第1章 Shared Resource CSI Driver

手順

1. 次の設定例を使用して、Shared Resource CSI Driver に SharedSecret オブジェクトへのアクセス権を付与する Role オブジェクトと RoleBinding オブジェクトを作成します。

   Role オブジェクトの例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: share-etc-pki-entitlement
     namespace: openshift-config-managed
   rules:
     - apiGroups:
         - ""
       resources:
         - secrets
       resourceNames:
         - etc-pki-entitlement
       verbs:
         - get
         - list
         - watch

   • metadata.name は、ロール CR の名前を定義します。

   RoleBinding オブジェクトの例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: share-etc-pki-entitlement
     namespace: openshift-config-managed
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: share-etc-pki-entitlement
   subjects:
     - kind: ServiceAccount
       name: csi-driver-shared-resource
       namespace: openshift-builds

   • metadata.name は、RoleBinding CR の名前を定義します。
   • roleRef.name は、ロール CR の名前を定義します。
   • subjects.name は、ServiceAccount CR の名前を定義します。

2. 次の設定例を使用して、SharedSecret CR を作成します。

   apiVersion: sharedresource.openshift.io/v1alpha1
   kind: SharedSecret
   metadata:
     name: shared-test-secret
   spec:
     secretRef:
       name: test-secret
       namespace: openshift-config-managed

   • spec.secretRef.namespace は、SharedSecret CR の名前を定義します。

3. 次の設定例を使用して、参照される共有リソースを使用するための RBAC 権限を付与する ClusterRole オブジェクトを作成します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: use-shared-test-secret
   rules:
     - apiGroups:
         - sharedresource.openshift.io
       resources:
         - sharedsecrets
       resourceNames:
         - shared-test-secret
       verbs:
         - use

   • metadata.name はClusterRole CR の名前を定義します。

検証

1. 必要な ロール が作成されていることを確認するには、次のコマンドを実行してください。

   $ oc get role share-etc-pki-entitlement -n openshift-config-managed

   出力例

   NAME                        CREATED AT
   share-etc-pki-entitlement   2025-11-19T12:05:32Z

2. 必要な RoleBinding が作成されていることを確認するには、次のコマンドを実行してください。

   $ oc get rolebinding share-etc-pki-entitlement -n openshift-config-managed

   出力例

   NAME                        ROLE                             AGE
   share-etc-pki-entitlement   Role/share-etc-pki-entitlement   2m

3. 必要な ClusterRole が作成されていることを確認するには、次のコマンドを実行してください。

   $ oc get clusterrole use-shared-test-secret

   出力例

   NAME                     CREATED AT
   use-shared-test-secret   2025-11-19T12:05:44Z

手順

1. ロールに関連付けられた RoleBinding オブジェクトをクラスター内に作成し、共有リソースを使用する権限をサービスアカウントに付与します。次の設定例を参照してください。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: use-shared-secret
     namespace: app-namespace
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: use-shared-secret
   subjects:
     - kind: ServiceAccount
       name: <service_account_name>

   各項目の説明:

   metadata.name

   RoleBinding CR の名前を定義します。

   < サービスアカウント名 >

   アプリケーションのサービスアカウント名を指定します。

2. 共有リソース csi ドライバーを、csi ボリュームを受け入れる Pod またはその他のリソースにマウントします。次の設定例を参照してください。

   apiVersion: v1
   kind: Pod
   metadata:
     name: example-shared-secret
     namespace: <app_namespace>
   spec:
     ...
     serviceAccountName: default
     volumes:
       - name: shared-secret
         csi:
           readOnly: true
           driver: csi.sharedresource.openshift.io
           volumeAttributes:
             sharedSecret: shared-test-secret

   各項目の説明:

   <app_namespace>

   アプリケーションの名前空間の名前を指定します。

   volumes.volumeAttributes.sharedSecret

   sharedSecret 属性の値を定義します。この値は、SharedSecret CR の名前と同じである必要があります。

   重要

   Pod が起動に失敗するケースは以下のとおりです。

   • sharedSecret 属性の値が SharedSecret インスタンスの名前と一致しません。
   • ボリュームは定義されているがマウントされていないため、Pod は ContainerCreating 状態のままになり、最終的に失敗します。

検証

1. 以下のコマンドを実行して、サービスアカウントに付与されている権限を確認してください。

   $ oc describe rolebinding share-etc-pki-entitlement -n openshift-config-managed

   出力例:

   Name:         share-etc-pki-entitlement
   Labels:       <none>
   Annotations:  <none>
   Role:
     Kind:  Role
     Name:  share-etc-pki-entitlement
   Subjects:
     Kind            Name                        Namespace
     ----            ----                        ---------
     ServiceAccount  csi-driver-shared-resource  openshift-builds