Chapitre 3. Création de ROSA avec des clusters HCP à l’aide d’une clé de chiffrement AWS KMS personnalisée

Procédure

1. Lancez une invite shell et clonez le dépôt Terraform VPC en exécutant la commande suivante:

   $ git clone https://github.com/openshift-cs/terraform-vpc-example

   Copy to Clipboard Toggle word wrap

2. Accédez au répertoire créé en exécutant la commande suivante:

   $ cd terraform-vpc-example

   Copy to Clipboard Toggle word wrap

3. Lancez le fichier Terraform en exécutant la commande suivante:

   $ terraform init

   Copy to Clipboard Toggle word wrap

   Le message confirmant l’initialisation apparaît lorsque ce processus se termine.

4. Afin de construire votre plan VPC Terraform basé sur le modèle Terraform existant, exécutez la commande plan. Il faut inclure votre région AWS. Choisissez de spécifier un nom de cluster. Après la fin du plan terraform, un fichier rosa.tfplan est ajouté au répertoire hypershift-tf. Consultez le fichier README du dépôt Terraform VPC.

   $ terraform plan -out rosa.tfplan -var region=<region>

   Copy to Clipboard Toggle word wrap

5. Appliquez ce fichier de plan pour construire votre VPC en exécutant la commande suivante:

   $ terraform apply rosa.tfplan

   Copy to Clipboard Toggle word wrap

   1. Facultatif: Vous pouvez capturer les valeurs des ID de sous-réseau privés, publics et de pool de machines fournis par Terraform en tant que variables d’environnement à utiliser lors de la création de votre ROSA avec le cluster HCP en exécutant les commandes suivantes:

      $ export SUBNET_IDS=$(terraform output -raw cluster-subnets-string)

      Copy to Clipboard Toggle word wrap

   2. Assurez-vous que les variables ont été correctement définies avec la commande suivante:

      $ echo $SUBNET_IDS

      Copy to Clipboard Toggle word wrap

      Exemple de sortie

      $ subnet-0a6a57e0f784171aa,subnet-078e84e5b10ecf5b0

      Copy to Clipboard Toggle word wrap

Procédure

1. Dans le cas où ils n’existent pas dans votre compte AWS, créez les rôles STS requis à l’échelle du compte et attachez les stratégies en exécutant la commande suivante:

   $ rosa create account-roles --hosted-cp

   Copy to Clipboard Toggle word wrap

2. Facultatif: Définir votre préfixe en tant que variable environnementale en exécutant la commande suivante:

   $ export ACCOUNT_ROLES_PREFIX=<account_role_prefix>

   Copy to Clipboard Toggle word wrap

   • Afficher la valeur de la variable en exécutant la commande suivante:

     $ echo $ACCOUNT_ROLES_PREFIX

     Copy to Clipboard Toggle word wrap

     Exemple de sortie

     ManagedOpenShift

     Copy to Clipboard Toggle word wrap

Procédure

1. Afin de créer votre configuration OIDC à côté des ressources AWS, exécutez la commande suivante:

   $ rosa create oidc-config --mode=auto --yes

   Copy to Clipboard Toggle word wrap

   Cette commande renvoie les informations suivantes.

   Exemple de sortie

   ? Would you like to create a Managed (Red Hat hosted) OIDC Configuration Yes
   I: Setting up managed OIDC configuration
   I: To create Operator Roles for this OIDC Configuration, run the following command and remember to replace <user-defined> with a prefix of your choice:
   	rosa create operator-roles --prefix <user-defined> --oidc-config-id 13cdr6b
   If you are going to create a Hosted Control Plane cluster please include '--hosted-cp'
   I: Creating OIDC provider using 'arn:aws:iam::4540112244:user/userName'
   ? Create the OIDC provider? Yes
   I: Created OIDC provider with ARN 'arn:aws:iam::4540112244:oidc-provider/dvbwgdztaeq9o.cloudfront.net/13cdr6b'

   Copy to Clipboard Toggle word wrap

   Lors de la création de votre cluster, vous devez fournir l’identifiant de configuration OIDC. La sortie CLI fournit cette valeur pour --mode auto, sinon vous devez déterminer ces valeurs en fonction de la sortie CLI aws pour --mode manuel.

2. Facultatif : vous pouvez enregistrer l’identifiant de configuration OIDC en tant que variable à utiliser ultérieurement. Exécutez la commande suivante pour enregistrer la variable:

   $ export OIDC_ID=<oidc_config_id>

   1

   Copy to Clipboard Toggle word wrap

   1 1

   Dans l’exemple de sortie ci-dessus, l’IDC de configuration ID est 13cdr6b.

