7.10. IBM Cloud VPC 用の IAM を手動で作成する

手順

1. install-config.yaml 設定ファイルを編集し、credentialsMode パラメーターが Manual に設定されるようにします。

   サンプル install-config.yaml 設定ファイル

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 

   1

   
   compute:
   - architecture: amd64
     hyperthreading: Enabled

   Copy to Clipboard Toggle word wrap

   1

   この行は、credentialsMode パラメーターを Manual に設定するために追加されます。

2. マニフェストを生成するには、インストールプログラムが含まれるディレクトリーから以下のコマンドを実行します。

   $ openshift-install create manifests --dir <installation_directory>

   Copy to Clipboard Toggle word wrap

3. インストールプログラムが含まれているディレクトリーから、openshift-install バイナリーが使用するようにビルドされている OpenShift Container Platform リリースイメージを取得します。

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

   Copy to Clipboard Toggle word wrap

4. OpenShift Container Platform リリースイメージから CredentialsRequest オブジェクトを抽出します。

   $ oc adm release extract --cloud=ibmcloud --credentials-requests $RELEASE_IMAGE \
       --to=<path_to_credential_requests_directory> 

   1

   Copy to Clipboard Toggle word wrap

   1

   認証情報の要求が保存されるディレクトリー。

   このコマンドにより、それぞれの CredentialsRequest オブジェクトに YAML ファイルが作成されます。

   サンプル CredentialsRequest オブジェクト

     apiVersion: cloudcredential.openshift.io/v1
     kind: CredentialsRequest
     metadata:
       labels:
         controller-tools.k8s.io: "1.0"
       name: openshift-image-registry-ibmcos
       namespace: openshift-cloud-credential-operator
     spec:
       secretRef:
         name: installer-cloud-credentials
         namespace: openshift-image-registry
       providerSpec:
         apiVersion: cloudcredential.openshift.io/v1
         kind: IBMCloudProviderSpec
         policies:
         - attributes:
           - name: serviceName
             value: cloud-object-storage
           roles:
           - crn:v1:bluemix:public:iam::::role:Viewer
           - crn:v1:bluemix:public:iam::::role:Operator
           - crn:v1:bluemix:public:iam::::role:Editor
           - crn:v1:bluemix:public:iam::::serviceRole:Reader
           - crn:v1:bluemix:public:iam::::serviceRole:Writer
         - attributes:
           - name: resourceType
             value: resource-group
           roles:
           - crn:v1:bluemix:public:iam::::role:Viewer

   Copy to Clipboard Toggle word wrap

5. クラスターでクラスター機能を使用して 1 つ以上のオプションコンポーネントを無効にする場合は、無効なコンポーネントの CredentialsRequest カスタムリソースを削除します。

   IBM Cloud VPC 上の OpenShift Container Platform 4.12 の credrequests ディレクトリーの内容の例

   0000_26_cloud-controller-manager-operator_15_credentialsrequest-ibm.yaml 

   1

   
   0000_30_machine-api-operator_00_credentials-request.yaml 

   2

   
   0000_50_cluster-image-registry-operator_01-registry-credentials-request-ibmcos.yaml 

   3

   
   0000_50_cluster-ingress-operator_00-ingress-credentials-request.yaml 

   4

   
   0000_50_cluster-storage-operator_03_credentials_request_ibm.yaml 

   5

   Copy to Clipboard Toggle word wrap

   1

   Cloud Controller Manager Operator CR が必要です。

   2

   Machine API Operator CR が必要です。

   3

   Image Registry Operator CR が必要です。

   4

   Ingress Operator CR が必要です。

   5

   Storage Operator CR はオプションのコンポーネントであり、クラスターで無効になっている場合があります。

6. 各認証情報要求のサービス ID を作成し、定義されたポリシーを割り当て、IBM Cloud VPC で API キーを作成し、シークレットを生成します。

   $ ccoctl ibmcloud create-service-id \
       --credentials-requests-dir <path_to_credential_requests_directory> \ 

   1

   
       --name <cluster_name> \ 

   2

   
       --output-dir <installation_directory> \
       --resource-group-name <resource_group_name> 

   3

   Copy to Clipboard Toggle word wrap

   1

   認証情報の要求が保存されるディレクトリー。

   2

   OpenShift Container Platform クラスターの名前。

   3

   オプション: アクセスポリシーのスコープに使用されるリソースグループの名前。

   注記

   クラスターで TechPreviewNoUpgrade 機能セットによって有効化されたテクノロジープレビュー機能を使用している場合は、--enable-tech-preview パラメーターを含める必要があります。

   間違ったリソースグループ名が指定された場合、ブートストラップフェーズ中にインストールが失敗します。正しいリソースグループ名を見つけるには、次のコマンドを実行します。

   $ grep resourceGroupName <installation_directory>/manifests/cluster-infrastructure-02-config.yml

   Copy to Clipboard Toggle word wrap