19.6. Utilisation du mode manuel avec GCP Workload Identity

Procédure

1. Obtenez l'image de la version d'OpenShift Container Platform en exécutant la commande suivante :

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

2. Obtenez l'image du conteneur CCO à partir de l'image de la version d'OpenShift Container Platform en exécutant la commande suivante :

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)

   Note

   Veillez à ce que l'architecture de $RELEASE_IMAGE corresponde à l'architecture de l'environnement dans lequel vous utiliserez l'outil ccoctl.

3. Extrayez le binaire ccoctl de l'image du conteneur CCO dans l'image de la version d'OpenShift Container Platform en exécutant la commande suivante :

   $ oc image extract $CCO_IMAGE --file="/usr/bin/ccoctl" -a ~/.pull-secret

4. Modifiez les autorisations pour rendre ccoctl exécutable en exécutant la commande suivante :

   $ chmod 775 ccoctl

Procédure

1. Extrayez la liste des objets CredentialsRequest de l'image de la version d'OpenShift Container Platform en exécutant la commande suivante :

   $ oc adm release extract \
   --credentials-requests \
   --cloud=gcp \
   --to=<path_to_directory_with_list_of_credentials_requests>/credrequests \ 1
   quay.io/<path_to>/ocp-release:<version>

   1

   credrequests est le répertoire dans lequel la liste des objets CredentialsRequest est stockée. Cette commande crée le répertoire s'il n'existe pas.

   Note

   L'exécution de cette commande peut prendre quelques instants.

2. Si votre cluster utilise les capacités du cluster pour désactiver un ou plusieurs composants optionnels, supprimez les ressources personnalisées CredentialsRequest pour tous les composants désactivés.

   Exemple credrequests contenu du répertoire pour OpenShift Container Platform 4.12 sur GCP

   0000_26_cloud-controller-manager-operator_16_credentialsrequest-gcp.yaml 1
   0000_30_machine-api-operator_00_credentials-request.yaml 2
   0000_50_cloud-credential-operator_05-gcp-ro-credentialsrequest.yaml 3
   0000_50_cluster-image-registry-operator_01-registry-credentials-request-gcs.yaml 4
   0000_50_cluster-ingress-operator_00-ingress-credentials-request.yaml 5
   0000_50_cluster-network-operator_02-cncc-credentials.yaml 6
   0000_50_cluster-storage-operator_03_credentials_request_gcp.yaml 7

   1

   Le contrôleur de nuages Manager Operator CR est requis.

   2

   Le certificat de conducteur de machine API est exigé.

   3

   Le certificat d'opérateur de titres de créance en nuage est requis.

   4

   Le certificat d'opérateur de registre d'images est requis.

   5

   Le CR de l'opérateur d'entrée est requis.

   6

   Le certificat d'opérateur de réseau est requis.

   7

   Le Storage Operator CR est un composant optionnel et peut être désactivé dans votre cluster.

3. Utilisez l'outil ccoctl pour traiter tous les objets CredentialsRequest dans le répertoire credrequests:

   $ ccoctl gcp create-all \
   --name=<name> \
   --region=<gcp_region> \
   --project=<gcp_project_id> \
   --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests

   où :

   • <name> est le nom défini par l'utilisateur pour toutes les ressources GCP créées et utilisées pour le suivi.
   • <gcp_region> est la région du GCP dans laquelle les ressources en nuage seront créées.
   • <gcp_project_id> est l'identifiant du projet GCP dans lequel les ressources en nuage seront créées.
   • <path_to_directory_with_list_of_credentials_requests>/credrequests est le répertoire contenant les fichiers des manifestes CredentialsRequest pour créer les comptes de service GCP.
   Note

   Si votre cluster utilise des fonctionnalités d'aperçu technologique activées par l'ensemble de fonctionnalités TechPreviewNoUpgrade, vous devez inclure le paramètre --enable-tech-preview.

Procédure

1. Allez dans le répertoire qui contient le programme d'installation et créez le fichier install-config.yaml:

   openshift-install create install-config --dir <installation_directory>

   où <installation_directory> est le répertoire dans lequel le programme d'installation crée les fichiers.

2. Modifiez le fichier de configuration install-config.yaml de manière à ce qu'il contienne le paramètre credentialsMode fixé à Manual.

   Exemple install-config.yaml fichier de configuration

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 1
   compute:
   - architecture: amd64
     hyperthreading: Enabled

   1

   Cette ligne est ajoutée pour fixer le paramètre credentialsMode à Manual.

3. Créez les manifestes d'installation requis pour OpenShift Container Platform :

   $ openshift-install create manifests

4. Copiez les manifestes générés par ccoctl dans le répertoire manifests créé par le programme d'installation :

   $ cp /<path_to_ccoctl_output_dir>/manifests/* ./manifests/

5. Copiez la clé privée générée par ccoctl dans le répertoire tls dans le répertoire d'installation :

   $ cp -a /<path_to_ccoctl_output_dir>/tls .

6. Exécutez le programme d'installation d'OpenShift Container Platform :

   $ ./openshift-install create cluster

1. Connectez-vous au cluster OpenShift Container Platform.

2. Vérifiez que le cluster n'a pas d'identifiants root:

   $ oc get secrets -n kube-system gcp-credentials

   Le résultat devrait ressembler à ce qui suit :

   Error from server (NotFound): secrets "gcp-credentials" not found

3. Vérifiez que les composants utilisent les comptes de service spécifiés dans les manifestes secrets, au lieu d'utiliser les informations d'identification créées par l'OCC :

   Exemple de commande avec l'opérateur de registre d'images

   $ oc get secrets -n openshift-image-registry installer-cloud-credentials -o json | jq -r '.data."service_account.json"' | base64 -d

   Le résultat doit indiquer le rôle et le jeton d'identité Web utilisés par le composant et ressembler à ce qui suit :

   Exemple de sortie avec l'opérateur de registre d'images

   {
      "type": "external_account", 1
      "audience": "//iam.googleapis.com/projects/123456789/locations/global/workloadIdentityPools/test-pool/providers/test-provider",
      "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
      "token_url": "https://sts.googleapis.com/v1/token",
      "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/<client-email-address>:generateAccessToken", 2
      "credential_source": {
         "file": "/var/run/secrets/openshift/serviceaccount/token",
         "format": {
            "type": "text"
         }
      }
   }

   1

   Le type de certificat est external_account.

   2

   L'URL de la ressource du compte de service utilisé par l'opérateur du registre des images.