共有リソースの使用

手順

1. 次の設定例を使用して、Shared Resource CSI Driver に SharedSecret オブジェクトへのアクセス権を付与する Role オブジェクトと RoleBinding オブジェクトを作成します。

   Role オブジェクトの例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: share-etc-pki-entitlement 

   1

   
     namespace: openshift-config-managed
   rules:
     - apiGroups:
         - ""
       resources:
         - secrets
       resourceNames:
         - etc-pki-entitlement
       verbs:
         - get
         - list
         - watch

   Copy to Clipboard Toggle word wrap

   1

   Role CR の名前。

   RoleBinding オブジェクトの例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: share-etc-pki-entitlement 

   1

   
     namespace: openshift-config-managed
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: share-etc-pki-entitlement 

   2

   
   subjects:
     - kind: ServiceAccount
       name: csi-driver-shared-resource 

   3

   
       namespace: openshift-builds

   Copy to Clipboard Toggle word wrap

   1

   RoleBinding CR の名前。

   2

   Role CR の名前。

   3

   ServiceAccount CR の名前。

2. 次の設定例を使用して、SharedSecret CR を作成します。

   apiVersion: sharedresource.openshift.io/v1alpha1
   kind: SharedSecret
   metadata:
     name: shared-test-secret 

   1

   
   spec:
     secretRef:
       name: test-secret
       namespace: <name_of_the_source_namespace>

   Copy to Clipboard Toggle word wrap

   1

   <name_of_the_source_namespace> は、SharedSecret CR の名前に置き換えます。

3. 次の設定例を使用して、参照される共有リソースを使用するための RBAC 権限を付与する ClusterRole オブジェクトを作成します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: use-shared-test-secret 

   1

   
   rules:
     - apiGroups:
         - sharedresource.openshift.io
       resources:
         - sharedsecrets
       resourceNames:
         - shared-test-secret
       verbs:
         - use

   Copy to Clipboard Toggle word wrap

   1

   ClusterRole CR の名前。

手順

1. ロールに関連付けられた RoleBinding オブジェクトをクラスター内に作成し、共有リソースを使用する権限をサービスアカウントに付与します。次の設定例を参照してください。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: use-shared-secret 

   1

   
     namespace: app-namespace
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: use-shared-secret
   subjects:
     - kind: ServiceAccount
       name: <service_account_name> 

   2

   Copy to Clipboard Toggle word wrap

   1

   RoleBinding CR の名前。

   2

   <service_account_name> は、アプリケーションのサービスアカウント名に置き換えます。

2. 共有リソース csi ドライバーを、csi ボリュームを受け入れる Pod またはその他のリソースにマウントします。次の設定例を参照してください。

   apiVersion: v1
   kind: Pod
   metadata:
     name: example-shared-secret
     namespace: <app_namespace> 

   1

   
   spec:
     ...
     serviceAccountName: default
     volumes:
       - name: shared-secret
         csi:
           readOnly: true
           driver: csi.sharedresource.openshift.io
           volumeAttributes:
             sharedSecret: shared-test-secret 

   2

   Copy to Clipboard Toggle word wrap

   1

   <app_namespace> は、アプリケーションの namespace 名に置き換えます。

   2

   sharedSecret 属性の値は、SharedSecret CR の名前と同じである必要があります。

   重要

   sharedSecret 属性の値が SharedSecret インスタンスの名前と一致しない場合、Pod は起動に失敗します。

手順

1. Shared Resource CSI Driver に ConfigMap オブジェクトへのアクセス権を付与するための Role および RoleBinding オブジェクトを作成します。次の設定例を参照してください。

   Role オブジェクトの例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: shared-test-config
     namespace: <name_of_the_source_namespace> 

   1

   
   rules:
     - apiGroups: [""]
       resources: ["configmaps"]
       resourceNames: ["shared-config"]
       verbs: ["get", "list", "watch"]

   Copy to Clipboard Toggle word wrap

   1

   <name_of_the_source_namespace> は、ソース namespace の名前に置き換えます。

   RoleBinding オブジェクトの例

    apiVersion: rbac.authorization.k8s.io/v1
    kind: RoleBinding
    metadata:
      name: shared-test-config
      namespace: <name_of_the_source_namespace> 

   1

   
    roleRef:
      apiGroup: rbac.authorization.k8s.io
      kind: Role
      name: shared-test-config
    subjects: 

   2

   
      - kind: ServiceAccount
        name: csi-driver-shared-resource
        namespace: openshift-builds

   Copy to Clipboard Toggle word wrap

   1

   <name_of_the_source_namespace> は、ソース namespace の名前に置き換えます。

   2

   Shared Resource CSI Driver DaemonSet 用のサービスアカウントのリストを指定します。builds for Red Hat OpenShift でデプロイされた場合、サービスアカウント名は csi-driver-shared-resource になり、namespace は Builds for Red Hat OpenShift Operator がデプロイされている namespace と同じになります。

2. クラスター内の namespace 間で共有する ConfigMap オブジェクト用の SharedConfigMap CR を作成します。次の例はサンプル設定を示しています。

   apiVersion: sharedresource.openshift.io/v1alpha1
   kind: SharedConfigMap
   metadata:
     name: share-test-config 

   1

   
   spec:
     configMapRef:
       name: shared-config
       namespace: <name_of_the_source_namespace> 

   2

   Copy to Clipboard Toggle word wrap

   1

   SharedConfigMap CR の名前を指定します。

   2

   <name_of_the_source_namespace> は、ソース namespace の名前に置き換えます。

3. 参照される共有リソースを使用するためのロールベースアクセス制御 (RBAC) 権限を付与する ClusterRole CR インスタンスを作成します。次の例はサンプル設定を示しています。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: <cluster_role_name> 