   • Afficher la valeur de la variable en exécutant la commande suivante:

     $ echo $OIDC_ID

     Copy to Clipboard Toggle word wrap

     Exemple de sortie

     13cdr6b

     Copy to Clipboard Toggle word wrap

Procédure

1. Définissez le nom de votre préfixe sur une variable d’environnement en utilisant la commande suivante:

   $ export OPERATOR_ROLES_PREFIX=<prefix_name>

   Copy to Clipboard Toggle word wrap

2. Afin de créer vos rôles d’opérateur, exécutez la commande suivante:

   $ rosa create operator-roles --hosted-cp --prefix=$OPERATOR_ROLES_PREFIX --oidc-config-id=$OIDC_ID --installer-role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role

   Copy to Clipboard Toggle word wrap

   La ventilation suivante fournit des options pour la création de rôles d’opérateur.

   $ rosa create operator-roles --hosted-cp
   	--prefix=$OPERATOR_ROLES_PREFIX 

   1

   
   	--oidc-config-id=$OIDC_ID 

   2

   
   	--installer-role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role 

   3

   Copy to Clipboard Toggle word wrap

   1

   Il faut fournir un préfixe lors de la création de ces rôles d’opérateur. Le fait de ne pas le faire produit une erreur. Consultez les ressources supplémentaires de cette section pour obtenir des informations sur le préfixe de l’opérateur.

   2

   Cette valeur est l’identifiant de configuration OIDC que vous avez créé pour votre ROSA avec le cluster HCP.

   3

   Cette valeur est le rôle d’installateur ARN que vous avez créé lorsque vous avez créé les rôles de compte ROSA.

   Il faut inclure le paramètre --hosted-cp pour créer les rôles corrects pour ROSA avec les clusters HCP. Cette commande renvoie les informations suivantes.

   Exemple de sortie

   ? Role creation mode: auto
   ? Operator roles prefix: <pre-filled_prefix> 

   1

   
   ? OIDC Configuration ID: 23soa2bgvpek9kmes9s7os0a39i13qm4 | https://dvbwgdztaeq9o.cloudfront.net/23soa2bgvpek9kmes9s7os0a39i13qm4 

   2

   
   ? Create hosted control plane operator roles: Yes
   W: More than one Installer role found
   ? Installer role ARN: arn:aws:iam::4540112244:role/<prefix>-HCP-ROSA-Installer-Role
   ? Permissions boundary ARN (optional):
   I: Reusable OIDC Configuration detected. Validating trusted relationships to operator roles:
   I: Creating roles using 'arn:aws:iam::4540112244:user/<userName>'
   I: Created role '<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials'
   I: Created role '<prefix>-openshift-cloud-network-config-controller-cloud-credenti' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cloud-network-config-controller-cloud-credenti'
   I: Created role '<prefix>-kube-system-kube-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kube-controller-manager'
   I: Created role '<prefix>-kube-system-capa-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-capa-controller-manager'
   I: Created role '<prefix>-kube-system-control-plane-operator' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-control-plane-operator'
   I: Created role '<prefix>-kube-system-kms-provider' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kms-provider'
   I: Created role '<prefix>-openshift-image-registry-installer-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-image-registry-installer-cloud-credentials'
   I: Created role '<prefix>-openshift-ingress-operator-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-ingress-operator-cloud-credentials'
   I: To create a cluster with these roles, run the following command:
   	rosa create cluster --sts --oidc-config-id 23soa2bgvpek9kmes9s7os0a39i13qm4 --operator-roles-prefix <prefix> --hosted-cp

   Copy to Clipboard Toggle word wrap

   1

   Ce champ est prérempli avec le préfixe que vous définissez dans la commande initiale de création.

   2

   Ce champ vous oblige à sélectionner une configuration OIDC que vous avez créée pour votre ROSA avec le cluster HCP.

   Les rôles d’opérateur sont maintenant créés et prêts à être utilisés pour créer votre ROSA avec le cluster HCP.

Procédure

1. Créez une clé KMS personnalisée gérée par le client AWS en exécutant la commande suivante:

   $ KMS_ARN=$(aws kms create-key --region $AWS_REGION --description 'Custom ROSA Encryption Key' --tags TagKey=red-hat,TagValue=true --query KeyMetadata.Arn --output text)

   Copy to Clipboard Toggle word wrap

   Cette commande enregistre la sortie Amazon Resource Name (ARN) de cette clé personnalisée pour d’autres étapes.

   Note

   Les clients doivent fournir les --tags TagKey=red-hat,TagValue=vrai argument qui est requis pour une clé KMS client.

