Les tutoriels

1. Activez le ROSA avec le produit HCP sur la page de la console AWS en cliquant sur le bouton Démarrer:

   Figure 2.1. Démarrez-vous

   

   View larger image

   

   Lorsque vous avez activé ROSA avant mais n’avez pas terminé le processus, vous pouvez cliquer sur le bouton et compléter le lien de compte comme décrit dans les étapes suivantes.

2. Confirmez que vous souhaitez que vos coordonnées soient partagées avec Red Hat et activez le service:

   Figure 2.2. Activer ROSA

   

   View larger image

   
   • Il ne vous sera pas facturé en activant le service dans cette étape. La connexion est faite pour la facturation et le comptage qui n’aura lieu qu’après le déploiement de votre premier cluster. Cela pourrait prendre quelques minutes.

3. Après la fin du processus, vous verrez une confirmation:

   Figure 2.3. Confirmation de l’activation ROSA

   

   View larger image

   

4. D’autres sections de cette page de vérification montrent l’état des conditions préalables supplémentaires. Dans le cas où l’une de ces conditions préalables ne serait pas remplie, un message correspondant est affiché. En voici un exemple d’insuffisance des quotas dans la région sélectionnée:

   Figure 2.4. Quotas de service

   

   View larger image

   
   1. Cliquez sur le bouton Augmenter les quotas de service ou utilisez le lien En savoir plus pour obtenir plus d’informations sur la façon de gérer les quotas de service. Dans le cas d’un quota insuffisant, notez que les quotas sont spécifiques à la région. Dans le coin supérieur droit de la console Web, vous pouvez utiliser le commutateur de région pour redémarrer la vérification des quotas pour n’importe quelle région qui vous intéresse, puis soumettre des demandes d’augmentation de quota de service au besoin.

5. Lorsque toutes les conditions préalables sont remplies, la page ressemblera à ceci:

   Figure 2.5. Vérifier les prérequis de ROSA

   

   View larger image

   

   Le rôle ELB lié au service est créé automatiquement pour vous. Cliquez sur l’un des petits liens en bleu Info pour obtenir de l’aide et des ressources contextuelles.

1. Cliquez sur le bouton orange Continuer à Red Hat pour continuer avec le lien de compte:

   Figure 2.6. Continuer à Red Hat

   

   View larger image

   

2. Dans le cas où vous n’êtes pas déjà connecté à votre compte Red Hat dans la session de votre navigateur actuel, il vous sera demandé de vous connecter à votre compte:

   Note

   Le compte AWS doit être lié à une seule organisation Red Hat.

   Figure 2.7. Connectez-vous à votre compte Red Hat

   

   View larger image

   
   • Il est également possible de vous inscrire à un nouveau compte Red Hat ou de réinitialiser votre mot de passe sur cette page.
   • Assurez-vous de vous connecter au compte Red Hat que vous envisagez d’associer au compte AWS où vous avez activé ROSA avec HCP dans les étapes précédentes.
   • Le compte AWS utilisé pour la facturation de service ne peut être associé qu’à un seul compte Red Hat. Généralement, un compte de payeur AWS est celui qui est utilisé pour s’abonner à ROSA et utilisé pour le lien de compte et la facturation.
   • Les membres de l’équipe appartenant à la même organisation Red Hat peuvent utiliser le compte AWS lié pour la facturation de service tout en créant ROSA avec des clusters HCP.

3. Complétez le lien du compte Red Hat après avoir examiné les termes et conditions:

   Note

   Cette étape n’est disponible que si le compte AWS n’était pas lié à un compte Red Hat auparavant.

   Cette étape est ignorée si le compte AWS est déjà lié au compte Red Hat connecté à l’utilisateur.

   Lorsque le compte AWS est lié à un autre compte Red Hat, une erreur s’affiche. Consultez les informations sur le compte de facturation pour les clusters HCP pour le dépannage.

   Figure 2.8. Complétez votre connexion de compte

   

   View larger image

   

   Les numéros de compte Red Hat et AWS sont affichés sur cet écran.

4. Cliquez sur le bouton Connecter les comptes si vous êtes d’accord avec les conditions de service.

   Lorsque c’est la première fois que vous utilisez la console Red Hat Hybrid Cloud, il vous sera demandé d’être d’accord avec les conditions générales des services gérés avant de pouvoir créer le premier cluster ROSA:

   Figure 2.9. Conditions générales

   

   View larger image

   

   D’autres termes qui doivent être examinés et acceptés sont affichés après avoir cliqué sur le bouton Afficher les conditions générales:

   Figure 2.10. Conditions générales de Red Hat

   

   View larger image

   

   Envoyez votre accord une fois que vous avez examiné des conditions supplémentaires lorsque vous l’invitez à ce moment-là.

5. La console hybride Cloud fournit une confirmation que la configuration du compte AWS a été terminée et répertorie les conditions préalables au déploiement de clusters:

   Figure 2.11. Conditions préalables complètes de ROSA

   

   View larger image

   

   La dernière section de cette page montre les options de déploiement de clusters, soit en utilisant le rosa CLI ou via la console web:

   Figure 2.12. Déployez le cluster et configurez l’accès

   

   View larger image

   

1. Lancez le déploiement de clusters à l’aide de la commande rosa create cluster. Cliquez sur le bouton copier sur la page de la console de Red Hat OpenShift sur la page de la console AWS (ROSA) et collez la commande dans votre terminal. Cela lance le processus de création de clusters en mode interactif:

   Figure 2.13. Déployez le cluster et configurez l’accès

   

   View larger image

   
2. Afin d’utiliser un profil AWS personnalisé, l’un des profils non par défaut spécifiés dans votre ~/.aws/credentials, vous pouvez ajouter le sélecteur -proffile <profile_name> à la commande rosa créer cluster afin que la commande ressemble à rosa créer cluster étape. Dans le cas où aucun profil AWS CLI n’est spécifié à l’aide de cette option, le profil AWS CLI par défaut déterminera le profil d’infrastructure AWS dans lequel le cluster est déployé. Le profil AWS de facturation est sélectionné dans l’une des étapes suivantes.

3. Lors du déploiement d’un ROSA avec le cluster HCP, le compte AWS de facturation doit être spécifié:

   Figure 2.14. Indiquez le compte de facturation

   

   View larger image

   
   • Les comptes AWS qui sont liés au compte Red Hat connecté à l’utilisateur sont affichés.
   • Le compte AWS spécifié est facturé pour l’utilisation du service ROSA.

   • L’indicateur indique si le contrat ROSA est activé ou non pour un compte de facturation AWS donné.

     • Lorsque vous sélectionnez un compte de facturation AWS qui affiche l’étiquette activée par le contrat, les taux de consommation à la demande ne sont facturés qu’après la consommation de la capacité de votre contrat prépayé.
     • Les comptes AWS sans l’étiquette activée par le contrat sont facturés les taux de consommation applicables à la demande.

1. Le cluster peut être créé à l’aide de la console web en sélectionnant la deuxième option dans la section inférieure de la page Introduction de ROSA:

   Figure 2.15. Déploiement avec interface web

   

   View larger image

   
   Note

   Complétez les prérequis avant de démarrer le processus de déploiement de la console Web.

   La rosa CLI est requise pour certaines tâches, telles que la création des rôles de compte. Lorsque vous déployez ROSA pour la première fois, suivez les étapes CLI jusqu’à l’exécution de la commande rosa whoami, avant de commencer les étapes de déploiement de la console Web.

2. La première étape lors de la création d’un cluster ROSA à l’aide de la console Web est la sélection du plan de contrôle. Assurez-vous que l’option Hosted est sélectionnée avant de cliquer sur le bouton suivant:

   Figure 2.16. Choisissez l’option hébergée

   

   View larger image

   

3. L’étape suivante Comptes et rôles vous permet de spécifier l’infrastructure du compte AWS, dans lequel le cluster ROSA est déployé et où les ressources sont consommées et gérées:

   Figure 2.17. Compte infrastructure AWS

   

   View larger image

   
   • Cliquez sur Comment associer un nouveau compte AWS, si vous ne voyez pas le compte dans lequel vous souhaitez déployer le cluster ROSA pour des informations détaillées sur la façon de créer ou de lier des rôles de compte pour cette association.
   • La rosa CLI est utilisée pour cela.
   • Lorsque vous utilisez plusieurs comptes AWS et que leurs profils sont configurés pour le CLI AWS, vous pouvez utiliser le sélecteur --profile pour spécifier le profil AWS lorsque vous travaillez avec les commandes rosa CLI.

