5.5. Opérateurs basés sur le barreau

Procédure

1. Créer un répertoire pour le projet:

   $ mkdir -p $HOME/projects/nginx-operator

   Copy to Clipboard Toggle word wrap

2. Changement dans le répertoire:

   $ cd $HOME/projects/nginx-operator

   Copy to Clipboard Toggle word wrap

3. Exécutez la commande operator-sdk init avec le plugin de barre pour initialiser le projet:

   $ operator-sdk init \
       --plugins=helm \
       --domain=example.com \
       --group=demo \
       --version=v1 \
       --kind=Nginx

   Copy to Clipboard Toggle word wrap
   Note

   Le plugin de barre initialise par défaut un projet à l’aide d’un graphique Helm en plaque de chaudière. Il est possible d’utiliser des drapeaux supplémentaires, tels que le drapeau --helm-chart, pour initialiser un projet à l’aide d’un graphique Helm existant.

   La commande init crée le projet nginx-operator spécifiquement pour regarder une ressource avec la version API example.com/v1 et genre Nginx.

4. Dans le cas des projets Helm, la commande init génère les règles RBAC dans le fichier config/rbac/role.yaml en fonction des ressources qui seraient déployées par le manifeste par défaut pour le graphique. Assurez-vous que les règles générées dans ce fichier répondent aux exigences d’autorisation de l’opérateur.

Procédure

1. Editez le fichier watch.yaml pour inclure des overrides en fonction d’une variable d’environnement en ajoutant le champ OverrideValues:

   ...
   - group: demo.example.com
     version: v1alpha1
     kind: Nginx
     chart: helm-charts/nginx
     overrideValues:
       proxy.http: $HTTP_PROXY
   ...

   Copy to Clipboard Toggle word wrap

2. Ajoutez la valeur proxy.http dans le fichier helm-charts/nginx/values.yaml:

   ...
   proxy:
     http: ""
     https: ""
     no_proxy: ""

   Copy to Clipboard Toggle word wrap

3. Afin de s’assurer que le modèle de graphique prend en charge l’utilisation des variables, modifiez le modèle de graphique dans le fichier helm-charts/nginx/templates/deployment.yaml pour contenir ce qui suit:

   containers:
     - name: {{ .Chart.Name }}
       securityContext:
         - toYaml {{ .Values.securityContext | nindent 12 }}
       image: "{{ .Values.image.repository }}:{{ .Values.image.tag | default .Chart.AppVersion }}"
       imagePullPolicy: {{ .Values.image.pullPolicy }}
       env:
         - name: http_proxy
           value: "{{ .Values.proxy.http }}"

   Copy to Clipboard Toggle word wrap

4. Définissez la variable d’environnement sur le déploiement de l’opérateur en ajoutant ce qui suit au fichier config/manager/manager.yaml:

   containers:
    - args:
      - --leader-elect
      - --leader-election-id=ansible-proxy-demo
      image: controller:latest
      name: manager
      env:
        - name: "HTTP_PROXY"
          value: "http_proxy_test"

   Copy to Clipboard Toggle word wrap

Procédure

1. Changer l’espace de noms où votre opérateur est installé. À titre d’exemple, si vous avez déployé l’opérateur à l’aide de la commande make deployment:

   $ oc project nginx-operator-system

   Copy to Clipboard Toggle word wrap

2. Éditer l’échantillon Nginx CR manifeste à config/samples/demo_v1_nginx.yaml pour contenir les spécifications suivantes:

   apiVersion: demo.example.com/v1
   kind: Nginx
   metadata:
     name: nginx-sample
   ...
   spec:
   ...
     replicaCount: 3

   Copy to Clipboard Toggle word wrap

3. Le compte de service Nginx nécessite un accès privilégié pour fonctionner dans Red Hat OpenShift Service sur AWS. Ajouter la contrainte de contexte de sécurité suivante (SCC) au compte de service pour l’échantillon nginx:

   $ oc adm policy add-scc-to-user \
       anyuid system:serviceaccount:nginx-operator-system:nginx-sample

   Copy to Clipboard Toggle word wrap

4. Créer le CR:

   $ oc apply -f config/samples/demo_v1_nginx.yaml

   Copy to Clipboard Toggle word wrap

5. Assurez-vous que l’opérateur Nginx crée le déploiement de l’échantillon CR avec la bonne taille:

   $ oc get deployments

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   NAME                                    READY   UP-TO-DATE   AVAILABLE   AGE
   nginx-operator-controller-manager       1/1     1            1           8m
   nginx-sample                            3/3     3            3           1m

   Copy to Clipboard Toggle word wrap

6. Consultez le statut des pods et CR pour confirmer que le statut est mis à jour avec les noms de pod Nginx.

   1. Consultez les gousses:

      $ oc get pods

      Copy to Clipboard Toggle word wrap

      Exemple de sortie

      NAME                                  READY     STATUS    RESTARTS   AGE
      nginx-sample-6fd7c98d8-7dqdr          1/1       Running   0          1m
      nginx-sample-6fd7c98d8-g5k7v          1/1       Running   0          1m
      nginx-sample-6fd7c98d8-m7vn7          1/1       Running   0          1m