2. La clé KMS a été créée en exécutant la commande suivante:

   $ echo $KMS_ARN

   Copy to Clipboard Toggle word wrap

3. Définissez votre identifiant de compte AWS sur une variable d’environnement.

   $ AWS_ACCOUNT_ID=<aws_account_id>

   Copy to Clipboard Toggle word wrap

4. Ajoutez l’ARN pour le rôle d’installateur à l’échelle du compte et les rôles d’opérateur que vous avez créés dans l’étape précédente à la section Statement.Principal.AWS dans le fichier. Dans l’exemple suivant, le rôle ARN pour le rôle par défaut ManagedOpenShift-HCP-ROSA-Installer-Role est ajouté:

   {
     "Version": "2012-10-17",
     "Id": "key-rosa-policy-1",
     "Statement": [
     {
                 "Sid": "Enable IAM User Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:root"
                 },
                 "Action": "kms:*",
                 "Resource": "*"
             },
           {
                 "Sid": "Installer Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/ManagedOpenShift-HCP-ROSA-Installer-Role"
                 },
                 "Action": [
                     "kms:CreateGrant",
                     "kms:DescribeKey",
                     "kms:GenerateDataKeyWithoutPlaintext"
                 ],
                 "Resource": "*"
             },
             {
                 "Sid": "ROSA KubeControllerManager Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/<operator_role_prefix>-kube-system-kube-controller-manager"
   
                 },
                 "Action": "kms:DescribeKey",
                 "Resource": "*"
             },
             {
                 "Sid": "ROSA KMS Provider Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/<operator_role_prefix>-kube-system-kms-provider"
                 },
                 "Action": [
                     "kms:Encrypt",
                     "kms:Decrypt",
                     "kms:DescribeKey"
                 ],
                 "Resource": "*"
             },
             {
                 "Sid": "ROSA NodeManager Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/<operator_role_prefix>-kube-system-capa-controller-manager"
                 },
                 "Action": [
                     "kms:DescribeKey",
                     "kms:GenerateDataKeyWithoutPlaintext",
                     "kms:CreateGrant"
                 ],
                 "Resource": "*"
             }
         ]
     }

   Copy to Clipboard Toggle word wrap

5. Confirmez les détails du fichier de stratégie créé en exécutant la commande suivante:

   $ cat rosa-key-policy.json

   Copy to Clipboard Toggle word wrap

6. Appliquez la stratégie de clé nouvellement générée à la clé KMS personnalisée en exécutant la commande suivante:

   $ aws kms put-key-policy --key-id $KMS_ARN \
   --policy file://rosa-key-policy.json \
   --policy-name default

   Copy to Clipboard Toggle word wrap

7. Créez le cluster en exécutant la commande suivante:

   Note

   Lorsque le nom de votre cluster est supérieur à 15 caractères, il contiendra un préfixe de domaine généré automatiquement en tant que sous-domaine pour votre cluster fourni sur *.openshiftapps.com.

   Afin de personnaliser le sous-domaine, utilisez l’indicateur --domain-prefix. Le préfixe de domaine ne peut pas dépasser 15 caractères, doit être unique et ne peut pas être modifié après la création de clusters.

   $ rosa create cluster --cluster-name <cluster_name> \
   --subnet-ids <private_subnet_id>,<public_subnet_id> \
   --sts \
   --mode auto \
   --machine-cidr 10.0.0.0/16 \
   --compute-machine-type m5.xlarge \
   --hosted-cp \
   --region <aws_region> \
   --oidc-config-id $OIDC_ID \
   --kms-key-arn $KMS_ARN \ 

   1

   
   --etcd-encryption-kms-arn $KMS_ARN \ 

   2

   
   --operator-roles-prefix $OPERATOR_ROLES_PREFIX

   Copy to Clipboard Toggle word wrap

   1

   Cette clé KMS ARN est utilisée pour chiffrer tous les volumes de racine des nœuds de travail. Il n’est pas nécessaire si seulement un cryptage de base de données etcd est nécessaire.

   2

   Cette clé KMS ARN est utilisée pour chiffrer la base de données etcd. La base de données etcd est toujours cryptée par défaut avec un bloc de chiffrement AES, mais peut être cryptée à la place avec une clé KMS. Il n’est pas nécessaire si seul le cryptage du volume racine du nœud est nécessaire.

1. Accédez à OpenShift Cluster Manager et sélectionnez Instances.
2. Choisissez votre instance.
3. Cliquez sur l’onglet Stockage.
4. Copiez l’ID de clé KMS.
5. Cherchez et sélectionnez Key Management Service.
6. Entrez votre identifiant de clé KMS copié dans le champ Filtre.