4. Le compte AWS de facturation est sélectionné dans la section immédiatement suivante:

   Figure 2.18. Compte de facturation AWS

   

   View larger image

   
   • Les comptes AWS qui sont liés au compte Red Hat connecté à l’utilisateur sont affichés.
   • Le compte AWS spécifié est facturé pour l’utilisation du service ROSA.

   • L’indicateur indique si le contrat ROSA est activé ou non pour un compte de facturation AWS donné.

     • Lorsque vous sélectionnez un compte de facturation AWS qui affiche l’étiquette activée par le contrat, les taux de consommation à la demande ne sont facturés qu’après la consommation de la capacité de votre contrat prépayé.
     • Les comptes AWS sans l’étiquette activée par le contrat sont facturés les taux de consommation applicables à la demande.

1. Lorsque vous obtenez une offre privée pour ROSA avec HCP, vous bénéficiez d’une URL unique accessible uniquement par un identifiant de compte AWS spécifique qui a été spécifié par le vendeur.

   Note

   Assurez-vous que vous êtes connecté à l’aide du compte AWS qui a été spécifié comme acheteur. Essayer d’accéder à l’offre à l’aide d’un autre compte AWS produit un message d’erreur « page non trouvée » comme le montre la figure 11 dans la section de dépannage ci-dessous.

   1. Le menu déroulant de sélection d’offre avec une offre privée régulière présélectionnée dans la figure 1. Ce type d’offre ne peut être accepté que si la ROSA avec HCP n’a pas été activée avant d’utiliser l’offre publique ou une autre offre privée.

      Figure 3.1. L’offre privée régulière

      

      View larger image

      

   2. Il est possible de voir une offre privée qui a été créée pour un compte AWS qui a précédemment activé ROSA avec HCP en utilisant l’offre publique, montrant le nom du produit et l’offre privée sélectionnée étiquetée comme « Mise à niveau », qui remplace le contrat actuellement en cours d’exécution pour ROSA par HCP dans la figure 2.

      Figure 3.2. Écran de sélection d’offre privée

      

      View larger image

      

   3. Le menu déroulant permet de sélectionner entre plusieurs offres, si elles sont disponibles. L’offre publique précédemment activée est présentée en même temps que l’offre nouvellement fournie basée sur l’accord qui est étiquetée comme « Mise à niveau » à la figure 3.

      Figure 3.3. Liste déroulante de sélection d’offre privée

      

      View larger image

      

2. Assurez-vous que la configuration de votre offre est sélectionnée. La figure 4 montre la partie inférieure de la page de l’offre avec les détails de l’offre.

   Note

   La date de fin du contrat, le nombre d’unités incluses dans l’offre et le calendrier de paiement. Dans cet exemple, 1 cluster et jusqu’à 3 nœuds utilisant 4 vCPU sont inclus.

   Figure 3.4. Détails de l’offre privée

   

   View larger image

   

3. Facultatif: vous pouvez ajouter votre propre numéro de bon de commande (PO) à l’abonnement qui est acheté, de sorte qu’il est inclus sur vos factures AWS ultérieures. En outre, vérifiez les « frais d’utilisation supplémentaires » qui sont facturés pour toute utilisation au-dessus du champ d’application de la « Nouvelle offre de détails de configuration ».

   Note

   Les offres privées ont plusieurs configurations disponibles.

   • Il est possible que l’offre privée que vous acceptez soit configurée avec une date de début future fixe.
   • Lorsque vous n’avez pas une autre ROSA active avec abonnement HCP au moment de l’acceptation de l’offre privée, d’une offre publique ou d’une offre privée plus ancienne, acceptez l’offre privée elle-même et continuez avec les étapes de liaison de compte et de déploiement de clusters après la date de début du service spécifié.

   Il faut avoir une ROSA active ayant le droit de remplir ces étapes. Les dates de début du service sont toujours indiquées dans le fuseau horaire UTC

4. Créez ou améliorez votre contrat.

   1. Dans le cas des offres privées acceptées par un compte AWS qui n’a pas encore ROSA avec HCP activée et qui crée le premier contrat pour ce service, cliquez sur le bouton Créer un contrat.

      Figure 3.5. Créer un bouton de contrat

      

      View larger image

      

   2. Dans le cas des offres fondées sur l’accord, cliquez sur le bouton Mise à niveau du contrat actuel affiché aux figures 4 et 6.

      Figure 3.6. Bouton de mise à niveau du contrat

      

      View larger image

      

5. Cliquez sur Confirmer.

   Figure 3.7. Fenêtre de confirmation d’acceptation de l’offre privée

   

   View larger image

   

6. Lorsque la date de début du service d’offre privée acceptée est définie pour être immédiatement après l’acceptation de l’offre, cliquez sur le bouton Configurer votre compte dans la fenêtre modale de confirmation.

   Figure 3.8. Confirmation de l’abonnement

   

   View larger image

   

7. Lorsque l’offre privée acceptée a une date de début ultérieure spécifiée, retournez à la page de l’offre privée après la date de début du service, puis cliquez sur le bouton Configuration de votre compte pour procéder à la liaison du compte Red Hat et AWS.

   Note

   En l’absence d’accord actif, le lien de compte décrit ci-dessous n’est pas déclenché, le processus de configuration du compte ne peut être effectué qu’après la date de début du service.

   Ceux-ci sont toujours dans le fuseau horaire UTC.

1. En cliquant sur le bouton Configurer votre compte dans l’étape précédente, vous passez à l’étape de liaison du compte AWS et Red Hat. À ce moment-là, vous êtes déjà connecté avec le compte AWS qui a accepté l’offre. Lorsque vous n’êtes pas connecté avec un compte Red Hat, vous serez invité à le faire.

   Le ROSA avec droit HCP est partagé avec d’autres membres de l’équipe via votre compte d’organisation Red Hat. Les utilisateurs existants d’une même organisation Red Hat peuvent sélectionner le compte AWS de facturation qui a accepté l’offre privée en suivant les étapes décrites ci-dessus. Lorsque vous êtes connecté en tant qu’administrateur de l’organisation Red Hat, vous pouvez gérer les utilisateurs de votre organisation Red Hat et inviter ou créer de nouveaux utilisateurs.

   Note

   Le ROSA avec l’offre privée HCP ne peut pas être partagé avec des comptes liés AWS via AWS License Manager.

2. Ajoutez tous les utilisateurs que vous souhaitez déployer des clusters ROSA. Consultez cette FAQ de gestion de l’utilisateur pour plus de détails sur les tâches de gestion des utilisateurs du compte Red Hat.
3. Assurez-vous que le compte Red Hat déjà connecté inclut tous les utilisateurs qui sont censés être des déployeurs de cluster ROSA bénéficiant de l’offre privée acceptée.

4. Assurez-vous que le numéro de compte Red Hat et l’ID de compte AWS sont les comptes souhaités qui doivent être liés. Ce lien est unique et un compte Red Hat ne peut être connecté qu’à un seul compte AWS (facturation).

   Figure 3.9. Connexion aux comptes AWS et Red Hat

   

   View larger image

   

5. Lorsque vous souhaitez lier le compte AWS à un autre compte Red Hat que ce qui est affiché sur cette page dans la Figure 9, déconnectez-vous de la console de cloud hybride Red Hat avant de connecter les comptes et répétez l’étape de configuration du compte en retournant à l’URL de l’offre privée qui est déjà acceptée.

   Le compte AWS ne peut être connecté qu’à un seul compte Red Hat. Lorsque les comptes Red Hat et AWS sont connectés, cela ne peut pas être modifié par l’utilisateur. En cas de changement, l’utilisateur doit créer un ticket d’assistance.