      Copy to Clipboard Toggle word wrap

   2. Consultez l’état CR:

      $ oc get nginx/nginx-sample -o yaml

      Copy to Clipboard Toggle word wrap

      Exemple de sortie

      apiVersion: demo.example.com/v1
      kind: Nginx
      metadata:
      ...
        name: nginx-sample
      ...
      spec:
        replicaCount: 3
      status:
        nodes:
        - nginx-sample-6fd7c98d8-7dqdr
        - nginx-sample-6fd7c98d8-g5k7v
        - nginx-sample-6fd7c98d8-m7vn7

      Copy to Clipboard Toggle word wrap

7. Actualisez la taille du déploiement.

   1. Actualisez le fichier config/samples/demo_v1_nginx.yaml pour modifier le champ spec.size dans le CR Nginx de 3 à 5:

      $ oc patch nginx nginx-sample \
          -p '{"spec":{"replicaCount": 5}}' \
          --type=merge

      Copy to Clipboard Toggle word wrap

   2. Confirmez que l’opérateur modifie la taille du déploiement:

      $ oc get deployments

      Copy to Clipboard Toggle word wrap

      Exemple de sortie

      NAME                                    READY   UP-TO-DATE   AVAILABLE   AGE
      nginx-operator-controller-manager       1/1     1            1           10m
      nginx-sample                            5/5     5            5           3m

      Copy to Clipboard Toggle word wrap

8. Supprimez le CR en exécutant la commande suivante:

   $ oc delete -f config/samples/demo_v1_nginx.yaml

   Copy to Clipboard Toggle word wrap

9. Nettoyez les ressources qui ont été créées dans le cadre de ce tutoriel.

   • Lorsque vous avez utilisé la commande make deployment pour tester l’opérateur, exécutez la commande suivante:

     $ make undeploy

     Copy to Clipboard Toggle word wrap

   • Lorsque vous avez utilisé la commande operator-sdk run bundle pour tester l’opérateur, exécutez la commande suivante:

     $ operator-sdk cleanup <project_name>

     Copy to Clipboard Toggle word wrap

Procédure

1. Éditez le Makefile de votre projet Opérateur pour mettre à jour la version SDK de l’opérateur vers 1.38.0, comme indiqué dans l’exemple suivant:

   Exemple de Makefile

   # Set the Operator SDK version to use. By default, what is installed on the system is used.
   # This is useful for CI or a project to utilize a specific version of the operator-sdk toolkit.
   OPERATOR_SDK_VERSION ?= v1.38.0 

   1

   Copy to Clipboard Toggle word wrap

   1

   Changer la version de 1.36.1 à 1.38.0.

2. Éditez le Makefile de votre projet Opérateur pour mettre à jour la balise image ose-helm-rhel9-operator à 4, comme indiqué dans l’exemple suivant:

   Exemple Dockerfile

   FROM registry.redhat.io/openshift4/ose-helm-rhel9-operator:v4

   Copy to Clipboard Toggle word wrap

3. Il faut mettre à niveau les versions Kubernetes de votre projet Opérateur pour utiliser 1.30 et Kubebuilder v4.

   Astuce

   Cette mise à jour comprend des changements complexes d’échafaudage en raison de l’élimination du kube-rbac-proxy. Lorsque ces migrations deviennent difficiles à suivre, échafauder un nouveau projet d’échantillon à des fins de comparaison.

   1. Actualisez la version Kustomize dans votre Makefile en apportant les modifications suivantes:

      - curl -sSLo - https://github.com/kubernetes-sigs/kustomize/releases/download/kustomize/v5.3.0/kustomize_v5.3.0_$(OS)_$(ARCH).tar.gz | \
      + curl -sSLo - https://github.com/kubernetes-sigs/kustomize/releases/download/kustomize/v5.4.2/kustomize_v5.4.2_$(OS)_$(ARCH).tar.gz | \

      Copy to Clipboard Toggle word wrap

   2. Actualisez votre fichier config/default/kustomization.yaml avec les modifications suivantes:

        # [PROMETHEUS] To enable prometheus monitor, uncomment all sections with 'PROMETHEUS'.
        #- ../prometheus
      + # [METRICS] Expose the controller manager metrics service.
      + - metrics_service.yaml
      
      + # Uncomment the patches line if you enable Metrics, and/or are using webhooks and cert-manager
        patches:
      - # Protect the /metrics endpoint by putting it behind auth.
      - # If you want your controller-manager to expose the /metrics
      - # endpoint w/o any authn/z, please comment the following line.
      - - path: manager_auth_proxy_patch.yaml
      + # [METRICS] The following patch will enable the metrics endpoint using HTTPS and the port :8443.
      + # More info: https://book.kubebuilder.io/reference/metrics
      + - path: manager_metrics_patch.yaml
      +   target:
      +     kind: Deployment

      Copy to Clipboard Toggle word wrap
   3. Enlevez les fichiers config/default/manager_auth_proxy_patch.yaml et config/default/manager_config_patch.yaml.

