Chapitre 19. Gestion des informations d'identification des fournisseurs de services en nuage

Procédure

1. Connectez-vous à la console web de OpenShift Container Platform en tant qu'utilisateur ayant le rôle cluster-admin.
2. Naviguez jusqu'à Administration Cluster Settings.
3. Sur la page Cluster Settings, sélectionnez l'onglet Configuration.
4. Sous Configuration resource, sélectionnez CloudCredential.
5. Sur la page CloudCredential details, sélectionnez l'onglet YAML.

6. Dans le bloc YAML, vérifiez la valeur de spec.credentialsMode. Les valeurs suivantes sont possibles, bien qu'elles ne soient pas toutes prises en charge sur toutes les plateformes :

   • '': Le CCO fonctionne dans le mode par défaut. Dans cette configuration, le CCO fonctionne en mode "menthe" ou "passthrough", en fonction des informations d'identification fournies lors de l'installation.
   • Mint: Le CCO fonctionne en mode menthe.
   • Passthrough: Le CCO fonctionne en mode "passthrough".
   • Manual: Le CCO fonctionne en mode manuel.
   Important

   Pour déterminer la configuration spécifique d'un cluster AWS ou GCP dont l'adresse spec.credentialsMode est '', Mint, ou Manual, vous devez procéder à des recherches plus approfondies.

   Les clusters AWS et GCP prennent en charge l'utilisation du mode menthe avec le secret racine supprimé.

   Un cluster AWS ou GCP qui utilise le mode manuel peut être configuré pour créer et gérer des informations d'identification cloud depuis l'extérieur du cluster à l'aide du service de jetons de sécurité AWS (STS) ou de l'identité de charge de travail GCP. Vous pouvez déterminer si votre cluster utilise cette stratégie en examinant l'objet cluster Authentication.

7. Les clusters AWS ou GCP qui utilisent la valeur par défaut ('') uniquement : Pour déterminer si le cluster fonctionne en mode "mint" ou "passthrough", inspectez les annotations sur le secret racine du cluster :

   1. Naviguez jusqu'à Workloads Secrets et recherchez le secret racine de votre fournisseur de cloud.

      Note

      Assurez-vous que la liste déroulante Project est réglée sur All Projects.

      Plate-forme	Nom secret
      AWS	aws-creds
      PCG	gcp-credentials

   2. Pour afficher le mode CCO utilisé par le cluster, cliquez sur 1 annotation sous Annotations, et vérifiez le champ de valeur. Les valeurs suivantes sont possibles :

      • Mint: Le CCO fonctionne en mode menthe.
      • Passthrough: Le CCO fonctionne en mode "passthrough".

      Si votre cluster utilise le mode "mint", vous pouvez également déterminer si le cluster fonctionne sans le secret racine.

8. Clusters AWS ou GCP qui utilisent uniquement le mode menthe : Pour déterminer si le cluster fonctionne sans le secret racine, accédez à Workloads Secrets et recherchez le secret racine de votre fournisseur de cloud.

   Note

   Assurez-vous que la liste déroulante Project est réglée sur All Projects.

   Plate-forme	Nom secret
   AWS	aws-creds
   PCG	gcp-credentials

   • Si vous voyez l'une de ces valeurs, votre cluster utilise le mode mint ou passthrough avec le secret root présent.
   • Si vous ne voyez pas ces valeurs, c'est que votre cluster utilise l'OCC en mode menthe avec le secret racine supprimé.

9. Clusters AWS ou GCP qui utilisent uniquement le mode manuel : Pour déterminer si le cluster est configuré pour créer et gérer des informations d'identification cloud depuis l'extérieur du cluster, vous devez vérifier les valeurs YAML de l'objet cluster Authentication.

   1. Naviguez jusqu'à Administration Cluster Settings.
   2. Sur la page Cluster Settings, sélectionnez l'onglet Configuration.
   3. Sous Configuration resource, sélectionnez Authentication.
   4. Sur la page Authentication details, sélectionnez l'onglet YAML.

