2.2. Configuration de la création de projet

Procédure

1. Connectez-vous en tant qu’utilisateur avec des privilèges cluster-admin.

2. Générer le modèle de projet par défaut:

   $ oc adm create-bootstrap-project-template -o yaml > template.yaml

   Copy to Clipboard Toggle word wrap
3. Créez un éditeur de texte pour modifier le fichier template.yaml généré en ajoutant des objets ou en modifiant des objets existants.

4. Le modèle de projet doit être créé dans l’espace de noms openshift-config. Chargez votre modèle modifié:

   $ oc create -f template.yaml -n openshift-config

   Copy to Clipboard Toggle word wrap

5. Éditez la ressource de configuration du projet à l’aide de la console Web ou du CLI.

   • En utilisant la console web:

     1. Accédez à la page Administration Paramètres du cluster.
     2. Cliquez sur Configuration pour afficher toutes les ressources de configuration.
     3. Cherchez l’entrée pour Projet et cliquez sur Modifier YAML.

   • En utilisant le CLI:

     1. Editez la ressource project.config.openshift.io/cluster:

        $ oc edit project.config.openshift.io/cluster

        Copy to Clipboard Toggle word wrap

6. Actualisez la section Spécifications pour inclure les paramètres projectRequestTemplate et nom, et définissez le nom de votre modèle de projet téléchargé. Le nom par défaut est project-request.

   Configuration du projet ressource avec modèle de projet personnalisé

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
   # ...
   spec:
     projectRequestTemplate:
       name: <template_name>
   # ...

   Copy to Clipboard Toggle word wrap

7. Après avoir enregistré vos modifications, créez un nouveau projet pour vérifier que vos modifications ont été appliquées avec succès.

Procédure

1. Connectez-vous en tant qu’utilisateur avec des privilèges cluster-admin.

2. Affichez l’utilisation de la liaison de rôle du cluster auto-fournisseur en exécutant la commande suivante:

   $ oc describe clusterrolebinding.rbac self-provisioners

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   Name:		self-provisioners
   Labels:		<none>
   Annotations:	rbac.authorization.kubernetes.io/autoupdate=true
   Role:
     Kind:	ClusterRole
     Name:	self-provisioner
   Subjects:
     Kind	Name				Namespace
     ----	----				---------
     Group	system:authenticated:oauth

   Copy to Clipboard Toggle word wrap

   Examiner les sujets dans la section des autoprovisionnaires.

3. Enlevez le rôle de cluster d’auto-fournisseur du système de groupe:authenticated:oauth.

   • Lorsque la liaison de rôle du cluster auto-fournisseur lie uniquement le rôle d’auto-fournisseur au système:authenticated:oauth group, exécutez la commande suivante:

     $ oc patch clusterrolebinding.rbac self-provisioners -p '{"subjects": null}'

     Copy to Clipboard Toggle word wrap

   • Lorsque la liaison de rôle de cluster auto-fournisseur lie le rôle d’auto-fournisseur à plus d’utilisateurs, de groupes ou de comptes de service que le groupe system:authenticated:oauth, exécutez la commande suivante:

     $ oc adm policy \
         remove-cluster-role-from-group self-provisioner \
         system:authenticated:oauth

     Copy to Clipboard Toggle word wrap

4. Éditez la liaison du rôle de cluster d’auto-fournisseurs pour empêcher les mises à jour automatiques du rôle. Les mises à jour automatiques réinitialisent les rôles de cluster à l’état par défaut.

   • De mettre à jour la liaison de rôle à l’aide de l’ICC:

     1. Exécutez la commande suivante:

        $ oc edit clusterrolebinding.rbac self-provisioners

        Copy to Clipboard Toggle word wrap

     2. Dans la liaison de rôle affichée, définissez la valeur du paramètre rbac.authorization.kubernetes.io/autoupdate sur false, comme indiqué dans l’exemple suivant:

        apiVersion: authorization.openshift.io/v1
        kind: ClusterRoleBinding
        metadata:
          annotations:
            rbac.authorization.kubernetes.io/autoupdate: "false"
        # ...

        Copy to Clipboard Toggle word wrap

   • De mettre à jour la liaison de rôle en utilisant une seule commande:

     $ oc patch clusterrolebinding.rbac self-provisioners -p '{ "metadata": { "annotations": { "rbac.authorization.kubernetes.io/autoupdate": "false" } } }'

     Copy to Clipboard Toggle word wrap

5. Connectez-vous en tant qu’utilisateur authentifié et vérifiez qu’il ne peut plus auto-provisionner un projet:

   $ oc new-project test

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   Error from server (Forbidden): You may not request a new project via this API.

   Copy to Clipboard Toggle word wrap

   Envisagez de personnaliser ce message de demande de projet pour fournir des instructions plus utiles spécifiques à votre organisation.

Procédure

1. Éditez la ressource de configuration du projet à l’aide de la console Web ou du CLI.

   • En utilisant la console web:

     1. Accédez à la page Administration Paramètres du cluster.
     2. Cliquez sur Configuration pour afficher toutes les ressources de configuration.
     3. Cherchez l’entrée pour Projet et cliquez sur Modifier YAML.

   • En utilisant le CLI:

     1. Connectez-vous en tant qu’utilisateur avec des privilèges cluster-admin.

     2. Editez la ressource project.config.openshift.io/cluster:

        $ oc edit project.config.openshift.io/cluster

        Copy to Clipboard Toggle word wrap

2. Actualisez la section Spécifications pour inclure le paramètre projectRequestMessage et définissez la valeur à votre message personnalisé:

   Configuration du projet ressource avec message personnalisé de demande de projet

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
   # ...
   spec:
     projectRequestMessage: <message_string>
   # ...

   Copy to Clipboard Toggle word wrap

   À titre d’exemple:

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
   # ...
   spec:
     projectRequestMessage: To request a project, contact your system administrator at projectname@example.com.
   # ...

   Copy to Clipboard Toggle word wrap
3. Après avoir enregistré vos modifications, essayez de créer un nouveau projet en tant que développeur ou compte de service qui n’est pas en mesure d’auto-provisionner des projets pour vérifier que vos modifications ont été appliquées avec succès.