   4. Créez un fichier config/default/manager_metrics_patch.yaml avec le contenu suivant:

      # This patch adds the args to allow exposing the metrics endpoint using HTTPS
      - op: add
        path: /spec/template/spec/containers/0/args/0
        value: --metrics-bind-address=:8443
      # This patch adds the args to allow securing the metrics endpoint
      - op: add
        path: /spec/template/spec/containers/0/args/0
        value: --metrics-secure
      # This patch adds the args to allow RBAC-based authn/authz the metrics endpoint
      - op: add
        path: /spec/template/spec/containers/0/args/0
        value: --metrics-require-rbac

      Copy to Clipboard Toggle word wrap

   5. Créez un fichier config/default/metrics_service.yaml avec le contenu suivant:

      apiVersion: v1
      kind: Service
      metadata:
        labels:
          control-plane: controller-manager
          app.kubernetes.io/name: <operator-name>
          app.kubernetes.io/managed-by: kustomize
        name: controller-manager-metrics-service
        namespace: system
      spec:
        ports:
          - name: https
            port: 8443
            protocol: TCP
            targetPort: 8443
        selector:
          control-plane: controller-manager

      Copy to Clipboard Toggle word wrap

   6. Actualisez votre fichier config/manager/manager.yaml avec les modifications suivantes:

        - --leader-elect
      + - --health-probe-bind-address=:8081

      Copy to Clipboard Toggle word wrap

   7. Actualisez votre fichier config/prometheus/monitor.yaml avec les modifications suivantes:

           - path: /metrics
      -      port: https
      +      port: https # Ensure this is the name of the port that exposes HTTPS metrics
             tlsConfig:
      +        # TODO(user): The option insecureSkipVerify: true is not recommended for production since it disables
      +        # certificate verification. This poses a significant security risk by making the system vulnerable to
      +        # man-in-the-middle attacks, where an attacker could intercept and manipulate the communication between
      +        # Prometheus and the monitored services. This could lead to unauthorized access to sensitive metrics data,
      +        # compromising the integrity and confidentiality of the information.
      +        # Please use the following options for secure configurations:
      +        # caFile: /etc/metrics-certs/ca.crt
      +        # certFile: /etc/metrics-certs/tls.crt
      +        # keyFile: /etc/metrics-certs/tls.key
               insecureSkipVerify: true

      Copy to Clipboard Toggle word wrap

   8. Supprimez les fichiers suivants du répertoire config/rbac/:

      • auth_proxy_client_clusterrole.yaml
      • auth_proxy_role.yaml
      • auth_proxy_role_binding.yaml
      • auth_proxy_service.yaml

   9. Actualisez votre fichier config/rbac/kustomization.yaml avec les modifications suivantes:

        - leader_election_role_binding.yaml
      - # Comment the following 4 lines if you want to disable
      - # the auth proxy (https://github.com/brancz/kube-rbac-proxy)
      - # which protects your /metrics endpoint.
      - - auth_proxy_service.yaml
      - - auth_proxy_role.yaml
      - - auth_proxy_role_binding.yaml
      - - auth_proxy_client_clusterrole.yaml
      + # The following RBAC configurations are used to protect
      + # the metrics endpoint with authn/authz. These configurations
      + # ensure that only authorized users and service accounts
      + # can access the metrics endpoint. Comment the following
      + # permissions if you want to disable this protection.
      + # More info: https://book.kubebuilder.io/reference/metrics.html
      + - metrics_auth_role.yaml
      + - metrics_auth_role_binding.yaml
      + - metrics_reader_role.yaml

      Copy to Clipboard Toggle word wrap

   10. Créez un fichier config/rbac/metrics_auth_role_binding.yaml avec le contenu suivant:

       apiVersion: rbac.authorization.k8s.io/v1
       kind: ClusterRoleBinding
       metadata:
         name: metrics-auth-rolebinding
       roleRef:
         apiGroup: rbac.authorization.k8s.io
         kind: ClusterRole
         name: metrics-auth-role
       subjects:
         - kind: ServiceAccount
           name: controller-manager
           namespace: system

       Copy to Clipboard Toggle word wrap

   11. Créez un fichier config/rbac/metrics_reader_role.yaml avec le contenu suivant:

       apiVersion: rbac.authorization.k8s.io/v1
       kind: ClusterRole
       metadata:
         name: metrics-reader
       rules:
       - nonResourceURLs:
         - "/metrics"
         verbs:
         - get

       Copy to Clipboard Toggle word wrap