19.6. GCP ワークロード ID で手動モードを使用する

手順

1. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージを取得します。

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

   Copy to Clipboard Toggle word wrap

2. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CCO コンテナーイメージを取得します。

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)

   Copy to Clipboard Toggle word wrap
   注記

   $RELEASE_IMAGE のアーキテクチャーが、ccoctl ツールを使用する環境のアーキテクチャーと一致していることを確認してください。

3. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージ内の CCO コンテナーイメージから ccoctl バイナリーを抽出します。

   $ oc image extract $CCO_IMAGE --file="/usr/bin/ccoctl" -a ~/.pull-secret

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行して、権限を変更して ccoctl を実行可能にします。

   $ chmod 775 ccoctl

   Copy to Clipboard Toggle word wrap

手順

1. 以下のコマンドを実行して、$RELEASE_IMAGE 変数を設定します。

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

   Copy to Clipboard Toggle word wrap

2. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CredentialsRequest オブジェクトのリストを抽出します。

   $ oc adm release extract \
     --from=$RELEASE_IMAGE \
     --credentials-requests \
     --cloud=gcp \
     --to=<path_to_directory_with_list_of_credentials_requests>/credrequests 

   1

   Copy to Clipboard Toggle word wrap

   1

   credrequests は、CredentialsRequest オブジェクトのリストが格納されるディレクトリーです。ディレクトリーが存在しない場合、このコマンドはディレクトリーを作成します。

   注記

   このコマンドの実行には少し時間がかかる場合があります。

3. クラスターでクラスター機能を使用して 1 つ以上のオプションコンポーネントを無効にする場合は、無効なコンポーネントの CredentialsRequest カスタムリソースを削除します。

   Google Cloud 上の OpenShift Container Platform 4.13 の credrequests ディレクトリーの内容の例

   0000_26_cloud-controller-manager-operator_16_credentialsrequest-gcp.yaml 

   1

   
   0000_30_cluster-api_00_credentials-request.yaml 

   2

   
   0000_30_machine-api-operator_00_credentials-request.yaml 

   3

   
   0000_50_cloud-credential-operator_05-gcp-ro-credentialsrequest.yaml 

   4

   
   0000_50_cluster-image-registry-operator_01-registry-credentials-request-gcs.yaml 

   5

   
   0000_50_cluster-ingress-operator_00-ingress-credentials-request.yaml 

   6

   
   0000_50_cluster-network-operator_02-cncc-credentials.yaml 

   7

   
   0000_50_cluster-storage-operator_03_credentials_request_gcp.yaml 

   8

   Copy to Clipboard Toggle word wrap

   1

   Cloud Controller Manager Operator CR が必要です。

   2

   TechPreviewNoUpgrade 機能セットを使用するクラスターの場合、Cluster API Operator CR が必要です。

   3

   Machine API Operator CR が必要です。

   4

   Cloud Credential Operator CR が必要です。

   5

   Image Registry Operator CR が必要です。

   6

   Ingress Operator CR が必要です。

   7

   Network Operator CR が必要です。

   8

   Storage Operator CR はオプションのコンポーネントであり、クラスターで無効になっている場合があります。

4. ccoctl ツールを使用して、credrequests ディレクトリーですべての CredentialsRequest オブジェクトを処理します。

   $ ccoctl gcp create-all \
     --name=<name> \
     --region=<gcp_region> \
     --project=<gcp_project_id> \
     --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests

   Copy to Clipboard Toggle word wrap

   ここでは、以下のようになります。

   • & lt;name& gt; は、追跡に使用される、作成されたすべての Google Cloud リソースのユーザー定義名です。
   • クラウドリソース が作成される Google Cloud リージョンです。
   • クラウドリソース が作成される Google Cloud プロジェクト ID です。
   • <path_to_directory_with_list_of_credentials_requests>/credrequests は、Google Cloud サービスアカウントを作成するための CredentialsRequest マニフェストのファイルを含むディレクトリーです。
   注記

   クラスターで TechPreviewNoUpgrade 機能セットによって有効化されたテクノロジープレビュー機能を使用している場合は、--enable-tech-preview パラメーターを含める必要があります。

手順

1. インストールプログラムが含まれるディレクトリーに切り替え、install-config.yaml ファイルを作成します。

   $ openshift-install create install-config --dir <installation_directory>

   Copy to Clipboard Toggle word wrap

   ここで、<installation_directory> は、インストールプログラムがファイルを作成するディレクトリーに置き換えます。

2. install-config.yaml 設定ファイルを編集し、credentialsMode パラメーターが Manual に設定されるようにします。

   サンプル install-config.yaml 設定ファイル

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 

   1

   
   compute:
   - architecture: amd64
     hyperthreading: Enabled

   Copy to Clipboard Toggle word wrap

   1

   この行は、credentialsMode パラメーターを Manual に設定するために追加されます。

3. 必要な OpenShift Container Platform インストールマニフェストを作成します。

   $ openshift-install create manifests

   Copy to Clipboard Toggle word wrap

4. ccoctl によって生成されたマニフェストを、インストールプログラムが作成した manifests ディレクトリーにコピーします。

   $ cp /<path_to_ccoctl_output_dir>/manifests/* ./manifests/

   Copy to Clipboard Toggle word wrap

5. ccoctl が tls ディレクトリーに生成したプライベートキーをインストールディレクトリーにコピーします。

   $ cp -a /<path_to_ccoctl_output_dir>/tls .

   Copy to Clipboard Toggle word wrap

6. OpenShift Container Platform インストーラーを実行します。

   $ ./openshift-install create cluster

   Copy to Clipboard Toggle word wrap

1. OpenShift Container Platform クラスターに接続します。

2. クラスターに root 認証情報がないことを確認します。

   $ oc get secrets -n kube-system gcp-credentials

   Copy to Clipboard Toggle word wrap

   出力は以下のようになります。

   Error from server (NotFound): secrets "gcp-credentials" not found

   Copy to Clipboard Toggle word wrap

3. コンポーネントが、CCO によって作成される認証情報を使用するのではなく、シークレットマニフェストで指定されたサービスアカウントを持つことを確認します。

   Image Registry Operator を使用したコマンドの例

   $ oc get secrets -n openshift-image-registry installer-cloud-credentials -o json | jq -r '.data."service_account.json"' | base64 -d

   Copy to Clipboard Toggle word wrap

   出力には、コンポーネントによって使用されるロールおよび Web アイデンティティートークンが表示され、以下のように表示されるはずです。

   Image Registry Operator を使用した出力例

   {
      "type": "external_account", 

   1

   
      "audience": "//iam.googleapis.com/projects/123456789/locations/global/workloadIdentityPools/test-pool/providers/test-provider",
      "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
      "token_url": "https://sts.googleapis.com/v1/token",
      "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/<client-email-address>:generateAccessToken", 

   2

   
      "credential_source": {
         "file": "/var/run/secrets/openshift/serviceaccount/token",
         "format": {
            "type": "text"
         }
      }
   }

   Copy to Clipboard Toggle word wrap

   1

   クレデンシャルの種類はexternal_accountです。

   2

   Image Registry Operator が使用するサービスアカウントのリソース URL。