6. Acceptez les termes et conditions, puis cliquez sur Connecter les comptes.

1. Exécutez les commandes suivantes dans un terminal bash (l’option -p définit un préfixe pour les rôles):

   $ mkdir scratch
   $ cd scratch
   $ cat << 'EOF' > verify-permissions.sh
   #!/bin/bash
   while getopts 'p:' OPTION; do
     case "$OPTION" in
       p)
         PREFIX="$OPTARG"
         ;;
       ?)
         echo "script usage: $(basename \$0) [-p PREFIX]" >&2
         exit 1
         ;;
     esac
   done
   shift "$(($OPTIND -1))"
   rosa create account-roles --mode manual --prefix $PREFIX
   INSTALLER_POLICY=$(cat sts_installer_permission_policy.json | jq )
   CONTROL_PLANE_POLICY=$(cat sts_instance_controlplane_permission_policy.json | jq)
   WORKER_POLICY=$(cat sts_instance_worker_permission_policy.json | jq)
   SUPPORT_POLICY=$(cat sts_support_permission_policy.json | jq)
   simulatePolicy () {
       outputFile="${2}.results"
       echo $2
       aws iam simulate-custom-policy --policy-input-list "$1" --action-names $(jq '.Statement | map(select(.Effect == "Allow"))[].Action | if type == "string" then . else .[] end' "$2" -r) --output text > $outputFile
   }
   simulatePolicy "$INSTALLER_POLICY" "sts_installer_permission_policy.json"
   simulatePolicy "$CONTROL_PLANE_POLICY" "sts_instance_controlplane_permission_policy.json"
   simulatePolicy "$WORKER_POLICY" "sts_instance_worker_permission_policy.json"
   simulatePolicy "$SUPPORT_POLICY" "sts_support_permission_policy.json"
   EOF
   $ chmod +x verify-permissions.sh
   $ ./verify-permissions.sh -p SimPolTest

   Copy to Clipboard Toggle word wrap

2. Après la fin du script, examinez chaque fichier de résultats pour s’assurer qu’aucun des appels API requis n’est bloqué:

   $ for file in $(ls *.results); do echo $file; cat $file; done

   Copy to Clipboard Toggle word wrap

   La sortie ressemblera à ce qui suit:

   sts_installer_permission_policy.json.results
   EVALUATIONRESULTS       autoscaling:DescribeAutoScalingGroups   allowed *
   MATCHEDSTATEMENTS       PolicyInputList.1       IAM Policy
   ENDPOSITION     6       195
   STARTPOSITION   17      3
   EVALUATIONRESULTS       ec2:AllocateAddress     allowed *
   MATCHEDSTATEMENTS       PolicyInputList.1       IAM Policy
   ENDPOSITION     6       195
   STARTPOSITION   17      3
   EVALUATIONRESULTS       ec2:AssociateAddress    allowed *
   MATCHEDSTATEMENTS       PolicyInputList.1       IAM Policy
   ...

   Copy to Clipboard Toggle word wrap
   Note

   En cas de blocage, examinez l’erreur fournie par AWS et consultez votre Administrateur pour déterminer si les SCP bloquent les appels API requis.

1. Configurez les variables d’environnement suivantes:

   $ export VPC_ID=<vpc_ID> 

   1

   
   $ export REGION=<region> 

   2

   
   $ export VPC_CIDR=<vpc_CIDR> 

   3

   Copy to Clipboard Toggle word wrap

   1

   <vpc_ID> par l’ID du VPC dans lequel vous souhaitez installer votre cluster.

   2

   Remplacez <région> par la région AWS dans laquelle vous souhaitez installer votre cluster.

   3

   <vpc_CIDR> par la gamme CIDR de votre VPC.

2. Assurez-vous que tous les champs sortent correctement avant de passer à la section suivante:

   $ echo "VPC ID: ${VPC_ID}, VPC CIDR Range: ${VPC_CIDR}, Region: ${REGION}"

   Copy to Clipboard Toggle word wrap

1. Créer un groupe de sécurité et permettre l’accès aux ports 53/tcp et 53/udp à partir du VPC:

   $ SG_ID=$(aws ec2 create-security-group --group-name rosa-inbound-resolver --description "Security group for ROSA inbound resolver" --vpc-id ${VPC_ID} --region ${REGION} --output text)
   $ aws ec2 authorize-security-group-ingress --group-id ${SG_ID} --protocol tcp --port 53 --cidr ${VPC_CIDR} --region ${REGION}
   $ aws ec2 authorize-security-group-ingress --group-id ${SG_ID} --protocol udp --port 53 --cidr ${VPC_CIDR} --region ${REGION}

   Copy to Clipboard Toggle word wrap

2. Créez une solution Amazon Route 53 Inbound Resolver dans votre VPC:

   $ RESOLVER_ID=$(aws route53resolver create-resolver-endpoint \
     --name rosa-inbound-resolver \
     --creator-request-id rosa-$(date '+%Y-%m-%d') \
     --security-group-ids ${SG_ID} \
     --direction INBOUND \
     --ip-addresses $(aws ec2 describe-subnets --filter Name=vpc-id,Values=${VPC_ID} --region ${REGION} | jq -jr '.Subnets | map("SubnetId=\(.SubnetId) ") | .[]') \
     --region ${REGION} \
     --output text \
     --query 'ResolverEndpoint.Id')

   Copy to Clipboard Toggle word wrap
   Note

   La commande ci-dessus fixe les points de terminaison Amazon Route 53 Inbound Resolver à tous les sous-réseaux du VPC fourni à l’aide d’adresses IP allouées dynamiquement. Lorsque vous préférez spécifier manuellement les sous-réseaux et/ou les adresses IP, exécutez plutôt la commande suivante:

   $ RESOLVER_ID=$(aws route53resolver create-resolver-endpoint \
     --name rosa-inbound-resolver \
     --creator-request-id rosa-$(date '+%Y-%m-%d') \
     --security-group-ids ${SG_ID} \
     --direction INBOUND \
     --ip-addresses SubnetId=<subnet_ID>,Ip=<endpoint_IP> SubnetId=<subnet_ID>,Ip=<endpoint_IP> \

   1

   
     --region ${REGION} \
     --output text \
     --query 'ResolverEndpoint.Id')

   Copy to Clipboard Toggle word wrap

   1

   <subnet_ID> par les ID de sous-réseau et <endpoint_IP> par les adresses IP statiques auxquelles vous souhaitez ajouter des points de terminaison de résolution entrant.

3. Accédez aux adresses IP de vos points de terminaison de résolution entrants à configurer dans la configuration de votre serveur DNS:

   $ aws route53resolver list-resolver-endpoint-ip-addresses \
     --resolver-endpoint-id ${RESOLVER_ID} \
     --region=${REGION} \
     --query 'IpAddresses[*].Ip'

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   [
       "10.0.45.253",
       "10.0.23.131",
       "10.0.148.159"
   ]

   Copy to Clipboard Toggle word wrap

1. Créez votre cluster.

2. Lorsque votre cluster a commencé le processus de création, localisez la zone hébergée privée nouvellement créée:

   $ aws route53 list-hosted-zones-by-vpc \
     --vpc-id ${VPC_ID} \
     --vpc-region ${REGION} \
     --query 'HostedZoneSummaries[*].Name' \
     --output table

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   ----------------------------------------------
   |           ListHostedZonesByVPC             |
   +--------------------------------------------+
   |  domain-prefix.agls.p3.openshiftapps.com.  |
   +--------------------------------------------+

   Copy to Clipboard Toggle word wrap

   Note

   Le processus de création de clusters peut prendre quelques minutes pour créer les zones privées hébergées sur la Route 53. Lorsque vous ne voyez pas un domaine p1.openshiftapps.com, attendez quelques minutes et exécutez à nouveau la commande.

