Hosted Control Plane

手順

1. 次のコマンドを実行して、ConfigMap リソースを作成します。

   $ oc create -f <your-config-map-file.yaml>

   Copy to Clipboard Toggle word wrap

   <your-config-map-file.yaml> は hcp-sizing-baseline config map を含む YAML ファイルの名前に置き換えます。

2. local-cluster namespace に hcp-sizing-baseline config map を作成し、オーバーライドする測定値を指定します。config map は、次の YAML ファイルのようになります。

   kind: ConfigMap
   apiVersion: v1
   metadata:
     name: hcp-sizing-baseline
     namespace: local-cluster
   data:
     incrementalCPUUsagePer1KQPS: "9.0"
     memoryRequestPerHCP: "18"
     minimumQPSPerHCP: "50.0"

   Copy to Clipboard Toggle word wrap

3. 以下のコマンドを実行して hypershift-addon-agent デプロイメントを削除し、hypershift-addon-agent Pod を再起動します。

   $ oc delete deployment hypershift-addon-agent \
     -n open-cluster-management-agent-addon

   Copy to Clipboard Toggle word wrap

1. 次のコマンドを実行して、ハブクラスターにログインします。

   $ oc login

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、hypershift-addon-deploy-config アドオンのデプロイメント設定の仕様を編集します。

   $ oc edit addondeploymentconfig hypershift-addon-deploy-config \
     -n multicluster-engine

   Copy to Clipboard Toggle word wrap

3. 次の例に示すように、disableMetrics=true カスタマイズ変数を仕様に追加します。

   apiVersion: addon.open-cluster-management.io/v1alpha1
   kind: AddOnDeploymentConfig
   metadata:
     name: hypershift-addon-deploy-config
     namespace: multicluster-engine
   spec:
     customizedVariables:
     - name: hcMaxNumber
       value: "80"
     - name: hcThresholdNumber
       value: "60"
     - name: disableMetrics 

   1

   
       value: "true"

   Copy to Clipboard Toggle word wrap

   1

   カスタマイズ変数 disableMetrics=true は、新規および既存の hypershift-addon マネージドクラスターアドオンのメトリクスサービス監視を無効にします。

4. 次のコマンドを実行して、設定の仕様に変更を適用します。

   $ oc apply -f <filename>.yaml

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを実行して、hcp バイナリーをダウンロードするための URL を取得します。

   $ oc get ConsoleCLIDownload hcp-cli-download -o json | jq -r ".spec"

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して hcp バイナリーをダウンロードします。

   $ wget <hcp_cli_download_url> 

   1

   Copy to Clipboard Toggle word wrap

   1

   hcp_cli_download_url は、前の手順で取得した URL に置き換えます。

3. 次のコマンドを実行して、ダウンロードしたアーカイブを解凍します。

   $ tar xvzf hcp.tar.gz

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行して、hcp バイナリーファイルを実行可能にします。

   $ chmod +x hcp

   Copy to Clipboard Toggle word wrap

5. 次のコマンドを実行して、hcp バイナリーファイルをパス内のディレクトリーに移動します。

   $ sudo mv hcp /usr/local/bin/.

   Copy to Clipboard Toggle word wrap

手順

1. OpenShift Container Platform Web コンソールから、Help アイコン → Command Line Tools をクリックします。
2. お使いのプラットフォーム用の Download hcp CLI をクリックします。

3. 次のコマンドを実行して、ダウンロードしたアーカイブを解凍します。

   $ tar xvzf hcp.tar.gz

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行して、バイナリーファイルを実行可能にします。

   $ chmod +x hcp

   Copy to Clipboard Toggle word wrap

5. 次のコマンドを実行して、バイナリーファイルをパス内のディレクトリーに移動します。

   $ sudo mv hcp /usr/local/bin/.

   Copy to Clipboard Toggle word wrap

手順

1. コンテンツゲートウェイ に移動し、hcp バイナリーをダウンロードします。

2. 次のコマンドを実行して、ダウンロードしたアーカイブを解凍します。

   $ tar xvzf hcp.tar.gz

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、hcp バイナリーファイルを実行可能にします。

   $ chmod +x hcp

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行して、hcp バイナリーファイルをパス内のディレクトリーに移動します。

   $ sudo mv hcp /usr/local/bin/.

