2.2. 手動で管理される認証情報を使用するクラスターを更新する準備

手順

1. 次のコマンドを実行して、適用する更新のプル仕様を取得します。

   $ oc adm upgrade

   このコマンドの出力には、次のような利用可能な更新のプル仕様が含まれます。

   部分的な出力例

   ...
   Recommended updates:
   
   VERSION IMAGE
   4.15.0  quay.io/openshift-release-dev/ocp-release@sha256:6a899c54dda6b844bb12a247e324a0f6cde367e880b73ba110c056df6d018032
   ...

2. 次のコマンドを実行して、使用するリリースイメージを $RELEASE_IMAGE 変数に設定します。

   $ RELEASE_IMAGE=<update_pull_spec>

   <update_pull_spec> は、使用するリリースイメージのプル仕様です。以下に例を示します。

   quay.io/openshift-release-dev/ocp-release@sha256:6a899c54dda6b844bb12a247e324a0f6cde367e880b73ba110c056df6d018032

3. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CredentialsRequest カスタムリソース (CR) のリストを抽出します。

   $ oc adm release extract \
     --from=$RELEASE_IMAGE \
     --credentials-requests \
     --included \

   1

   
     --to=<path_to_directory_for_credentials_requests> 

   2

   1

   --included パラメーターには、ターゲットリリースに特定のクラスター設定が必要とするマニフェストのみが含まれます。

   2

   CredentialsRequest オブジェクトを保存するディレクトリーへのパスを指定します。指定したディレクトリーが存在しない場合は、このコマンドによって作成されます。

   このコマンドにより、それぞれの CredentialsRequest オブジェクトに YAML ファイルが作成されます。

4. リリースイメージの各 CredentialsRequest について、spec.secretRef.namespace フィールドのテキストと一致するネームスペースがクラスターに存在することを確認します。このフィールドには、クレデンシャルの設定を保持する生成されたシークレットが保存されます。

   サンプル AWS CredentialsRequest オブジェクト

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: cloud-credential-operator-iam-ro
     namespace: openshift-cloud-credential-operator
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: AWSProviderSpec
       statementEntries:
       - effect: Allow
         action:
         - iam:GetUser
         - iam:GetUserPolicy
         - iam:ListAccessKeys
         resource: "*"
     secretRef:
       name: cloud-credential-operator-iam-ro-creds
       namespace: openshift-cloud-credential-operator 

   1

   1

   このフィールドは、生成されたシークレットを保持するために存在する必要がある namespace を示します。

   他のプラットフォームの CredentialsRequest CR も同様の形式ですが、プラットフォーム固有の異なる値があります。

5. クラスターが spec.secretRef.namespace で指定された名前の namespace をまだ持っていない CredentialsRequest CR には、次のコマンドを実行して namespace を作成します。

   $ oc create namespace <component_namespace>

手順

1. 次のコマンドを実行して、OpenShift Container Platform リリースイメージの変数を設定します。

   $ RELEASE_IMAGE=$(oc get clusterversion -o jsonpath={..desired.image})

2. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CCO コンテナーイメージを取得します。

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)

   注記

   $RELEASE_IMAGE のアーキテクチャーが、ccoctl ツールを使用する環境のアーキテクチャーと一致していることを確認してください。

3. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージ内の CCO コンテナーイメージから ccoctl バイナリーを抽出します。

   $ oc image extract $CCO_IMAGE --file="/usr/bin/ccoctl" -a ~/.pull-secret

4. 次のコマンドを実行して、権限を変更して ccoctl を実行可能にします。

   $ chmod 775 ccoctl

手順

1. ccoctl ツールを使用して、クラウドプロバイダーのコマンドを実行して、すべての CredentialsRequest オブジェクトを処理します。以下のコマンドは CredentialsRequest オブジェクトを処理します。

   例2.1 Amazon Web Services (AWS)

   $ ccoctl aws create-all \

   1

   
     --name=<name> \

   2

   
     --region=<aws_region> \

   3

   
     --credentials-requests-dir=<path_to_credentials_requests_directory> \

   4

   
     --output-dir=<path_to_ccoctl_output_dir> \

   5

   
     --create-private-s3-bucket 

   6

   1

   AWS リソースを個別に作成するには、「カスタマイズを使用した AWS へのクラスターのインストール」コンテンツの「AWS リソースの個別の作成」手順を使用します。このオプションは、AWS リソースを変更する前に ccoctl ツールが作成する JSON ファイルを確認する必要がある場合、または ccoctl ツールが AWS リソースを自動的に作成するために使用するプロセスが組織の要件を満たしていない場合に役立つ可能性があります。