3. Lorsque vous connaissez l’identifiant unique du domaine du cluster, configurez votre serveur DNS pour transférer toutes les requêtes DNS pour <domain-prefix>.<unique-ID>.p1.openshiftapps.com vers vos points de terminaison Amazon Route 53 Inbound Resolver. Dans le cas des serveurs DNS BIND, modifiez votre fichier /etc/named.conf dans votre éditeur de texte préféré et ajoutez une nouvelle zone à l’aide de l’exemple ci-dessous:

   Exemple :

   zone "<domain-prefix>.<unique-ID>.p1.openshiftapps.com" { 

   1

   
     type forward;
     forward only;
     forwarders { 

   2

   
       10.0.45.253;
       10.0.23.131;
       10.0.148.159;
     };
   };

   Copy to Clipboard Toggle word wrap

   1

   <domain-prefix> par votre préfixe de domaine cluster et <unique-ID> par votre identifiant unique recueilli ci-dessus.

   2

   Le remplacement par les adresses IP de vos endpoints de résolution entrants recueillis ci-dessus, en veillant à ce que, après chaque adresse IP, il y ait un ;.

Procédure

1. Créez un nouveau secret TLS à partir d’une clé privée et d’un certificat public, où fullchain.pem est votre chaîne de certificats wildcard complète (y compris les intermédiaires) et privkey.pem est la clé privée de votre certificat wildcard.

   Exemple :

   $ oc -n openshift-ingress create secret tls waf-tls --cert=fullchain.pem --key=privkey.pem

   Copy to Clipboard Toggle word wrap

2. Créer une nouvelle ressource IngressController:

   Exemple waf-ingress-controller.yaml

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: cloudfront-waf
     namespace: openshift-ingress-operator
   spec:
     domain: apps.example.com 

   1

   
     defaultCertificate:
       name: waf-tls
     endpointPublishingStrategy:
       loadBalancer:
         dnsManagementPolicy: Unmanaged
         providerParameters:
           aws:
             type: NLB
           type: AWS
         scope: External
       type: LoadBalancerService
     routeSelector: 

   2

   
       matchLabels:
        route: waf

   Copy to Clipboard Toggle word wrap

   1

   Le remplacement par le domaine personnalisé que vous souhaitez utiliser pour IngressController.

   2

   Filtre l’ensemble d’itinéraires desservis par le contrôleur Ingress. Dans ce tutoriel, nous utiliserons le sélecteur de route waf, mais si aucune valeur n’était fournie, aucun filtrage ne se produirait.

3. Appliquer le logiciel IngressController:

   Exemple :

   $ oc apply -f waf-ingress-controller.yaml

   Copy to Clipboard Toggle word wrap

4. Assurez-vous que votre IngressController a réussi à créer un équilibreur de charge externe:

   $ oc -n openshift-ingress get service/router-cloudfront-waf

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   NAME                    TYPE           CLUSTER-IP      EXTERNAL-IP                                                                     PORT(S)                      AGE
   router-cloudfront-waf   LoadBalancer   172.30.16.141   a68a838a7f26440bf8647809b61c4bc8-4225395f488830bd.elb.us-east-1.amazonaws.com   80:30606/TCP,443:31065/TCP   2m19s

   Copy to Clipboard Toggle word wrap

1. Le nom d’hôte NLB du contrôleur d’entrée personnalisé nouvellement créé:

   $ NLB=$(oc -n openshift-ingress get service router-cloudfront-waf \
     -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')

   Copy to Clipboard Toggle word wrap

2. Importez votre certificat dans Amazon Certificate Manager, où cert.pem est votre certificat wildcard, fullchain.pem est la chaîne de votre certificat wildcard et privkey.pem est la clé privée de votre certificat wildcard.

   Note

   Indépendamment de la région dans laquelle votre cluster est déployé, vous devez importer ce certificat pour nous-Est-1 car Amazon CloudFront est un service AWS mondial.

   Exemple :

   $ aws acm import-certificate --certificate file://cert.pem \
     --certificate-chain file://fullchain.pem \
     --private-key file://privkey.pem \
     --region us-east-1

   Copy to Clipboard Toggle word wrap

3. Connectez-vous à la console AWS pour créer une distribution CloudFront.

4. Configurez la distribution CloudFront en utilisant les informations suivantes:

   Note

   Dans le cas où une option n’est pas spécifiée dans le tableau ci-dessous, laissez-les par défaut (qui peut être vide).

   Expand

   L’option	La valeur
   Domaine d’origine	Sortie de la commande précédente [1]
   Le nom	ingère Rosa-waf [2]
   La politique du protocole d’affichage	Envoyer HTTP vers HTTPS
   Les méthodes HTTP autorisées	GET, HEAD, OPTIONS, PUT, POSTER, PATCH, SUPPRIMER
   Cache politique	CachingDisabled
   Demande d’origine politique	AllViewer
   Application Web Firewall (WAF)	Activer les protections de sécurité
   Configuration WAF existante	C’est vrai
   Choisissez un ACL web	CloudFront-waf
   Autre nom de domaine (CNAME)	*.apps.example.com [3]
   Certificat SSL personnalisé	Choisissez le certificat que vous avez importé à partir de l’étape ci-dessus [4]

   Show more
   1. Exécutez l’écho ${NLB} pour obtenir le domaine d’origine.
   2. Lorsque vous avez plusieurs clusters, assurez-vous que le nom d’origine est unique.
   3. Cela devrait correspondre au domaine wildcard que vous avez utilisé pour créer le contrôleur d’entrée personnalisé.
   4. Cela devrait correspondre au nom de domaine alternatif entré ci-dessus.

5. Découvrez le point de terminaison Amazon CloudFront Distribution:

   $ aws cloudfront list-distributions --query "DistributionList.Items[?Origins.Items[?DomainName=='${NLB}']].DomainName" --output text

   Copy to Clipboard Toggle word wrap

6. Actualisez le DNS de votre domaine wildcard personnalisé avec un CNAME vers le point de terminaison Amazon CloudFront Distribution à partir de l’étape ci-dessus.

   Exemple :

   *.apps.example.com CNAME d1b2c3d4e5f6g7.cloudfront.net

   Copy to Clipboard Toggle word wrap

1. Créez un nouveau projet pour votre exemple d’application en exécutant la commande suivante:

   $ oc new-project hello-world

   Copy to Clipboard Toggle word wrap

2. Déployez une application hello world:

   $ oc -n hello-world new-app --image=docker.io/openshift/hello-openshift

   Copy to Clipboard Toggle word wrap

3. Créer un itinéraire pour l’application spécifiant votre nom de domaine personnalisé:

   Exemple :

   $ oc -n hello-world create route edge --service=hello-openshift hello-openshift-tls \
   --hostname hello-openshift.${DOMAIN}

   Copy to Clipboard Toggle word wrap

4. Étiqueter la route pour l’admettre à votre contrôleur d’entrée personnalisé:

   $ oc -n hello-world label route.route.openshift.io/hello-openshift-tls route=waf

   Copy to Clipboard Toggle word wrap

1. Essayez que l’application est accessible derrière Amazon CloudFront:

   Exemple :

   $ curl "https://hello-openshift.${DOMAIN}"

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

2. Essayez que la WAF nie une mauvaise demande:

   Exemple :

   $ curl -X POST "https://hello-openshift.${DOMAIN}" \
     -F "user='<script><alert>Hello></alert></script>'"

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
   <HTML><HEAD><META HTTP-EQUIV="Content-Type" CONTENT="text/html; charset=iso-8859-1">
   <TITLE>ERROR: The request could not be satisfied</TITLE>
   </HEAD><BODY>
   <H1>403 ERROR</H1>
   <H2>The request could not be satisfied.</H2>
   <HR noshade size="1px">
   Request blocked.
   We can't connect to the server for this app or website at this time. There might be too much traffic or a configuration error. Try again later, or contact the app or website owner.
   <BR clear="all">
   If you provide content to customers through CloudFront, you can find steps to troubleshoot and help prevent this error by reviewing the CloudFront documentation.
   <BR clear="all">
   <HR noshade size="1px">
   <PRE>
   Generated by cloudfront (CloudFront)
   Request ID: nFk9q2yB8jddI6FZOTjdliexzx-FwZtr8xUQUNT75HThPlrALDxbag==
   </PRE>
   <ADDRESS>
   </ADDRESS>
   </BODY></HTML>

   Copy to Clipboard Toggle word wrap

   Le résultat attendu est un 403 ERROR, ce qui signifie que l’AWS WAF protège votre application.

