10.10. インストール後のユーザー管理の暗号化の最終処理

手順

1. インストーラーが使用するクラスターリソースグループの ID を取得します。

   1. install-config.yaml で既存のリソースグループを指定した場合は、次のコマンドを実行してその Azure ID を取得します。

      $ az identity list --resource-group "<existing_resource_group>"

   2. install-config.yaml で既存のリソースグループを指定しなかった場合は、インストーラーが作成したリソースグループを見つけ、次のコマンドを実行してその Azure ID を取得します。

      $ az group list

      $ az identity list --resource-group "<installer_created_resource_group>"

2. 次のコマンドを実行して、クラスターリソースグループにロールの割り当てを付与し、ディスク暗号化セットに書き込みできるようにします。

   $ az role assignment create --role "<privileged_role>" \1
       --assignee "<resource_group_identity>" 2

   1

   ディスク暗号化セットに対する読み取り/書き込みアクセス許可を持つ Azure ロールを指定します。必要なアクセス許可を持つ 所有者 ロールまたはカスタムロールを使用できます。

   2

   クラスターリソースグループの ID を指定します。

3. 次のコマンドを実行して、インストール前に作成したディスク暗号化セットの ID を取得します。

   $ az disk-encryption-set show -n <disk_encryption_set_name> \1
        --resource-group <resource_group_name> 2

   1

   ディスク暗号化セットの名前を指定します。

   2

   ディスク暗号化セットを含むリソースグループを指定します。ID は "/subscriptions/…/resourceGroups/…/providers/Microsoft.Compute/diskEncryptionSets/…" の形式です。

4. 次のコマンドを実行して、クラスターサービスプリンシパルの ID を取得します。

   $ az identity show -g <cluster_resource_group> \1
        -n <cluster_service_principal_name> \2
        --query principalId --out tsv

   1

   インストールプログラムによって作成されるクラスターリソースグループの名前を指定します。

   2

   インストールプログラムによって作成されたクラスターサービスプリンシパルの名前を指定します。ID は 12345678-1234-1234-1234-1234567890 の形式です。

5. 次のコマンドを実行して、クラスターサービスプリンシパル Contributor 特権をディスク暗号化セットに付与するロールの割り当てを作成します。

   $ az role assignment create --assignee <cluster_service_principal_id> \1
        --role 'Contributor' \//
        --scope <disk_encryption_set_id> \2

   1

   前の手順で取得したクラスターサービスプリンシパルの ID を指定します。

   2

   ディスク暗号化セットの ID を指定します。

6. ユーザー管理のディスク暗号化セットを使用するストレージクラスを作成します。

   1. 次のストレージクラス定義を storage-class-definition.yaml などのファイルに保存します。

      kind: StorageClass
      apiVersion: storage.k8s.io/v1
      metadata:
        name: managed-premium
      provisioner: kubernetes.io/azure-disk
      parameters:
        skuname: Premium_LRS
        kind: Managed
        diskEncryptionSetID: "<disk_encryption_set_ID>" 1
        resourceGroup: "<resource_group_name>" 2
      reclaimPolicy: Delete
      allowVolumeExpansion: true
      volumeBindingMode: WaitForFirstConsumer

      1

      前提条件の手順で作成したディスク暗号化セットの ID を指定します (例: "/subscriptions/xxxxxx-xxxxx-xxxxx/resourceGroups/test-encryption/providers/Microsoft.Compute/diskEncryptionSets/disk-encryption-set-xxxxxx")。

      2

      インストーラーが使用するリソースグループの名前を指定します。これは、最初の手順と同じリソースグループです。

   2. 次のコマンドを実行して、作成したファイルからストレージクラス managed-premium を作成します。

      $ oc create -f storage-class-definition.yaml

7. 暗号化されたストレージを使用する永続ボリュームを作成する場合は、managed-premium ストレージクラスを選択します。