   2

   追跡用に作成されたクラウドリソースにタグを付けるために使用される名前です。

   3

   クラウドリソースが作成される AWS リージョンです。

   4

   コンポーネント CredentialsRequest オブジェクトのファイルを含むディレクトリーを指定します。

   5

   オプション: ccoctl ユーティリティーがオブジェクトを作成するディレクトリーを指定します。デフォルトでは、ユーティリティーは、コマンドが実行されるディレクトリーにオブジェクトを作成します。

   6

   オプション: デフォルトでは、ccoctl ユーティリティーは OpenID Connect (OIDC) 設定ファイルをパブリック S3 バケットに保存し、S3 URL をパブリック OIDC エンドポイントとして使用します。代わりに、パブリック CloudFront ディストリビューション URL を介して IAM アイデンティティープロバイダーがアクセスするプライベート S3 バケットに OIDC 設定を保存するには、--create-private-s3-bucket パラメーターを使用します。

   例2.2 Google Cloud

   $ ccoctl gcp create-all \
     --name=<name> \

   1

   
     --region=<gcp_region> \

   2

   
     --project=<gcp_project_id> \

   3

   
     --credentials-requests-dir=<path_to_credentials_requests_directory> \

   4

   
     --output-dir=<path_to_ccoctl_output_dir> 

   5

   1

   トラッキングに使用される、作成されたすべての Google Cloud リソースのユーザー定義名を指定します。

   2

   クラウドリソースを作成する Google Cloud リージョンを指定します。

   3

   クラウドリソースを作成する Google Cloud プロジェクト ID を指定します。

   4

   Google Cloud サービスアカウントを作成するために、CredentialsRequest マニフェストのファイルを含むディレクトリーを指定します。

   5

   オプション: ccoctl ユーティリティーがオブジェクトを作成するディレクトリーを指定します。デフォルトでは、ユーティリティーは、コマンドが実行されるディレクトリーにオブジェクトを作成します。

   例2.3 IBM Cloud

   $ ccoctl ibmcloud create-service-id \
     --credentials-requests-dir=<path_to_credential_requests_directory> \

   1

   
     --name=<cluster_name> \

   2

   
     --output-dir=<installation_directory> \

   3

   
     --resource-group-name=<resource_group_name> 

   4

   1

   コンポーネント CredentialsRequest オブジェクトのファイルを含むディレクトリーを指定します。

   2

   OpenShift Container Platform クラスターの名前を指定します。

   3

   オプション: ccoctl ユーティリティーがオブジェクトを作成するディレクトリーを指定します。デフォルトでは、ユーティリティーは、コマンドが実行されるディレクトリーにオブジェクトを作成します。

   4

   オプション: アクセスポリシーのスコープに使用されるリソースグループの名前を指定します。

   例2.4 Microsoft Azure

   $ ccoctl azure create-managed-identities \
     --name <azure_infra_name> \

   1

   
     --output-dir ./output_dir \
     --region <azure_region> \

   2

   
     --subscription-id <azure_subscription_id> \

   3

   
     --credentials-requests-dir <path_to_directory_for_credentials_requests> \
     --issuer-url "${OIDC_ISSUER_URL}" \

   4

   
     --dnszone-resource-group-name <azure_dns_zone_resourcegroup_name> \

   5

   
     --installation-resource-group-name "${AZURE_INSTALL_RG}" 

   6

   1

   name パラメーターの値は、Azure リソースグループを作成するために使用します。新しい Azure リソースグループを作成する代わりに既存の Azure リソースグループを使用するには、--oidc-resource-group-name を指定し、その値として既存のグループ名を使用します。

   2

   既存のクラスターのリージョンを指定します。

   3

   既存のクラスターのサブスクリプション ID を指定します。

   4

   既存のクラスターから OIDC 発行者 URL を指定します。この値は、以下のコマンドを実行して取得できます。

   $ oc get authentication cluster \
     -o jsonpath \
     --template='{ .spec.serviceAccountIssuer }'

   5

   DNS ゾーンを含むリソースグループの名前を指定します。

   6

   Azure リソースグループを指定します。この値は、以下のコマンドを実行して取得できます。

   $ oc get infrastructure cluster \
     -o jsonpath \
     --template '{ .status.platformStatus.azure.resourceGroupName }'

   例2.5 Nutanix

   $ ccoctl nutanix create-shared-secrets \
     --credentials-requests-dir=<path_to_credentials_requests_directory> \

   1

   
     --output-dir=<ccoctl_output_dir> \

   2

   
     --credentials-source-filepath=<path_to_credentials_file> 

   3

   1

   コンポーネント CredentialsRequests オブジェクトのファイルを含むディレクトリーへのパスを指定します。

   2

   オプション: ccoctl ユーティリティーがオブジェクトを作成するディレクトリーを指定します。デフォルトでは、ユーティリティーは、コマンドが実行されるディレクトリーにオブジェクトを作成します。