1. Créez un nouveau projet pour déployer l’opérateur AWS Load Balancer en exécutant la commande suivante:

   $ oc new-project aws-load-balancer-operator

   Copy to Clipboard Toggle word wrap

2. Créez une stratégie AWS IAM pour le contrôleur AWS Load Balancer si l’on n’existe pas déjà en exécutant la commande suivante:

   Note

   La politique provient de la politique AWS Load Balancer Controller en amont. Ceci est requis par l’opérateur pour fonctionner.

   $ POLICY_ARN=$(aws iam list-policies --query \
        "Policies[?PolicyName=='aws-load-balancer-operator-policy'].{ARN:Arn}" \
        --output text)

   Copy to Clipboard Toggle word wrap

   $ if [[ -z "${POLICY_ARN}" ]]; then
       wget -O "${SCRATCH}/load-balancer-operator-policy.json" \
          https://raw.githubusercontent.com/kubernetes-sigs/aws-load-balancer-controller/main/docs/install/iam_policy.json
        POLICY_ARN=$(aws --region "$REGION" --query Policy.Arn \
        --output text iam create-policy \
        --policy-name aws-load-balancer-operator-policy \
        --policy-document "file://${SCRATCH}/load-balancer-operator-policy.json")
   fi

   Copy to Clipboard Toggle word wrap

3. Créez une politique de confiance AWS IAM pour AWS Load Balancer Operator:

   $ cat <<EOF > "${SCRATCH}/trust-policy.json"
   {
    "Version": "2012-10-17",
    "Statement": [
    {
    "Effect": "Allow",
    "Condition": {
      "StringEquals" : {
        "${OIDC_ENDPOINT}:sub": ["system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-operator-controller-manager", "system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-controller-cluster"]
      }
    },
    "Principal": {
      "Federated": "arn:aws:iam::$AWS_ACCOUNT_ID:oidc-provider/${OIDC_ENDPOINT}"
    },
    "Action": "sts:AssumeRoleWithWebIdentity"
    }
    ]
   }
   EOF

   Copy to Clipboard Toggle word wrap

4. Créer un rôle AWS IAM pour l’opérateur AWS Load Balancer:

   $ ROLE_ARN=$(aws iam create-role --role-name "${CLUSTER}-alb-operator" \
      --assume-role-policy-document "file://${SCRATCH}/trust-policy.json" \
      --query Role.Arn --output text)

   Copy to Clipboard Toggle word wrap

5. Joignez la politique AWS Load Balancer Operator au rôle IAM que nous avons créé précédemment en exécutant la commande suivante:

   $ aws iam attach-role-policy --role-name "${CLUSTER}-alb-operator" \
        --policy-arn ${POLICY_ARN}

   Copy to Clipboard Toggle word wrap

6. Créez un secret pour que l’opérateur AWS Load Balancer assume notre nouveau rôle AWS IAM:

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Secret
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   stringData:
     credentials: |
       [default]
       role_arn = ${ROLE_ARN}
       web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token
   EOF

   Copy to Clipboard Toggle word wrap

7. Installez l’opérateur AWS Load Balancer:

   $ cat << EOF | oc apply -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     upgradeStrategy: Default
   ---
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     channel: stable-v1.0
     installPlanApproval: Automatic
     name: aws-load-balancer-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: aws-load-balancer-operator.v1.0.0
   EOF

   Copy to Clipboard Toggle word wrap

8. Déployez une instance du contrôleur AWS Load Balancer à l’aide de l’opérateur:

   Note

   Lorsque vous obtenez une erreur ici, attendez une minute et essayez à nouveau, cela signifie que l’opérateur n’a pas encore terminé l’installation.

   $ cat << EOF | oc apply -f -
   apiVersion: networking.olm.openshift.io/v1
   kind: AWSLoadBalancerController
   metadata:
     name: cluster
   spec:
     credentials:
       name: aws-load-balancer-operator
     enabledAddons:
       - AWSWAFv2
   EOF

   Copy to Clipboard Toggle word wrap

9. Assurez-vous que les pods de l’opérateur et du contrôleur sont en cours d’exécution:

   $ oc -n aws-load-balancer-operator get pods

   Copy to Clipboard Toggle word wrap

   Il faut voir ce qui suit, sinon attendre un moment et réessayer:

   NAME                                                             READY   STATUS    RESTARTS   AGE
   aws-load-balancer-controller-cluster-6ddf658785-pdp5d            1/1     Running   0          99s
   aws-load-balancer-operator-controller-manager-577d9ffcb9-w6zqn   2/2     Running   0          2m4s

   Copy to Clipboard Toggle word wrap

1. Créez un nouveau projet pour notre exemple d’application:

   $ oc new-project hello-world

   Copy to Clipboard Toggle word wrap

2. Déployez une application hello world:

   $ oc new-app -n hello-world --image=docker.io/openshift/hello-openshift

   Copy to Clipboard Toggle word wrap

3. Convertissez la ressource de service pré-créée en un type de service NodePort:

   $ oc -n hello-world patch service hello-openshift -p '{"spec":{"type":"NodePort"}}'

   Copy to Clipboard Toggle word wrap

4. Déployer un AWS ALB à l’aide de l’opérateur AWS Load Balancer:

   $ cat << EOF | oc apply -f -
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: hello-openshift-alb
     namespace: hello-world
     annotations:
       alb.ingress.kubernetes.io/scheme: internet-facing
   spec:
     ingressClassName: alb
     rules:
       - http:
           paths:
             - path: /
               pathType: Exact
               backend:
                 service:
                   name: hello-openshift
                   port:
                     number: 8080
   EOF

   Copy to Clipboard Toggle word wrap

5. Curl le point de terminaison AWS ALB Ingress pour vérifier l’application hello world est accessible:

   Note

   AWS ALB provisioning prend quelques minutes. Lorsque vous recevez une erreur qui dit curl: (6) Ne peut pas résoudre l’hôte, s’il vous plaît attendre et essayer à nouveau.

   $ INGRESS=$(oc -n hello-world get ingress hello-openshift-alb -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
   $ curl "http://${INGRESS}"

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

1. Créer une politique IAM pour permettre l’accès S3:

   $ POLICY_ARN=$(aws iam list-policies --query "Policies[?PolicyName=='RosaOadpVer1'].{ARN:Arn}" --output text)
   if [[ -z "${POLICY_ARN}" ]]; then
   $ cat << EOF > ${SCRATCH}/policy.json
   {
   "Version": "2012-10-17",
   "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:CreateBucket",
        "s3:DeleteBucket",
        "s3:PutBucketTagging",
        "s3:GetBucketTagging",
        "s3:PutEncryptionConfiguration",
        "s3:GetEncryptionConfiguration",
        "s3:PutLifecycleConfiguration",
        "s3:GetLifecycleConfiguration",
        "s3:GetBucketLocation",
        "s3:ListBucket",
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject",
        "s3:ListBucketMultipartUploads",
        "s3:AbortMultipartUpload",
        "s3:ListMultipartUploadParts",
        "ec2:DescribeSnapshots",
        "ec2:DescribeVolumes",
        "ec2:DescribeVolumeAttribute",
        "ec2:DescribeVolumesModifications",
        "ec2:DescribeVolumeStatus",
        "ec2:CreateTags",
        "ec2:CreateVolume",
        "ec2:CreateSnapshot",
        "ec2:DeleteSnapshot"
      ],
      "Resource": "*"
    }
   ]}
   EOF
   $ POLICY_ARN=$(aws iam create-policy --policy-name "RosaOadpVer1" \
   --policy-document file:///${SCRATCH}/policy.json --query Policy.Arn \
   --tags Key=rosa_openshift_version,Value=${CLUSTER_VERSION} Key=rosa_role_prefix,Value=ManagedOpenShift Key=operator_namespace,Value=openshift-oadp Key=operator_name,Value=openshift-oadp \
   --output text)
   fi
   $ echo ${POLICY_ARN}