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを実行して機能を有効にします。

   $ oc patch mce multiclusterengine --type=merge -p \
     '{"spec":{"overrides":{"components":[{"name":"hypershift","enabled": true}]}}}' 

   1

   Copy to Clipboard Toggle word wrap

   1

   デフォルトの MultiClusterEngine リソースインスタンス名は multiclusterengine ですが、$ oc get mce コマンドを実行し、クラスターから MultiClusterEngine 名を取得できます。

2. 次のコマンドを実行して、hypershift および hypershift-local-hosting 機能が MultiClusterEngine カスタムリソースで有効になっていることを確認します。

   $ oc get mce multiclusterengine -o yaml 

   1

   Copy to Clipboard Toggle word wrap

   1

   デフォルトの MultiClusterEngine リソースインスタンス名は multiclusterengine ですが、$ oc get mce コマンドを実行し、クラスターから MultiClusterEngine 名を取得できます。

   出力例

   apiVersion: multicluster.openshift.io/v1
   kind: MultiClusterEngine
   metadata:
     name: multiclusterengine
   spec:
     overrides:
       components:
       - name: hypershift
         enabled: true
       - name: hypershift-local-hosting
         enabled: true

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを実行して、クラスターの OIDC 検出ドキュメントをホストするためのパブリックアクセスを持つ S3 バケットを作成します。

   $ aws s3api create-bucket --bucket <bucket_name> \

   1

   
     --create-bucket-configuration LocationConstraint=<region> \

   2

   
     --region <region> 

   3

   Copy to Clipboard Toggle word wrap

   1

   <bucket_name> は、作成する S3 バケットの名前に置き換えます。

   2 3

   us-east-1 リージョン以外のリージョンにバケットを作成するには、この行を追加し、<region> を使用するリージョンに置き換えます。us-east-1 リージョンにバケットを作成するには、この行を省略します。

   $ aws s3api delete-public-access-block --bucket <bucket_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   <bucket_name> は、作成する S3 バケットの名前に置き換えます。

   $ echo '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": "*",
               "Action": "s3:GetObject",
               "Resource": "arn:aws:s3:::<bucket_name>/*" 

   1

   
           }
       ]
   }' | envsubst > policy.json

   Copy to Clipboard Toggle word wrap

   1

   <bucket_name> は、作成する S3 バケットの名前に置き換えます。

   $ aws s3api put-bucket-policy --bucket <bucket_name> \

   1

   
     --policy file://policy.json

   Copy to Clipboard Toggle word wrap

   1

   <bucket_name> は、作成する S3 バケットの名前に置き換えます。

   注記

   Mac コンピューターを使用している場合は、ポリシーを機能させるためにバケット名をエクスポートする必要があります。

2. HyperShift Operator 用に hypershift-operator-oidc-provider-s3-credentials という名前の OIDC S3 シークレットを作成します。
3. シークレットを local-cluster namespace に保存します。

4. 次の表を参照して、シークレットに次のフィールドが含まれていることを確認します。

   Expand

   表4.1 AWS シークレットの必須フィールド

   フィールド名	説明
   bucket	ホステッドクラスターの OIDC 検出ドキュメントをホストするためのパブリックアクセスを備えた S3 バケットが含まれています。
   credentials	バケットにアクセスできる default プロファイルの認証情報を含むファイルへの参照。デフォルトでは、HyperShift は default プロファイルのみを使用して バケット を操作します。
   region	S3 バケットのリージョンを指定します。

   Show more

5. AWS シークレットを作成するには、次のコマンドを実行します。

   $ oc create secret generic <secret_name> \
     --from-file=credentials=<path>/.aws/credentials \
     --from-literal=bucket=<s3_bucket> \
     --from-literal=region=<region> \
     -n local-cluster

