第7章 手動で維持された認証情報でクラスターを更新する準備

手順

1. cluster-admin ロールを持つユーザーとして OpenShift Container Platform Web コンソールにログインします。
2. Administration Cluster Settings に移動します。
3. Cluster Settings ページで、Configuration タブを選択します。
4. Configuration resource で CloudCredential を選択します。
5. CloudCredential details ページで、YAML タブを選択します。

6. YAML ブロックで、spec.credentialsMode の値を確認します。次の値が可能ですが、すべてのプラットフォームですべてがサポートされているわけではありません。

   • '': CCO はデフォルトモードで動作しています。この設定では、CCO は、インストール中に提供されたクレデンシャルに応じて、ミントモードまたはパススルーモードで動作します。
   • Mint: CCO はミントモードで動作しています。
   • Passthrough: CCO はパススルーモードで動作しています。
   • Manual: CCO は手動モードで動作します。
   重要

   spec.credentialsMode が ''、Mint、または Manual である AWS または GCP クラスターの特定の設定を特定するには、さらに調査する必要があります。

   AWS および GCP クラスターは、ルートシークレットが削除されたミントモードの使用をサポートします。クラスターが、mint モードを使用するように設定されている場合や、デフォルトで mint モードを使用するように設定されている場合、更新前に root シークレットがクラスターに存在するか確認する必要があります。

   手動モードを使用する AWS または GCP クラスターは、AWS Security Token Service (STS) または GCP Workload Identity を使用して、クラスターの外部からクラウド認証情報を作成および管理するように設定されている場合があります。クラスター Authentication オブジェクトを調べることで、クラスターがこの戦略を使用しているかどうかを判断できます。

7. mint モードのみを使用する AWS または GCP クラスター: クラスターがルートシークレットなしで動作しているかどうかを判断するには、Workloads Secrets に移動し、クラウドプロバイダーのルートシークレットを探します。

   注記

   Project ドロップダウンが All Projects に設定されていることを確認します。

   プラットフォーム	シークレット名
   AWS	aws-creds
   GCP	gcp-credentials

   • これらの値のいずれかが表示される場合、クラスターはルートシークレットが存在するミントモードまたはパススルーモードを使用しています。
   • これらの値が表示されない場合、クラスターはルートシークレットが削除されたミントモードで CCO を使用しています。

8. 手動モードのみを使用する AWS または GCP クラスター: クラスターがクラスターの外部からクラウド認証情報を作成および管理するように設定されているかどうかを判断するには、クラスター Authentication オブジェクトの YAML 値を確認する必要があります。

   1. Administration Cluster Settings に移動します。
   2. Cluster Settings ページで、Configuration タブを選択します。
   3. Configuration resource で Authentication を選択します。
   4. Authentication details ページで、YAML タブを選択します。

   5. YAML ブロックで、.spec.serviceAccountIssuer パラメーターの値を確認します。

      • クラウドプロバイダーに関連付けられている URL を含む値は、CCO が AWS STS または GCP Workload Identity で手動モードを使用して、クラスターの外部からクラウド認証情報を作成および管理していることを示します。これらのクラスターは、ccoctl ユーティリティーを使用して設定されます。
      • 空の値 ('') は、クラスターが手動モードで CCO を使用しているが、ccoctl ユーティリティーを使用して設定されていないことを示します。

手順

1. cluster-admin ロールを持つユーザーとしてクラスターの oc にログインします。

2. CCO が使用するように設定されているモードを確認するには、次のコマンドを入力します。

   $ oc get cloudcredentials cluster \
     -o=jsonpath={.spec.credentialsMode}

   すべてのプラットフォームですべてがサポートされているわけではありませんが、次の出力値が可能です。

   • '': CCO はデフォルトモードで動作しています。この設定では、CCO は、インストール中に提供されたクレデンシャルに応じて、ミントモードまたはパススルーモードで動作します。
   • Mint: CCO はミントモードで動作しています。
   • Passthrough: CCO はパススルーモードで動作しています。
   • Manual: CCO は手動モードで動作します。
   重要

   spec.credentialsMode が ''、Mint、または Manual である AWS または GCP クラスターの特定の設定を特定するには、さらに調査する必要があります。

   AWS および GCP クラスターは、ルートシークレットが削除されたミントモードの使用をサポートします。クラスターが、mint モードを使用するように設定されている場合や、デフォルトで mint モードを使用するように設定されている場合、更新前に root シークレットがクラスターに存在するか確認する必要があります。

   手動モードを使用する AWS または GCP クラスターは、AWS Security Token Service (STS) または GCP Workload Identity を使用して、クラスターの外部からクラウド認証情報を作成および管理するように設定されている場合があります。クラスター Authentication オブジェクトを調べることで、クラスターがこの戦略を使用しているかどうかを判断できます。

3. mint モードのみを使用する AWS または GCP クラスター: クラスターがルートシークレットなしで動作しているかどうかを判断するには、次のコマンドを実行します。

   $ oc get secret <secret_name> \
     -n=kube-system

   <secret_name> は、AWS の場合は aws-creds、GCP の場合は gcp-credentials です。

   ルートシークレットが存在する場合、このコマンドの出力はシークレットに関する情報を返します。エラーは、ルートシークレットがクラスターに存在しないことを示します。

4. 手動モードのみを使用する AWS または GCP クラスター: クラスターがクラスターの外部からクラウド認証情報を作成および管理するように設定されているかどうかを確認するには、次のコマンドを実行します。

   $ oc get authentication cluster \
     -o jsonpath \
     --template='{ .spec.serviceAccountIssuer }'

   このコマンドは、クラスター Authentication オブジェクトの .spec.serviceAccountIssuer パラメーターの値を表示します。

   • クラウドプロバイダーに関連付けられている URL の出力は、CCO が AWS STS または GCP Workload Identity で手動モードを使用して、クラスターの外部からクラウド認証情報を作成および管理していることを示しています。これらのクラスターは、ccoctl ユーティリティーを使用して設定されます。
   • 空の出力は、クラスターが手動モードで CCO を使用しているが、ccoctl ユーティリティーを使用して設定されていないことを示します。