   Copy to Clipboard Toggle word wrap

2. Créer une politique de confiance du rôle de l’IAM pour le cluster:

   $ cat <<EOF > ${SCRATCH}/trust-policy.json
   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Principal": {
         "Federated": "arn:aws:iam::${AWS_ACCOUNT_ID}:oidc-provider/${OIDC_ENDPOINT}"
       },
       "Action": "sts:AssumeRoleWithWebIdentity",
       "Condition": {
         "StringEquals": {
            "${OIDC_ENDPOINT}:sub": [
              "system:serviceaccount:openshift-adp:openshift-adp-controller-manager",
              "system:serviceaccount:openshift-adp:velero"]
         }
       }
     }]
   }
   EOF
   $ ROLE_ARN=$(aws iam create-role --role-name \
    "${ROLE_NAME}" \
     --assume-role-policy-document file://${SCRATCH}/trust-policy.json \
     --tags Key=rosa_cluster_id,Value=${ROSA_CLUSTER_ID} Key=rosa_openshift_version,Value=${CLUSTER_VERSION} Key=rosa_role_prefix,Value=ManagedOpenShift Key=operator_namespace,Value=openshift-adp Key=operator_name,Value=openshift-oadp \
     --query Role.Arn --output text)
   
   $ echo ${ROLE_ARN}

   Copy to Clipboard Toggle word wrap

3. Joindre la politique de l’IAM au rôle de l’IAM:

   $ aws iam attach-role-policy --role-name "${ROLE_NAME}" \
    --policy-arn ${POLICY_ARN}

   Copy to Clipboard Toggle word wrap

1. Créer un espace de noms pour OADP:

   $ oc create namespace openshift-adp

   Copy to Clipboard Toggle word wrap

2. Créer un secret d’identification:

   $ cat <<EOF > ${SCRATCH}/credentials
   [default]
   role_arn = ${ROLE_ARN}
   web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token
   region=<aws_region> 

   1

   
   EOF
   $ oc -n openshift-adp create secret generic cloud-credentials \
    --from-file=${SCRATCH}/credentials

   Copy to Clipboard Toggle word wrap

   1

   <aws_region> par la région AWS à utiliser pour le point d’extrémité du service de jeton de sécurité (STS).

3. Déployer l’opérateur OADP:

   Note

   Il y a actuellement un problème avec la version 1.1 de l’opérateur avec des sauvegardes qui ont un statut PartiallyFailed. Cela ne semble pas affecter le processus de sauvegarde et de restauration, mais il convient de noter qu’il y a des problèmes avec lui.

   $ cat << EOF | oc create -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
    generateName: openshift-adp-
    namespace: openshift-adp
    name: oadp
   spec:
    targetNamespaces:
    - openshift-adp
   ---
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
    name: redhat-oadp-operator
    namespace: openshift-adp
   spec:
    channel: stable-1.2
    installPlanApproval: Automatic
    name: redhat-oadp-operator
    source: redhat-operators
    sourceNamespace: openshift-marketplace
   EOF

   Copy to Clipboard Toggle word wrap

4. Attendez que l’opérateur soit prêt:

   $ watch oc -n openshift-adp get pods

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   NAME                                                READY   STATUS    RESTARTS   AGE
   openshift-adp-controller-manager-546684844f-qqjhn   1/1     Running   0          22s

   Copy to Clipboard Toggle word wrap

5. Créer le stockage en nuage:

   $ cat << EOF | oc create -f -
   apiVersion: oadp.openshift.io/v1alpha1
   kind: CloudStorage
   metadata:
    name: ${CLUSTER_NAME}-oadp
    namespace: openshift-adp
   spec:
    creationSecret:
      key: credentials
      name: cloud-credentials
    enableSharedConfig: true
    name: ${CLUSTER_NAME}-oadp
    provider: aws
    region: $REGION
   EOF

   Copy to Clipboard Toggle word wrap

6. Consultez la classe de stockage par défaut de votre application:

   $ oc get pvc -n <namespace> 

   1

   Copy to Clipboard Toggle word wrap

   1

   Entrez l’espace de noms de votre application.

   Exemple de sortie

   NAME     STATUS   VOLUME                                     CAPACITY   ACCESS MODES   STORAGECLASS   AGE
   applog   Bound    pvc-351791ae-b6ab-4e8b-88a4-30f73caf5ef8   1Gi        RWO            gp3-csi        4d19h
   mysql    Bound    pvc-16b8e009-a20a-4379-accc-bc81fedd0621   1Gi        RWO            gp3-csi        4d19h

   Copy to Clipboard Toggle word wrap

   $ oc get storageclass

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   NAME                PROVISIONER             RECLAIMPOLICY   VOLUMEBINDINGMODE      ALLOWVOLUMEEXPANSION   AGE
   gp2                 kubernetes.io/aws-ebs   Delete          WaitForFirstConsumer   true                   4d21h
   gp2-csi             ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h
   gp3                 ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h
   gp3-csi (default)   ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h

   Copy to Clipboard Toggle word wrap

   En utilisant gp3-csi, gp2-csi, gp3 ou gp2 fonctionneront. Dans le cas où les applications sauvegardées sont toutes utilisées par PV avec CSI, incluez le plugin CSI dans la configuration OADP DPA.

7. CSI seulement: Déployer une application de protection des données:

   $ cat << EOF | oc create -f -
   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
    name: ${CLUSTER_NAME}-dpa
    namespace: openshift-adp
   spec:
    backupImages: true
    features:
      dataMover:
        enable: false
    backupLocations:
    - bucket:
        cloudStorageRef:
          name: ${CLUSTER_NAME}-oadp
        credential:
          key: credentials
          name: cloud-credentials
        prefix: velero
        default: true
        config:
          region: ${REGION}
    configuration:
      velero:
        defaultPlugins:
        - openshift
        - aws
        - csi
      restic:
        enable: false
   EOF

   Copy to Clipboard Toggle word wrap
   Note

   Lorsque vous exécutez cette commande pour les volumes CSI, vous pouvez passer l’étape suivante.

8. Les volumes non CSI: Déployer une application de protection des données:

   $ cat << EOF | oc create -f -
   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
    name: ${CLUSTER_NAME}-dpa
    namespace: openshift-adp
   spec:
    backupImages: true
    features:
      dataMover:
        enable: false
    backupLocations:
    - bucket:
        cloudStorageRef:
          name: ${CLUSTER_NAME}-oadp
        credential:
          key: credentials
          name: cloud-credentials
        prefix: velero
        default: true
        config:
          region: ${REGION}
    configuration:
      velero:
        defaultPlugins:
        - openshift
        - aws
      restic:
        enable: false
    snapshotLocations:
      - velero:
          config:
            credentialsFile: /tmp/credentials/openshift-adp/cloud-credentials-credentials
            enableSharedConfig: 'true'
            profile: default
            region: ${REGION}
          provider: aws
   EOF

   Copy to Clipboard Toggle word wrap

1. Créer une charge de travail pour sauvegarder:

   $ oc create namespace hello-world
   $ oc new-app -n hello-world --image=docker.io/openshift/hello-openshift

   Copy to Clipboard Toggle word wrap

2. Exposer l’itinéraire:

   $ oc expose service/hello-openshift -n hello-world

   Copy to Clipboard Toggle word wrap

3. Assurez-vous que l’application fonctionne:

   $ curl `oc get route/hello-openshift -n hello-world -o jsonpath='{.spec.host}'`

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

4. Sauvegardez la charge de travail:

   $ cat << EOF | oc create -f -
   apiVersion: velero.io/v1
   kind: Backup
   metadata:
    name: hello-world
    namespace: openshift-adp
   spec:
    includedNamespaces:
    - hello-world
    storageLocation: ${CLUSTER_NAME}-dpa-1
    ttl: 720h0m0s
   EOF

   Copy to Clipboard Toggle word wrap

5. Attendez que la sauvegarde soit faite:

   $ watch "oc -n openshift-adp get backup hello-world -o json | jq .status"