   5. Dans le bloc YAML, vérifiez la valeur du paramètre .spec.serviceAccountIssuer.

      • Une valeur qui contient une URL associée à votre fournisseur de cloud indique que le CCO utilise le mode manuel avec AWS STS ou GCP Workload Identity pour créer et gérer les informations d'identification du cloud depuis l'extérieur du cluster. Ces clusters sont configurés à l'aide de l'utilitaire ccoctl.
      • Une valeur vide ('') indique que le cluster utilise le CCO en mode manuel mais qu'il n'a pas été configuré à l'aide de l'utilitaire ccoctl.

Procédure

1. Connectez-vous à oc sur le cluster en tant qu'utilisateur ayant le rôle cluster-admin.

2. Pour déterminer le mode dans lequel le CCO est configuré, entrez la commande suivante :

   $ oc get cloudcredentials cluster \
     -o=jsonpath={.spec.credentialsMode}

   Les valeurs de sortie suivantes sont possibles, bien qu'elles ne soient pas toutes prises en charge sur toutes les plates-formes :

   • '': Le CCO fonctionne dans le mode par défaut. Dans cette configuration, le CCO fonctionne en mode "menthe" ou "passthrough", en fonction des informations d'identification fournies lors de l'installation.
   • Mint: Le CCO fonctionne en mode menthe.
   • Passthrough: Le CCO fonctionne en mode "passthrough".
   • Manual: Le CCO fonctionne en mode manuel.
   Important

   Pour déterminer la configuration spécifique d'un cluster AWS ou GCP dont l'adresse spec.credentialsMode est '', Mint, ou Manual, vous devez procéder à des recherches plus approfondies.

   Les clusters AWS et GCP prennent en charge l'utilisation du mode menthe avec le secret racine supprimé.

   Un cluster AWS ou GCP qui utilise le mode manuel peut être configuré pour créer et gérer des informations d'identification cloud depuis l'extérieur du cluster à l'aide du service de jetons de sécurité AWS (STS) ou de l'identité de charge de travail GCP. Vous pouvez déterminer si votre cluster utilise cette stratégie en examinant l'objet cluster Authentication.

3. Les clusters AWS ou GCP qui utilisent la valeur par défaut ('') uniquement : Pour déterminer si le cluster fonctionne en mode "mint" ou "passthrough", exécutez la commande suivante :

   $ oc get secret <secret_name> \
     -n kube-system \
     -o jsonpath \
     --template '{ .metadata.annotations }'

   où <secret_name> est aws-creds pour AWS ou gcp-credentials pour GCP.

   Cette commande affiche la valeur du paramètre .metadata.annotations dans l'objet secret de la racine du cluster. Les valeurs suivantes sont possibles :

   • Mint: Le CCO fonctionne en mode menthe.
   • Passthrough: Le CCO fonctionne en mode "passthrough".

   Si votre cluster utilise le mode "mint", vous pouvez également déterminer si le cluster fonctionne sans le secret racine.

4. Clusters AWS ou GCP qui utilisent uniquement le mode menthe : Pour déterminer si le cluster fonctionne sans le secret racine, exécutez la commande suivante :

   $ oc get secret <secret_name> \
     -n=kube-system

   où <secret_name> est aws-creds pour AWS ou gcp-credentials pour GCP.

   Si le secret racine est présent, la sortie de cette commande renvoie des informations sur le secret. Une erreur indique que le secret racine n'est pas présent sur le cluster.

5. Clusters AWS ou GCP qui utilisent uniquement le mode manuel : Pour déterminer si le cluster est configuré pour créer et gérer des informations d'identification cloud depuis l'extérieur du cluster, exécutez la commande suivante :

   $ oc get authentication cluster \
     -o jsonpath \
     --template='{ .spec.serviceAccountIssuer }'

   Cette commande affiche la valeur du paramètre .spec.serviceAccountIssuer dans l'objet cluster Authentication.

   • Une sortie d'une URL associée à votre fournisseur de cloud indique que le CCO utilise le mode manuel avec AWS STS ou GCP Workload Identity pour créer et gérer les informations d'identification du cloud depuis l'extérieur du cluster. Ces clusters sont configurés à l'aide de l'utilitaire ccoctl.
   • Une sortie vide indique que le cluster utilise le CCO en mode manuel mais qu'il n'a pas été configuré à l'aide de l'utilitaire ccoctl.