   Copy to Clipboard Toggle word wrap
   注記

   シークレットの障害復旧バックアップは自動的に有効になりません。障害復旧用に hypershift-operator-oidc-provider-s3-credentials シークレットのバックアップを有効にするラベルを追加するには、次のコマンドを実行します。

   $ oc label secret hypershift-operator-oidc-provider-s3-credentials \
     -n local-cluster cluster.open-cluster-management.io/backup=true

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを実行して、ユーザーの Amazon Resource Name (ARN) を取得します。

   $ aws sts get-caller-identity --query "Arn" --output text

   Copy to Clipboard Toggle word wrap

   出力例

   arn:aws:iam::1234567890:user/<aws_username>

   Copy to Clipboard Toggle word wrap

   この出力は、次のステップで <arn> の値として使用します。

2. ロールの信頼関係設定を含む JSON ファイルを作成します。以下の例を参照してください。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<arn>" 

   1

   
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

   1

   <arn> は、前のステップでメモしたユーザーの ARN に置き換えます。

3. 次のコマンドを実行して、Identity and Access Management (IAM) ロールを作成します。

   $ aws iam create-role \
     --role-name <name> \

   1

   
     --assume-role-policy-document file://<file_name>.json \

   2

   
     --query "Role.Arn"

   Copy to Clipboard Toggle word wrap

   1

   <name> は、ロール名に置き換えます (例: hcp-cli-role)。

   2

   <file_name> は、前のステップで作成した JSON ファイルの名前に置き換えます。

   出力例

   arn:aws:iam::820196288204:role/myrole

   Copy to Clipboard Toggle word wrap

4. ロールの次の権限ポリシーを含む policy.json という名前の JSON ファイルを作成します。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "EC2",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateDhcpOptions",
                   "ec2:DeleteSubnet",
                   "ec2:ReplaceRouteTableAssociation",
                   "ec2:DescribeAddresses",
                   "ec2:DescribeInstances",
                   "ec2:DeleteVpcEndpoints",
                   "ec2:CreateNatGateway",
                   "ec2:CreateVpc",
                   "ec2:DescribeDhcpOptions",
                   "ec2:AttachInternetGateway",
                   "ec2:DeleteVpcEndpointServiceConfigurations",
                   "ec2:DeleteRouteTable",
                   "ec2:AssociateRouteTable",
                   "ec2:DescribeInternetGateways",
                   "ec2:DescribeAvailabilityZones",
                   "ec2:CreateRoute",
                   "ec2:CreateInternetGateway",
                   "ec2:RevokeSecurityGroupEgress",
                   "ec2:ModifyVpcAttribute",
                   "ec2:DeleteInternetGateway",
                   "ec2:DescribeVpcEndpointConnections",
                   "ec2:RejectVpcEndpointConnections",
                   "ec2:DescribeRouteTables",
                   "ec2:ReleaseAddress",
                   "ec2:AssociateDhcpOptions",
                   "ec2:TerminateInstances",
                   "ec2:CreateTags",
                   "ec2:DeleteRoute",
                   "ec2:CreateRouteTable",
                   "ec2:DetachInternetGateway",
                   "ec2:DescribeVpcEndpointServiceConfigurations",
                   "ec2:DescribeNatGateways",
                   "ec2:DisassociateRouteTable",
                   "ec2:AllocateAddress",
                   "ec2:DescribeSecurityGroups",
                   "ec2:RevokeSecurityGroupIngress",
                   "ec2:CreateVpcEndpoint",
                   "ec2:DescribeVpcs",
                   "ec2:DeleteSecurityGroup",
                   "ec2:DeleteDhcpOptions",
                   "ec2:DeleteNatGateway",
                   "ec2:DescribeVpcEndpoints",
                   "ec2:DeleteVpc",
                   "ec2:CreateSubnet",
                   "ec2:DescribeSubnets"
               ],
               "Resource": "*"
           },
           {
               "Sid": "ELB",
               "Effect": "Allow",
               "Action": [
                   "elasticloadbalancing:DeleteLoadBalancer",
                   "elasticloadbalancing:DescribeLoadBalancers",
                   "elasticloadbalancing:DescribeTargetGroups",
                   "elasticloadbalancing:DeleteTargetGroup"
               ],
               "Resource": "*"
           },
           {
               "Sid": "IAMPassRole",
               "Effect": "Allow",
               "Action": "iam:PassRole",
               "Resource": "arn:*:iam::*:role/*-worker-role",
               "Condition": {
                   "ForAnyValue:StringEqualsIfExists": {
                       "iam:PassedToService": "ec2.amazonaws.com"
                   }
               }
           },
           {
               "Sid": "IAM",
               "Effect": "Allow",
               "Action": [
                   "iam:CreateInstanceProfile",
                   "iam:DeleteInstanceProfile",
                   "iam:GetRole",
                   "iam:UpdateAssumeRolePolicy",
                   "iam:GetInstanceProfile",
                   "iam:TagRole",
                   "iam:RemoveRoleFromInstanceProfile",
                   "iam:CreateRole",
                   "iam:DeleteRole",
                   "iam:PutRolePolicy",
                   "iam:AddRoleToInstanceProfile",
                   "iam:CreateOpenIDConnectProvider",
                   "iam:ListOpenIDConnectProviders",
                   "iam:DeleteRolePolicy",
                   "iam:UpdateRole",
                   "iam:DeleteOpenIDConnectProvider",
                   "iam:GetRolePolicy"
               ],
               "Resource": "*"
           },
           {
               "Sid": "Route53",
               "Effect": "Allow",
               "Action": [
                   "route53:ListHostedZonesByVPC",
                   "route53:CreateHostedZone",
                   "route53:ListHostedZones",
                   "route53:ChangeResourceRecordSets",
                   "route53:ListResourceRecordSets",
                   "route53:DeleteHostedZone",
                   "route53:AssociateVPCWithHostedZone",
                   "route53:ListHostedZonesByName"
               ],
               "Resource": "*"
           },
           {
               "Sid": "S3",
               "Effect": "Allow",
               "Action": [
                   "s3:ListAllMyBuckets",
                   "s3:ListBucket",
                   "s3:DeleteObject",
                   "s3:DeleteBucket"
               ],
               "Resource": "*"
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