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   {
    "completionTimestamp": "2022-09-07T22:20:44Z",
    "expiration": "2022-10-07T22:20:22Z",
    "formatVersion": "1.1.0",
    "phase": "Completed",
    "progress": {
      "itemsBackedUp": 58,
      "totalItems": 58
    },
    "startTimestamp": "2022-09-07T22:20:22Z",
    "version": 1
   }

   Copy to Clipboard Toggle word wrap

6. B) Supprimer la charge de travail de démonstration:

   $ oc delete ns hello-world

   Copy to Clipboard Toggle word wrap

7. La restauration à partir de la sauvegarde:

   $ cat << EOF | oc create -f -
   apiVersion: velero.io/v1
   kind: Restore
   metadata:
    name: hello-world
    namespace: openshift-adp
   spec:
    backupName: hello-world
   EOF

   Copy to Clipboard Toggle word wrap

8. Attendez que la restauration se termine:

   $ watch "oc -n openshift-adp get restore hello-world -o json | jq .status"

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   {
    "completionTimestamp": "2022-09-07T22:25:47Z",
    "phase": "Completed",
    "progress": {
      "itemsRestored": 38,
      "totalItems": 38
    },
    "startTimestamp": "2022-09-07T22:25:28Z",
    "warnings": 9
   }

   Copy to Clipboard Toggle word wrap

9. Assurez-vous que la charge de travail est restaurée:

   $ oc -n hello-world get pods

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   NAME                              READY   STATUS    RESTARTS   AGE
   hello-openshift-9f885f7c6-kdjpj   1/1     Running   0          90s

   Copy to Clipboard Toggle word wrap

   $ curl `oc get route/hello-openshift -n hello-world -o jsonpath='{.spec.host}'`

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

10. Conseils de dépannage s’il vous plaît consulter la documentation de dépannage de l’équipe OADP
11. D’autres exemples d’applications peuvent être trouvés dans le répertoire des exemples d’applications de l’équipe OADP

1. B) Supprimer la charge de travail:

   $ oc delete ns hello-world

   Copy to Clipboard Toggle word wrap

2. Enlevez les ressources de sauvegarde et de restauration du cluster si elles ne sont plus nécessaires:

   $ oc delete backups.velero.io hello-world
   $ oc delete restores.velero.io hello-world

   Copy to Clipboard Toggle word wrap

3. De supprimer la sauvegarde/restauration et les objets distants dans s3:

   $ velero backup delete hello-world
   $ velero restore delete hello-world

   Copy to Clipboard Toggle word wrap

4. Effacer l’application de protection des données:

   $ oc -n openshift-adp delete dpa ${CLUSTER_NAME}-dpa

   Copy to Clipboard Toggle word wrap

5. Effacer le stockage en nuage:

   $ oc -n openshift-adp delete cloudstorage ${CLUSTER_NAME}-oadp

   Copy to Clipboard Toggle word wrap
   Avertissement

   En cas de suspension de cette commande, vous devrez peut-être supprimer le finalisateur:

   $ oc -n openshift-adp patch cloudstorage ${CLUSTER_NAME}-oadp -p '{"metadata":{"finalizers":null}}' --type=merge

   Copy to Clipboard Toggle word wrap

6. Enlevez l’opérateur s’il n’est plus nécessaire:

   $ oc -n openshift-adp delete subscription oadp-operator

   Copy to Clipboard Toggle word wrap

7. Enlever l’espace de noms de l’opérateur:

   $ oc delete ns redhat-openshift-adp

   Copy to Clipboard Toggle word wrap

8. Supprimez les Définitions de ressources personnalisées du cluster si vous ne souhaitez plus les avoir:

   $ for CRD in `oc get crds | grep velero | awk '{print $1}'`; do oc delete crd $CRD; done
   $ for CRD in `oc get crds | grep -i oadp | awk '{print $1}'`; do oc delete crd $CRD; done

   Copy to Clipboard Toggle word wrap

9. Effacer le seau AWS S3:

   $ aws s3 rm s3://${CLUSTER_NAME}-oadp --recursive
   $ aws s3api delete-bucket --bucket ${CLUSTER_NAME}-oadp

   Copy to Clipboard Toggle word wrap

10. Détachez la politique du rôle:

    $ aws iam detach-role-policy --role-name "${ROLE_NAME}" \
     --policy-arn "${POLICY_ARN}"

    Copy to Clipboard Toggle word wrap

11. Effacer le rôle:

    $ aws iam delete-role --role-name "${ROLE_NAME}"

    Copy to Clipboard Toggle word wrap

1. Créez une stratégie AWS IAM pour le contrôleur AWS Load Balancer:

   Note

   La stratégie provient de la stratégie AWS Load Balancer Controller en amont, plus l’autorisation de créer des balises sur les sous-réseaux. Ceci est requis par l’opérateur pour fonctionner.

   $ oc new-project aws-load-balancer-operator
   $ POLICY_ARN=$(aws iam list-policies --query \
        "Policies[?PolicyName=='aws-load-balancer-operator-policy'].{ARN:Arn}" \
        --output text)
   $ if [[ -z "${POLICY_ARN}" ]]; then
       wget -O "${SCRATCH}/load-balancer-operator-policy.json" \
          https://raw.githubusercontent.com/rh-mobb/documentation/main/content/rosa/aws-load-balancer-operator/load-balancer-operator-policy.json
        POLICY_ARN=$(aws --region "$REGION" --query Policy.Arn \
        --output text iam create-policy \
        --policy-name aws-load-balancer-operator-policy \
        --policy-document "file://${SCRATCH}/load-balancer-operator-policy.json")
   fi
   $ echo $POLICY_ARN

   Copy to Clipboard Toggle word wrap

2. Créez une politique de confiance AWS IAM pour AWS Load Balancer Operator:

   $ cat <<EOF > "${SCRATCH}/trust-policy.json"
   {
    "Version": "2012-10-17",
    "Statement": [
    {
    "Effect": "Allow",
    "Condition": {
      "StringEquals" : {
        "${OIDC_ENDPOINT}:sub": ["system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-operator-controller-manager", "system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-controller-cluster"]
      }
    },
    "Principal": {
      "Federated": "arn:aws:iam::$AWS_ACCOUNT_ID:oidc-provider/${OIDC_ENDPOINT}"
    },
    "Action": "sts:AssumeRoleWithWebIdentity"
    }
    ]
   }
   EOF

   Copy to Clipboard Toggle word wrap

3. Créer un rôle AWS IAM pour l’opérateur AWS Load Balancer:

   $ ROLE_ARN=$(aws iam create-role --role-name "${ROSA_CLUSTER_NAME}-alb-operator" \
      --assume-role-policy-document "file://${SCRATCH}/trust-policy.json" \
      --query Role.Arn --output text)
   $ echo $ROLE_ARN
   
   $ aws iam attach-role-policy --role-name "${ROSA_CLUSTER_NAME}-alb-operator" \
        --policy-arn $POLICY_ARN

   Copy to Clipboard Toggle word wrap

4. Créez un secret pour que l’opérateur AWS Load Balancer assume notre nouveau rôle AWS IAM:

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Secret
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   stringData:
     credentials: |
       [default]
       role_arn = $ROLE_ARN
       web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token
   EOF

   Copy to Clipboard Toggle word wrap

5. Installez l’opérateur AWS Load Balancer:

   $ cat << EOF | oc apply -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     upgradeStrategy: Default
   ---
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     channel: stable-v1.0
     installPlanApproval: Automatic
     name: aws-load-balancer-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: aws-load-balancer-operator.v1.0.0
   EOF

   Copy to Clipboard Toggle word wrap

6. Déployez une instance du contrôleur AWS Load Balancer à l’aide de l’opérateur:

   Note

   Lorsque vous obtenez une erreur ici, attendez une minute et essayez à nouveau, cela signifie que l’opérateur n’a pas encore terminé l’installation.

