5.12. クラウドプロバイダーの認証情報のローテーションまたは削除

手順

1. Web コンソールの Administrator パースペクティブで、Workloads Secrets に移動します。

2. Secrets ページの表で、クラウドプロバイダーのルートシークレットを見つけます。

   Expand

   プラットフォーム	シークレット名
   AWS	aws-creds
   Azure	azure-credentials
   GCP	gcp-credentials
   RHOSP	openstack-credentials
   RHV	ovirt-credentials
   VMware vSphere	vsphere-creds

   Show more
3. シークレットと同じ行にある Options メニュー をクリックし、Edit Secret を選択します。
4. Value フィールドの内容を記録します。この情報を使用して、認証情報の更新後に値が異なることを確認できます。
5. Value フィールドのテキストをクラウドプロバイダーの新規の認証情報で更新し、Save をクリックします。

6. vSphere CSI Driver Operator が有効になっていない vSphere クラスターの認証情報を更新する場合は、Kubernetes コントローラーマネージャーを強制的にロールアウトして更新された認証情報を適用する必要があります。

   注記

   vSphere CSI Driver Operator が有効になっている場合、この手順は不要です。

   更新された vSphere 認証情報を適用するには、cluster-admin ロールを持つユーザーとして OpenShift Container Platform CLI にログインし、以下のコマンドを実行します。

   $ oc patch kubecontrollermanager cluster \
     -p='{"spec": {"forceRedeploymentReason": "recovery-'"$( date )"'"}}' \
     --type=merge

   Copy to Clipboard Toggle word wrap

   認証情報がロールアウトされている間、Kubernetes Controller Manager Operator のステータスは Progressing=true を報告します。ステータスを表示するには、次のコマンドを実行します。

   $ oc get co kube-controller-manager

   Copy to Clipboard Toggle word wrap

7. クラスターの CCO が mint モードを使用するように設定されている場合、個別の CredentialsRequest オブジェクトによって参照される各コンポーネントシークレットを削除します。

   1. cluster-admin ロールを持つユーザーとして OpenShift Container Platform CLI にログインします。

   2. 参照されたすべてのコンポーネントシークレットの名前および namespace を取得します。

      $ oc -n openshift-cloud-credential-operator get CredentialsRequest \
        -o json | jq -r '.items[] | select (.spec.providerSpec.kind=="<provider_spec>") | .spec.secretRef'

      Copy to Clipboard Toggle word wrap

      ここで、<provider_spec> はクラウドプロバイダーの対応する値になります。

      • AWS: AWSProviderSpec
      • GCP: GCPProviderSpec

      AWS の部分的なサンプル出力

      {
        "name": "ebs-cloud-credentials",
        "namespace": "openshift-cluster-csi-drivers"
      }
      {
        "name": "cloud-credential-operator-iam-ro-creds",
        "namespace": "openshift-cloud-credential-operator"
      }

      Copy to Clipboard Toggle word wrap

   3. 参照されるコンポーネントの各シークレットを削除します。

      $ oc delete secret <secret_name> \

      1

      
        -n <secret_namespace> 

      2

      Copy to Clipboard Toggle word wrap

      1

      シークレットの名前を指定します。

      2

      シークレットを含む namespace を指定します。

      AWS シークレットの削除例

      $ oc delete secret ebs-cloud-credentials -n openshift-cluster-csi-drivers

      Copy to Clipboard Toggle word wrap

      プロバイダーコンソールから認証情報を手動で削除する必要はありません。参照されるコンポーネントのシークレットを削除すると、CCO はプラットフォームから既存の認証情報を削除し、新規の認証情報を作成します。

1. Web コンソールの Administrator パースペクティブで、Workloads Secrets に移動します。
2. Value フィールドの内容が変更されていることを確認します。

手順

1. Web コンソールの Administrator パースペクティブで、Workloads Secrets に移動します。

2. Secrets ページの表で、クラウドプロバイダーのルートシークレットを見つけます。

   Expand

   プラットフォーム	シークレット名
   AWS	aws-creds
   GCP	gcp-credentials

   Show more
3. シークレットと同じ行にある Options メニュー をクリックし、Delete Secret を選択します。