5. 次のコマンドを実行して、policy.json ファイルをロールに割り当てます。

   $ aws iam put-role-policy \
     --role-name <role_name> \

   1

   
     --policy-name <policy_name> \

   2

   
     --policy-document file://policy.json 

   3

   Copy to Clipboard Toggle word wrap

   1

   <role_name> は、ロールの名前に置き換えます。

   2

   <policy_name> は、ポリシー名に置き換えます。

   3

   policy.json ファイルには、ロールの権限ポリシーを含めます。

6. 次のコマンドを実行して、sts-creds.json という名前の JSON ファイル内の STS 認証情報を取得します。

   $ aws sts get-session-token --output json > sts-creds.json

   Copy to Clipboard Toggle word wrap

   sts-creds.json ファイルの例

   {
       "Credentials": {
           "AccessKeyId": "<access_key_id",
           "SecretAccessKey": "<secret_access_key>”,
           "SessionToken": "<session_token>",
           "Expiration": "<time_stamp>"
       }
   }

   Copy to Clipboard Toggle word wrap

手順

1. HyperShift Operator の AWS 認証情報シークレットを作成し、hypershift-operator-private-link-credentials という名前を付けます。このシークレットは、管理クラスターとして使用されているマネージドクラスターの namespace であるマネージドクラスター namespace に配置する必要があります。local-cluster を使用した場合は、local-cluster namespace にシークレットを作成します。
2. シークレットに必要なフィールドが含まれることを確認するには、以下の表を参照してください。