   $ cat << EOF | oc apply -f -
   apiVersion: networking.olm.openshift.io/v1
   kind: AWSLoadBalancerController
   metadata:
     name: cluster
   spec:
     credentials:
       name: aws-load-balancer-operator
   EOF

   Copy to Clipboard Toggle word wrap

7. Assurez-vous que les pods de l’opérateur et du contrôleur sont en cours d’exécution:

   $ oc -n aws-load-balancer-operator get pods

   Copy to Clipboard Toggle word wrap

   Il faut voir ce qui suit, sinon attendre un moment et réessayer:

   NAME                                                             READY   STATUS    RESTARTS   AGE
   aws-load-balancer-controller-cluster-6ddf658785-pdp5d            1/1     Running   0          99s
   aws-load-balancer-operator-controller-manager-577d9ffcb9-w6zqn   2/2     Running   0          2m4s

   Copy to Clipboard Toggle word wrap

1. Créer un nouveau projet:

   $ oc new-project hello-world

   Copy to Clipboard Toggle word wrap

2. Déployez une application hello world:

   $ oc new-app -n hello-world --image=docker.io/openshift/hello-openshift

   Copy to Clipboard Toggle word wrap

3. Configurez un service NodePort pour que AWS ALB se connecte à:

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Service
   metadata:
     name: hello-openshift-nodeport
     namespace: hello-world
   spec:
     ports:
       - port: 80
         targetPort: 8080
         protocol: TCP
     type: NodePort
     selector:
       deployment: hello-openshift
   EOF

   Copy to Clipboard Toggle word wrap

4. Déployer un AWS ALB à l’aide de l’opérateur AWS Load Balancer:

   $ cat << EOF | oc apply -f -
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: hello-openshift-alb
     namespace: hello-world
     annotations:
       alb.ingress.kubernetes.io/scheme: internet-facing
   spec:
     ingressClassName: alb
     rules:
       - http:
           paths:
             - path: /
               pathType: Exact
               backend:
                 service:
                   name: hello-openshift-nodeport
                   port:
                     number: 80
   EOF

   Copy to Clipboard Toggle word wrap

5. Curl le point de terminaison AWS ALB Ingress pour vérifier l’application hello world est accessible:

   Note

   AWS ALB provisioning prend quelques minutes. Lorsque vous recevez une erreur qui dit curl: (6) Ne peut pas résoudre l’hôte, s’il vous plaît attendre et essayer à nouveau.

   $ INGRESS=$(oc -n hello-world get ingress hello-openshift-alb \
       -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
   $ curl "http://${INGRESS}"

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

6. Déployez une AWS NLB pour votre application hello world:

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Service
   metadata:
     name: hello-openshift-nlb
     namespace: hello-world
     annotations:
       service.beta.kubernetes.io/aws-load-balancer-type: external
       service.beta.kubernetes.io/aws-load-balancer-nlb-target-type: instance
       service.beta.kubernetes.io/aws-load-balancer-scheme: internet-facing
   spec:
     ports:
       - port: 80
         targetPort: 8080
         protocol: TCP
     type: LoadBalancer
     selector:
       deployment: hello-openshift
   EOF

   Copy to Clipboard Toggle word wrap

7. Essayez le point de terminaison AWS NLB:

   Note

   Le provisionnement de la NLB prend quelques minutes. Lorsque vous recevez une erreur qui dit curl: (6) Ne peut pas résoudre l’hôte, s’il vous plaît attendre et essayer à nouveau.

   $ NLB=$(oc -n hello-world get service hello-openshift-nlb \
     -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
   $ curl "http://${NLB}"

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

1. Effacer l’espace de noms de l’application hello world (et toutes les ressources dans l’espace de noms):

   $ oc delete project hello-world

   Copy to Clipboard Toggle word wrap

2. Effacer l’opérateur AWS Load Balancer et les rôles AWS IAM:

   $ oc delete subscription aws-load-balancer-operator -n aws-load-balancer-operator
   $ aws iam detach-role-policy \
     --role-name "${ROSA_CLUSTER_NAME}-alb-operator" \
     --policy-arn $POLICY_ARN
   $ aws iam delete-role \
     --role-name "${ROSA_CLUSTER_NAME}-alb-operator"

   Copy to Clipboard Toggle word wrap

3. Effacer la politique AWS IAM:

   $ aws iam delete-policy --policy-arn $POLICY_ARN

   Copy to Clipboard Toggle word wrap

Procédure

1. Créez l’URL de rappel OAuth du cluster en modifiant les variables spécifiées et en exécutant la commande suivante:

   Note

   Gardez à l’esprit d’enregistrer cette URL de rappel; elle sera nécessaire plus tard dans le processus.

   $ domain=$(rosa describe cluster -c <cluster_name> | grep "DNS" | grep -oE '\S+.openshiftapps.com')
   echo "OAuth callback URL: https://oauth.${domain}/oauth2callback/AAD"

   Copy to Clipboard Toggle word wrap

   Le répertoire "AAD" à la fin de l’URL de rappel OAuth doit correspondre au nom du fournisseur d’identité OAuth que vous configurerez plus tard dans ce processus.

2. Créez l’application Entra ID en vous connectant au portail Azure et sélectionnez la lame d’enregistrement de l’application. Ensuite, sélectionnez Nouvelle inscription pour créer une nouvelle application.

   

3. Indiquez l’application, par exemple openshift-auth.
4. Choisissez Web dans la liste déroulante Redirect URI et entrez la valeur de l’URL de rappel OAuth que vous avez récupérée dans l’étape précédente.

5. Après avoir fourni les informations requises, cliquez sur S’inscrire pour créer l’application.

   

6. Choisissez la sous-lame Certificats & secrets et sélectionnez Nouveau secret client.

   

7. Complétez les détails demandés et stockez la valeur secrète du client générée. Ce secret est nécessaire plus tard dans ce processus.

   Important

   Après la configuration initiale, vous ne pouvez pas voir le secret client. « si vous n’avez pas enregistré le secret client, vous devez en générer un nouveau.

   

8. Choisissez la sous-lame Aperçu et notez l’ID de l’Application (client) et l’ID d’annuaire (locataire). Il vous faudra ces valeurs dans une étape future.

   

Procédure

1. Créez les variables en exécutant la commande suivante:

   $ CLUSTER_NAME=example-cluster 

   1

   
   $ IDP_NAME=AAD 

   2

   
   $ APP_ID=yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy 

   3

   
   $ CLIENT_SECRET=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx 

   4

   
   $ TENANT_ID=zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz 

   5

   Copy to Clipboard Toggle word wrap

   1

   Le remplacer par le nom de votre cluster ROSA.

   2

   Cette valeur remplace cette valeur par le nom que vous avez utilisé dans l’URL de rappel OAuth que vous avez générée plus tôt dans ce processus.

   3

   Le remplacer par l’ID de l’Application (client).

   4

   Le remplacer par le Client Secret.

   5

   Le remplacer par l’ID Directory (locataire).

2. Configurez le fournisseur OAuth du cluster en exécutant la commande suivante. Lorsque vous avez activé les revendications de groupe, assurez-vous d’utiliser l’argument des groupes --group-claims.

   • Lorsque vous avez activé les revendications du groupe, exécutez la commande suivante:

     $ rosa create idp \
     --cluster ${CLUSTER_NAME} \
     --type openid \
     --name ${IDP_NAME} \
     --client-id ${APP_ID} \
     --client-secret ${CLIENT_SECRET} \
     --issuer-url https://login.microsoftonline.com/${TENANT_ID}/v2.0 \
     --email-claims email \
     --name-claims name \
     --username-claims preferred_username \
     --extra-scopes email,profile \
     --groups-claims groups

     Copy to Clipboard Toggle word wrap

   • Dans le cas où vous n’avez pas activé les revendications du groupe, exécutez la commande suivante:

     $ rosa create idp \
     --cluster ${CLUSTER_NAME} \
     --type openid \
     --name ${IDP_NAME} \
     --client-id ${APP_ID} \
     --client-secret ${CLIENT_SECRET} \
     --issuer-url https://login.microsoftonline.com/${TENANT_ID}/v2.0 \
     --email-claims email \
     --name-claims name \
     --username-claims preferred_username \
     --extra-scopes email,profile

     Copy to Clipboard Toggle word wrap