه نمی‌شود زیرا رفتار پیش‌فرض استفاده از خط‌مشی پیش‌فرض سراسری سیستم (مانند /etc/containers/policy.json) در بیشتر موارد ترجیح داده می‌شود. برای جزئیات بیشتر به containers-policy.json(5) مراجعه کنید.

signature_policy_dir="/etc/crio/policies" مسیر ریشه برای خط‌مشی‌های امضای تفکیک‌شده بر اساس فضای نام پاد. خط‌مشی نهایی مورد استفاده در هنگام دریافت تصویر به صورت /<NAMESPACE>.json خواهد بود. اگر هنگام دریافت تصویر هیچ فضای نام پادی ارائه نشود یا مسیر متصل وجود نداشته باشد، از خط‌مشی signature_policy یا خط‌مشی سراسری سیستم به عنوان جایگزین استفاده خواهد شد. باید یک مسیر مطلق باشد.

image_volumes="mkdir" نحوه مدیریت حجم‌های تصویر را کنترل می‌کند. مقادیر معتبر mkdir، bind و ignore هستند؛ مورد آخر حجم‌ها را کاملاً نادیده می‌گیرد.

insecure_registries=[] فهرست رجیستری‌ها جهت رد کردن اعتبارسنجی TLS برای دریافت تصاویر. این گزینه منسوخ شده و دیگر اثری ندارد. به جای آن از registries.conf استفاده کنید.

big_files_temporary_dir="" مسیر دایرکتوری موقت برای ذخیره فایل‌های حجیم، جهت ذخیره blobهای تصویر و جریان‌های داده مرتبط با مدیریت تصویر کانتینرها.

separate_pull_cgroup="" [آزمایشی] اگر مقدار آن تنظیم شود، تصاویر در cgroup مشخص‌شده دریافت می‌شوند. اگر مقدار آن روی "pod" تنظیم شود، از cgroup پاد استفاده خواهد شد. در حال حاضر تنها با مدیر cgroup نوع systemd پشتیبانی می‌شود.

auto_reload_registries=false در صورت تنظیم روی true، هنگامی که به‌روزرسانی در دایرکتوری 'registries.conf.d' رخ دهد، CRI-O به‌طور خودکار مخزن آینه‌ای را مجدداً بارگذاری می‌کند. مقدار پیش‌فرض 'false' است.

pull_progress_timeout="0s" مهلت زمانی برای پیشرفت دریافت تصویر تا زمان لغو عملیات. این مقدار همچنین برای محاسبه بازه زمانی پیشرفت دریافت به اندازه pull_progress_timeout / 10 استفاده می‌شود. می‌توان آن را روی 0 تنظیم کرد تا هم مهلت زمانی و هم خروجی پیشرفت غیرفعال شوند.

oci_artifact_mount_support=true این گزینه تعیین می‌کند که آیا CRI-O مانت کردن آرتیفکت‌های OCI را فعال می‌کند یا خیر. در صورت تنظیم روی true، ابزار CRI-O می‌تواند آرتیفکت‌های OCI را به عنوان حجم مانت کند.

short_name_mode="enforcing" این گزینه حالت نام کوتاه را شرح می‌دهد. مقادیر معتبر "enforcing" و "disabled" هستند و پیش‌فرض "enforcing" است. اگر "enforcing" باشد، دریافت تصویر در صورت استفاده از نام کوتاه و مبهم بودن نتایج ناموفق خواهد بود. اگر "disabled" باشد، اولین نتیجه انتخاب خواهد شد.

جدول crio.network شامل تنظیمات مربوط به مدیریت پلاگین‌های CNI است.

cni_default_network="" نام شبکه پیش‌فرض CNI برای انتخاب. در صورت عدم تنظیم یا مقدار ""، CRI-O اولین شبکه یافت‌شده در network_dir را انتخاب می‌کند.

network_dir="/etc/cni/net.d/" مسیر دایرکتوری محل قرارگیری فایل‌های پیکربندی CNI.

plugin_dirs=["/opt/cni/bin/",] فهرست مسیرها به دایرکتوری‌هایی که باینری‌های پلاگین CNI در آن‌ها قرار دارند.

cni_status_grace_period="0s" فعال‌سازی پایش پیوسته وضعیت CNI با دوره مهلت داده‌شده. هنگامی که روی "0s" (پیش‌فرض) تنظیم شود، پایش غیرفعال بوده و سلامت پلاگین فقط در زمان راه‌اندازی مشخص می‌شود؛ خرابی‌های زمان اجرا شناسایی نخواهند شد. در صورت تنظیم روی مقدار مثبت (مثلاً "1m")، یک goroutine در پس‌زمینه پلاگین را هر ۵ ثانیه بررسی کرده و قبل از علامت‌گذاری نود به عنوان ناآماده، به اندازه این دوره مهلت منتظر می‌ماند که اختلالات کوتاه CNI در هنگام ارتقای پلاگین (مانند rollout دیمن‌ست OVN-K) را تحمل می‌کند.

جدول crio.metrics شامل تنظیمات مربوط به دریافت معیارهای مبتنی بر Prometheus است.

enable_metrics=false فعال یا غیرفعال‌سازی سراسری پشتیبانی از معیارها.

metrics_collectors=["image_pulls_layer_size", "containers_events_dropped_total", "containers_oom_total", "processes_defunct", "operations_total", "operations_latency_seconds", "operations_latency_seconds_total", "operations_errors_total", "image_pulls_bytes_total", "image_pulls_skipped_bytes_total", "image_pulls_failure_total", "image_pulls_success_total", "image_layer_reuse_total", "containers_oom_count_total", "containers_seccomp_notifier_count_total", "resources_stalled_at_stage"] تعیین جمع‌آورنده‌های فعال معیارها. به صورت پیش‌فرض تمام معیارها فعال هستند.

metrics_host="127.0.0.1" آدرس IP یا نام هاستی که سرور معیارها روی آن گوش خواهد داد.

metrics_port=9090 درگاهی (پورتی) که سرور معیارها روی آن گوش خواهد داد.

metrics_socket="" سوکت که سرور معیارها روی آن گوش خواهد داد.

metrics_cert="" گواهی برای سرور معیارهای امن.

metrics_key="" کلید گواهی برای سرور معیارهای امن.