手順

1. AWS 上にホステッドクラスターを作成するには、次のコマンドを実行します。

   $ hcp create cluster aws \
       --name <hosted_cluster_name> \

   1

   
       --infra-id <infra_id> \

   2

   
       --base-domain <basedomain> \

   3

   
       --sts-creds <path_to_sts_credential_file> \

   4

   
       --pull-secret <path_to_pull_secret> \

   5

   
       --region <region> \

   6

   
       --generate-ssh \
       --node-pool-replicas <node_pool_replica_count> \

   7

   
       --namespace <hosted_cluster_namespace> \

   8

   
       --role-arn <role_name> \

   9

   
       --render-into <file_name>.yaml 

   10

   Copy to Clipboard Toggle word wrap

   1

   ホステッドクラスターの名前を指定します (例: example)。

   2

   インフラストラクチャー名を指定します。<hosted_cluster_name> と <infra_id> には同じ値を指定する必要があります。そうしないと、multicluster engine for Kubernetes Operator のコンソールに、クラスターが正しく表示されない可能性があります。

   3

   ベースドメインを指定します (例: example.com)。

   4

   AWS STS 認証情報ファイルへのパスを指定します (例: /home/user/sts-creds/sts-creds.json)。

   5

   プルシークレットへのパスを指定します (例: /user/name/pullsecret)。

   6

   AWS リージョン名を指定します (例: us-east-1)。

   7

   ノードプールのレプリカ数を指定します (例: 3)。

   8

   デフォルトでは、HostedCluster と NodePool のすべてのカスタムリソースが clusters namespace に作成されます。--namespace <namespace> パラメーターを使用すると、特定の namespace に HostedCluster および NodePool カスタムリソースを作成できます。

   9

   Amazon Resource Name (ARN) を指定します (例: arn:aws:iam::820196288204:role/myrole)。

   10

   EC2 インスタンスを共有テナントハードウェア上で実行するか、シングルテナントハードウェア上で実行するかを指定する場合は、このフィールドを含めます。--render-into フラグを含めると、Kubernetes リソースが、このフィールドで指定した YAML ファイルにレンダリングされます。この場合、次のステップに進み、YAML ファイルを編集します。

2. 前のコマンドに --render-into フラグを含めた場合は、指定した YAML ファイルを編集します。YAML ファイルの NodePool 仕様を編集して、EC2 インスタンスを共有ハードウェア上で実行するか、シングルテナントハードウェア上で実行するかを指定します。次に例を示します。

   サンプル YAML ファイル

   apiVersion: hypershift.openshift.io/v1beta1
   kind: NodePool
   metadata:
     name: <nodepool_name> 

   1

   
   spec:
     platform:
       aws:
         placement:
           tenancy: "default" 

   2

   Copy to Clipboard Toggle word wrap

   1

   NodePool リソースの名前を指定します。

   2

   テナンシーの有効な値 ("default"、"dedicated"、または "host") を指定します。ノードプールインスタンスを共有ハードウェア上で実行する場合は、"default" を使用します。各ノードプールインスタンスをシングルテナントハードウェア上で実行する場合は、"dedicated" を使用します。事前に割り当てられた専用ホスト上でノードプールインスタンスを実行する場合は、"host" を使用します。

検証

1. ホステッドクラスターのステータスを確認し、AVAILABLE の値が True であることを確認します。以下のコマンドを実行します。

   $ oc get hostedclusters -n <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、ノードプールのリストを取得します。

   $ oc get nodepools --namespace <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを入力して、カスタム証明書でシークレットを作成します。

   $ oc create secret tls sample-hosted-kas-custom-cert \
     --cert=path/to/cert.crt \
     --key=path/to/key.key \
     -n <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

2. 以下の例のように、カスタム証明書の詳細を使用して HostedCluster 設定を更新します。

   spec:
     configuration:
       apiServer:
         servingCerts:
           namedCertificates:
           - names: 

   1

   
             - api-custom-cert-sample-hosted.sample-hosted.example.com
             servingCertificate: 

   2

   
               name: sample-hosted-kas-custom-cert

   Copy to Clipboard Toggle word wrap

   1

   証明書が有効な DNS 名のリスト。

   2

   カスタム証明書を含むシークレットの名前。

3. 次のコマンドを入力して、HostedCluster 設定に変更を適用します。

   $ oc apply -f <hosted_cluster_config>.yaml

   Copy to Clipboard Toggle word wrap