   3

   オプション: 認証情報データ YAML ファイルを含むディレクトリーを指定します。デフォルトでは、ccoctl はこのファイルが <home_directory>/.nutanix/credentials にあると想定します。

   OpenShift Container Platform リリースイメージの各 CredentialsRequest オブジェクトで定義されているとおり、ccoctl は CredentialsRequest オブジェクトごとに必要なプロバイダーリソースと権限ポリシーを作成します。

2. 次のコマンドを実行して、シークレットをクラスターに適用します。

   $ ls <path_to_ccoctl_output_dir>/manifests/*-credentials.yaml | xargs -I{} oc apply -f {}

手順

1. 新しいリリースイメージで追加される CredentialsRequest カスタムリソースのシークレットを含む YAML ファイルを作成します。シークレットは、それぞれの CredentialsRequest オブジェクトに、spec.secretRef に定義される namespace およびシークレット名を使用して保存する必要があります。

   例2.6 サンプル AWS YAML ファイル

   シークレットを含むサンプル AWS CredentialsRequest オブジェクト

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component_credentials_request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: AWSProviderSpec
       statementEntries:
       - effect: Allow
         action:
         - s3:CreateBucket
         - s3:DeleteBucket
         resource: "*"
         ...
     secretRef:
       name: <component_secret>
       namespace: <component_namespace>
     ...

   サンプル AWS Secret オブジェクト

   apiVersion: v1
   kind: Secret
   metadata:
     name: <component_secret>
     namespace: <component_namespace>
   data:
     aws_access_key_id: <base64_encoded_aws_access_key_id>
     aws_secret_access_key: <base64_encoded_aws_secret_access_key>

   例2.7 サンプル Azure YAML ファイル

   注記

   Global Azure と Azure Stack Hub は、同じ CredentialsRequest オブジェクトとシークレット形式を使用します。

   シークレットを含むサンプル Azure CredentialsRequest オブジェクト

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component_credentials_request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: AzureProviderSpec
       roleBindings:
       - role: Contributor
         ...
     secretRef:
       name: <component_secret>
       namespace: <component_namespace>
     ...

   サンプル Azure Secret オブジェクト

   apiVersion: v1
   kind: Secret
   metadata:
     name: <component_secret>
     namespace: <component_namespace>
   data:
     azure_subscription_id: <base64_encoded_azure_subscription_id>
     azure_client_id: <base64_encoded_azure_client_id>
     azure_client_secret: <base64_encoded_azure_client_secret>
     azure_tenant_id: <base64_encoded_azure_tenant_id>
     azure_resource_prefix: <base64_encoded_azure_resource_prefix>
     azure_resourcegroup: <base64_encoded_azure_resourcegroup>
     azure_region: <base64_encoded_azure_region>

   例2.8 サンプル Google Cloud YAML ファイル

   シークレットを含む Google Cloud CredentialsRequest オブジェクトのサンプル

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component_credentials_request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: GCPProviderSpec
         predefinedRoles:
         - roles/iam.securityReviewer
         - roles/iam.roleViewer
         skipServiceCheck: true
         ...
     secretRef:
       name: <component_secret>
       namespace: <component_namespace>
     ...

   サンプル Google Cloud Secret オブジェクト

   apiVersion: v1
   kind: Secret
   metadata:
     name: <component_secret>
     namespace: <component_namespace>
   data:
     service_account.json: <base64_encoded_gcp_service_account_file>

2. シークレットに保存される既存の認証情報の CredentialsRequest カスタムリソースにパーミッション要件を変更した場合は、必要に応じてパーミッションを更新します。

手順

1. cluster-admin ロールを持つユーザーとしてクラスターの oc にログインします。

2. 次のコマンドを実行して CloudCredential リソースを編集し、metadata フィールド内に upgradeable-to アノテーションを追加します。

   $ oc edit cloudcredential cluster

   追加するテキスト

   ...
     metadata:
       annotations:
         cloudcredential.openshift.io/upgradeable-to: <version_number>
   ...

   <version_number> はアップグレード先のバージョンで、形式は x.y.z です。たとえば、OpenShift Container Platform 4.12.2 には 4.12.2 を使用します。

   アノテーションを追加してから、upgradeable のステータスが変更されるまで、数分かかる場合があります。

検証

1. Web コンソールの Administrator パースペクティブで、Administration Cluster Settings に移動します。

2. CCO ステータスの詳細を表示するには、Cluster Operators リストで cloud-credential をクリックします。

   • Conditions セクションの Upgradeable ステータスが False の場合に、upgradeable-to アノテーションに間違いがないことを確認します。
3. Conditions セクションの Upgradeable ステータスが True の場合、OpenShift Container Platform のアップグレードを開始します。