[آزمایشی] جدول crio.tracing شامل تنظیمات مربوط به صادر کردن داده‌های ردگیری (trace) OpenTelemetry است.

enable_tracing=false فعال یا غیرفعال‌سازی سراسری صادر کردن داده‌های ردگیری OpenTelemetry.

tracing_endpoint="127.0.0.1:4317" آدرسی که جمع‌آورنده ردگیری gRPC روی آن گوش فرا خواهد داد.

tracing_sampling_rate_per_million="" تعداد نمونه‌ها جهت جمع‌آوری به ازای هر یک میلیون span در OpenTelemetry. برای نمونه‌گیری همیشگی روی 1000000 تنظیم کنید.

جدول crio.stats تمام پیکربندی‌های لازم را برای گزارش‌دهی آمار کانتینر و پاد تعیین می‌کند.

stats_collection_period=0 تعداد ثانیه‌ها بین جمع‌آوری آمار پاد و کانتینر. در صورت تنظیم روی 0، آمار در صورت تقاضا جمع‌آوری می‌شود. منسوخ‌شده: این گزینه در آینده حذف خواهد شد. لطفاً به جای آن از collection_period استفاده کنید.

collection_period=0 تعداد ثانیه‌ها بین جمع‌آوری آمار پاد/کانتینر و معیارهای سندباکس پاد. در صورت تنظیم روی 0، معیارها/آمار در صورت تقاضا جمع‌آوری می‌شوند.

included_pod_metrics=[] فهرستی از معیارهای پاد جهت گنجاندن. نام معیارهایی را که باید در این لیست قرار گیرند مشخص کنید. در صورت خالی بودن، تنها معیارهای همیشه فعال گنجانده می‌شوند. مقادیر در دسترس عبارتند از "cpu", "hugetlb", "memory", "network", "oom", "process", "spec", "disk", "diskIO", "pressure". همچنین می‌توانید "all" را برای گنجاندن تمام معیارهای موجود مشخص کنید. اگر "all" را مشخص کنید، باید تنها مورد موجود در فهرست باشد.

جدول crio.nri شامل تنظیمات کنترل پشتیبانی از NRI (رابط منابع نود) در CRI-O است. enable_nri=true فعال‌سازی پشتیبانی NRI در CRI-O.

nri_plugin_dir="/opt/nri/plugins" دایرکتوری جهت اسکن پلاگین‌های از پیش نصب‌شده برای شروع خودکار.

nri_plugin_config_dir="/etc/nri/conf.d" دایرکتوری جهت اسکن پیکربندی پلاگین‌های از پیش نصب‌شده.

nri_listen="/run/nri/nri.sock" سوکت گوش دادن برای اتصال پلاگین‌های NRI راه‌اندازی‌شده از خارج.

nri_disable_connections=false غیرفعال کردن اتصالات از سوی پلاگین‌های NRI راه‌اندازی‌شده از خارج.

nri_plugin_registration_timeout="5s" مهلت زمانی برای یک پلاگین جهت ثبت خود در NRI.

nri_plugin_request_timeout="2s" مهلت زمانی برای رسیدگی پلاگین به یک درخواست NRI.

جدول crio.nri.default_validator شامل تنظیمات برای پلاگین اعتبارسنج پیش‌فرض داخلی NRI است، که می‌تواند برای محدود کردن انواع تغییراتی که سایر پلاگین‌های NRI می‌توانند روی کانتینرها اعمال کنند استفاده شود.

nri_enable_default_validator=false فعال‌سازی پلاگین اعتبارسنج پیش‌فرض NRI.

nri_validator_reject_oci_hook_adjustment=false رد کردن تنظیم هوک‌های OCI توسط پلاگین NRI.

nri_validator_reject_runtime_default_seccomp_adjustment=false رد کردن تنظیم خط‌مشی پیش‌فرض seccomp زمان اجرا توسط پلاگین NRI.

nri_validator_reject_unconfined_seccomp_adjustment=false رد کردن تنظیم خط‌مشی نامحدود (unconfined) seccomp توسط پلاگین NRI.

nri_validator_reject_custom_seccomp_adjustment=false رد کردن تنظیم خط‌مشی سفارشی seccomp توسط پلاگین NRI.

nri_validator_reject_namespace_adjustment=false رد کردن تنظیم فضاهای نام لینوکس توسط پلاگین NRI.

nri_validator_required_plugins=[] فهرست پلاگین‌های ضروری NRI که باید حضور داشته باشند.

nri_validator_tolerate_missing_plugins_annotation="" نام یادداشتی که برای نشان دادن تحمل فقدان پلاگین‌های ضروری NRI استفاده می‌شود.

crio.conf.d(5), containers-storage.conf(5), containers-policy.json(5), containers-registries.conf(5), crio(8)

اوت ۲۰۱۸، به‌روزرسانی به آخرین وضعیت توسط Valentin Rothberg vrothberg@suse.com ⟨mailto:vrothberg@suse.com⟩

اکتبر ۲۰۱۶، نگارش اولیه توسط Aleksa Sarai asarai@suse.de ⟨mailto:asarai@suse.de⟩

Container Runtime