9.9. インストール後のユーザー管理の暗号化の最終処理

手順

1. インストーラーが使用するクラスターリソースグループの ID を取得します。

   1. install-config.yaml で既存のリソースグループを指定した場合は、次のコマンドを実行してその Azure ID を取得します。

      $ az identity list --resource-group "<existing_resource_group>"

   2. install-config.yaml で既存のリソースグループを指定しなかった場合は、インストーラーが作成したリソースグループを見つけ、次のコマンドを実行してその Azure ID を取得します。

      $ az group list

      $ az identity list --resource-group "<installer_created_resource_group>"

2. 次のコマンドを実行して、クラスターリソースグループにロールの割り当てを付与し、ディスク暗号化セットに書き込みできるようにします。

   $ az role assignment create --role "<privileged_role>" \1
       --assignee "<resource_group_identity>" 2

   1

   ディスク暗号化セットに対する読み取り/書き込みアクセス許可を持つ Azure ロールを指定します。必要なアクセス許可を持つ 所有者 ロールまたはカスタムロールを使用できます。

   2

   クラスターリソースグループの ID を指定します。

3. 次のコマンドを実行して、インストール前に作成したディスク暗号化セットの ID を取得します。

   $ az disk-encryption-set show -n <disk_encryption_set_name> \1
        --resource-group <resource_group_name> 2

   1

   ディスク暗号化セットの名前を指定します。

   2

   ディスク暗号化セットを含むリソースグループを指定します。ID は "/subscriptions/…/resourceGroups/…/providers/Microsoft.Compute/diskEncryptionSets/…" の形式です。

4. 次のコマンドを実行して、クラスターサービスプリンシパルの ID を取得します。

   $ az identity show -g <cluster_resource_group> \1
        -n <cluster_service_principal_name> \2
        --query principalId --out tsv

   1

   インストールプログラムによって作成されるクラスターリソースグループの名前を指定します。

   2

   インストールプログラムによって作成されたクラスターサービスプリンシパルの名前を指定します。ID は 12345678-1234-1234-1234-1234567890 の形式です。

5. 次のコマンドを実行して、クラスターサービスプリンシパルに必要な特権をディスク暗号化セットに付与するロールの割り当てを作成します。

   $ az role assignment create --assignee <cluster_service_principal_id> \1
        --role <privileged_role> \2
        --scope <disk_encryption_set_id> \3

   1

   前の手順で取得したクラスターサービスプリンシパルの ID を指定します。

   2

   Azure ロール名を指定します。Contributor ロールまたは必要なアクセス許可を持つカスタムロールを使用できます。

   3

   ディスク暗号化セットの ID を指定します。

6. ユーザー管理のディスク暗号化セットを使用するストレージクラスを作成します。

   1. 次のストレージクラス定義を storage-class-definition.yaml などのファイルに保存します。

      kind: StorageClass
      apiVersion: storage.k8s.io/v1
      metadata:
        name: managed-premium
      provisioner: kubernetes.io/azure-disk
      parameters:
        skuname: Premium_LRS
        kind: Managed
        diskEncryptionSetID: "<disk_encryption_set_ID>" 1
        resourceGroup: "<resource_group_name>" 2
      reclaimPolicy: Delete
      allowVolumeExpansion: true
      volumeBindingMode: WaitForFirstConsumer

      1

      前提条件の手順で作成したディスク暗号化セットの ID を指定します (例: "/subscriptions/xxxxxx-xxxxx-xxxxx/resourceGroups/test-encryption/providers/Microsoft.Compute/diskEncryptionSets/disk-encryption-set-xxxxxx")。

      2

      インストーラーが使用するリソースグループの名前を指定します。これは、最初の手順と同じリソースグループです。

   2. 次のコマンドを実行して、作成したファイルからストレージクラス managed-premium を作成します。

      $ oc create -f storage-class-definition.yaml

7. 暗号化されたストレージを使用する永続ボリュームを作成する場合は、managed-premium ストレージクラスを選択します。