   1

   
   rules:
     - apiGroups:
         - sharedresource.openshift.io
       resources:
         - sharedconfigmaps
       resourceNames:
         - share-test-config 

   2

   
       verbs:
         - use

   Copy to Clipboard Toggle word wrap

   1

   <cluster_role_name> は、クラスターロールの名前に置き換えます。

   2

   SharedSecret CR の名前を指定します。

手順

1. ロールに関連付けられた RoleBinding オブジェクトを作成し、共有リソースを使用する権限をサービスアカウントに付与します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: use-shared-config
     namespace: <app_namespace> 

   1

   
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: use-shared-config
   subjects:
     - kind: ServiceAccount
       name: <service_account_name> 

   2

   Copy to Clipboard Toggle word wrap

   1

   <app_namespace> は、アプリケーションの namespace 名に置き換えます。

   2

   <service_account_name> は、アプリケーションのサービスアカウント名に置き換えます。

2. Shared Resource Container Storage Interface (CSI) Driver を、Pod または CSI ボリュームを受け入れるその他のリソースにマウントします。

   apiVersion: v1
   kind: Pod
   metadata:
     name: example-shared-config
     namespace: <app_namespace> 

   1

   
   spec:
     ...
     serviceAccountName: default
     volumes:
       - name: shared-config
         csi:
           readOnly: true
           driver: csi.sharedresource.openshift.io
           volumeAttributes:
             sharedConfigMap: share-test-config 

   2

   Copy to Clipboard Toggle word wrap

   1

   <app_namespace> は、アプリケーションの namespace 名に置き換えます。

   2

   sharedConfigMap オブジェクトの名前を指定します。

   重要

   sharedConfigMap 属性の値が sharedConfigMap インスタンスの名前と一致しない場合、Pod は起動に失敗します。

手順

1. 次のコマンドを実行して、クラスターのエンタイトルメントシークレットを含む SharedSecret オブジェクトインスタンスを作成します。

   $ oc apply -f -<<EOF
   apiVersion: sharedresource.openshift.io/v1alpha1
   kind: SharedSecret
   metadata:
     name: etc-pki-entitlement
   spec:
     secretRef:
       name: etc-pki-entitlement
       namespace: openshift-config-managed
   EOF

   Copy to Clipboard Toggle word wrap

2. 次の設定例を使用して、SharedSecret オブジェクトにアクセスする権限を付与する ClusterRole オブジェクトを作成します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: use-share-etc-pki-entitlement 

   1

   
   rules:
     - apiGroups:
         - sharedresource.openshift.io
       resources:
         - sharedsecrets
       resourceNames:
         - etc-pki-entitlement
       verbs:
         - use

   Copy to Clipboard Toggle word wrap

   1

   ClusterRole CR の名前。

3. Shared Resources CSI Driver に SharedSecret オブジェクトにアクセスする権限を付与する Role および RoleBinding オブジェクトを作成します。

   Role オブジェクトの例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: share-etc-pki-entitlement 

   1

   
     namespace: openshift-config-managed
   rules:
     - apiGroups:
         - ""
       resources:
         - secrets
       resourceNames:
         - etc-pki-entitlement
       verbs:
         - get
         - list
         - watch

   Copy to Clipboard Toggle word wrap

   1

   Role CR の名前。

   RoleBinding オブジェクトの例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: share-etc-pki-entitlement 

   1

   
     namespace: openshift-config-managed
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: share-etc-pki-entitlement
   subjects:
     - kind: ServiceAccount
       name: csi-driver-shared-resource
       namespace: openshift-builds 

   2

   Copy to Clipboard Toggle word wrap

   1

   RoleBinding CR の名前。

   2

   openshift-builds がインストールされている namespace の名前。

4. ビルドが実行される namespace に、builder および pipeline サービスアカウントの RoleBinding オブジェクトを作成します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: use-share-etc-pki-entitlement 

   1

   
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: use-share-etc-pki-entitlement
   subjects:
     - kind: ServiceAccount
       name: pipeline
     - kind: ServiceAccount
       name: builder

   Copy to Clipboard Toggle word wrap

   1

   builder および pipeline サービスアカウントの RoleBinding CR の名前。

   注記

   SharedSecret オブジェクトを使用するサービスアカウントは、OpenShift コントローラーによって作成および管理されます。

5. buildah ビルドストラテジーを使用して SharedSecret オブジェクトをマウントします。以下の例を参照してください。

   $ oc apply -f -<<EOF
   apiVersion: shipwright.io/v1beta1
   kind: Build
   metadata:
     name: buildah-rhel
   spec:
     source:
       type: Git
         git:
         url: https://github.com/redhat-openshift-builds/samples
       contextDir: buildah-build
     strategy:
       name: buildah
       kind: ClusterBuildStrategy
     paramValues:
     - name: dockerfile
       value: DockerFile
     volumes:
     - csi:
         driver: csi.sharedresource.openshift.io
         readOnly: true 

   1

   
         volumeAttributes:
           sharedSecret: <sharedsecret_object_name> 

   2

   
       name: etc-pki-entitlement
     output:
       image: <output_image_location> 

   3

   
   EOF

   Copy to Clipboard Toggle word wrap

   1

   ビルドで共有リソースをマウントするには、readOnly を true に設定する必要があります。

   2

   <sharedsecret_object_name> は、ビルドに含める SharedSecret オブジェクトの名前に置き換えます。

   3

   <output_image_location> は、ビルドしたイメージをプッシュする場所に置き換えます。