第19章 クラウドプロバイダーの認証情報の管理

手順

1. cluster-admin ロールを持つユーザーとして OpenShift Container Platform Web コンソールにログインします。
2. Administration Cluster Settings に移動します。
3. Cluster Settings ページで、Configuration タブを選択します。
4. Configuration resource で CloudCredential を選択します。
5. CloudCredential details ページで、YAML タブを選択します。

6. YAML ブロックで、spec.credentialsMode の値を確認します。次の値が可能ですが、すべてのプラットフォームですべてがサポートされているわけではありません。

   • '': CCO はデフォルトモードで動作しています。この設定では、CCO は、インストール中に提供されたクレデンシャルに応じて、ミントモードまたはパススルーモードで動作します。
   • Mint: CCO はミントモードで動作しています。
   • Passthrough: CCO はパススルーモードで動作しています。
   • Manual: CCO は手動モードで動作します。
   重要

   spec.credentialsMode が ''、Mint、または Manual である AWS、GCP、またはグローバル Microsoft Azure クラスターの特定の設定を判断するには、さらに調査する必要があります。

   AWS および GCP クラスターは、ルートシークレットが削除されたミントモードの使用をサポートします。

   手動モードを使用する AWS、GCP、またはグローバル Microsoft Azure クラスターは、AWS STS、GCP Workload Identity、または Microsoft Entra Workload ID を使用してクラスターの外部からクラウド認証情報を作成および管理するように設定されている場合があります。クラスター Authentication オブジェクトを調べることで、クラスターがこの戦略を使用しているかどうかを判断できます。

7. デフォルト ('') のみを使用する AWS または GCP クラスター: クラスターがミントモードまたはパススルーモードで動作しているかどうかを判断するには、クラスタールートシークレットのアノテーションを調べます。

   1. Workloads Secrets に移動し、クラウドプロバイダーのルートシークレットを探します。

      注記

      Project ドロップダウンが All Projects に設定されていることを確認します。

      プラットフォーム	シークレット名
      AWS	aws-creds
      GCP	gcp-credentials

   2. クラスターが使用している CCO モードを表示するには、Annotations で 1 annotation をクリックし、value フィールドを確認します。以下の値が可能です。

      • Mint: CCO はミントモードで動作しています。
      • Passthrough: CCO はパススルーモードで動作しています。

      クラスターが mint モードを使用している場合、クラスターがルートシークレットなしで動作しているかどうかを判断することもできます。

8. mint モードのみを使用する AWS または GCP クラスター: クラスターがルートシークレットなしで動作しているかどうかを判断するには、Workloads Secrets に移動し、クラウドプロバイダーのルートシークレットを探します。

   注記

   Project ドロップダウンが All Projects に設定されていることを確認します。

   プラットフォーム	シークレット名
   AWS	aws-creds
   GCP	gcp-credentials

   • これらの値のいずれかが表示される場合、クラスターはルートシークレットが存在するミントモードまたはパススルーモードを使用しています。
   • これらの値が表示されない場合、クラスターはルートシークレットが削除されたミントモードで CCO を使用しています。

9. 手動モードのみを使用する AWS、GCP、または global Microsoft Azure クラスター: クラスターがクラスターの外部からクラウド認証情報を作成および管理するように設定されているかどうかを判断するには、クラスター Authentication オブジェクトの YAML 値を確認する必要があります。

   1. Administration Cluster Settings に移動します。
   2. Cluster Settings ページで、Configuration タブを選択します。
   3. Configuration resource で Authentication を選択します。
   4. Authentication details ページで、YAML タブを選択します。

   5. YAML ブロックで、.spec.serviceAccountIssuer パラメーターの値を確認します。

      • クラウドプロバイダーに関連付けられた URL が含まれる値は、CCO がコンポーネントの短期認証情報を使用して手動モードを使用していることを示します。このクラスターは、クラスターの外からクラウド認証情報を作成および管理するためにccoctl ユーティリティーを使用して設定されています。
      • 空の値 ('') は、クラスターが手動モードで CCO を使用しているが、ccoctl ユーティリティーを使用して設定されていないことを示します。

手順

1. cluster-admin ロールを持つユーザーとしてクラスターの oc にログインします。

2. CCO が使用するように設定されているモードを確認するには、次のコマンドを入力します。

   $ oc get cloudcredentials cluster \
     -o=jsonpath={.spec.credentialsMode}

   すべてのプラットフォームですべてがサポートされているわけではありませんが、次の出力値が可能です。

   • '': CCO はデフォルトモードで動作しています。この設定では、CCO は、インストール中に提供されたクレデンシャルに応じて、ミントモードまたはパススルーモードで動作します。
   • Mint: CCO はミントモードで動作しています。
   • Passthrough: CCO はパススルーモードで動作しています。
   • Manual: CCO は手動モードで動作します。
   重要

   spec.credentialsMode が ''、Mint、または Manual である AWS、GCP、またはグローバル Microsoft Azure クラスターの特定の設定を判断するには、さらに調査する必要があります。

   AWS および GCP クラスターは、ルートシークレットが削除されたミントモードの使用をサポートします。

   手動モードを使用する AWS、GCP、またはグローバル Microsoft Azure クラスターは、AWS STS、GCP Workload Identity、または Microsoft Entra Workload ID を使用してクラスターの外部からクラウド認証情報を作成および管理するように設定されている場合があります。クラスター Authentication オブジェクトを調べることで、クラスターがこの戦略を使用しているかどうかを判断できます。

3. デフォルト ('') のみを使用する AWS または GCP クラスター: クラスターがミントモードまたはパススルーモードで動作しているかどうかを判断するには、次のコマンドを実行します。

   $ oc get secret <secret_name> \
     -n kube-system \
     -o jsonpath \
     --template '{ .metadata.annotations }'

   <secret_name> は、AWS の場合は aws-creds、GCP の場合は gcp-credentials です。

   このコマンドは、クラスタールートシークレットオブジェクトの .metadata.annotations パラメーターの値を表示します。以下の出力値を使用できます。

   • Mint: CCO はミントモードで動作しています。
   • Passthrough: CCO はパススルーモードで動作しています。

   クラスターが mint モードを使用している場合、クラスターがルートシークレットなしで動作しているかどうかを判断することもできます。

4. mint モードのみを使用する AWS または GCP クラスター: クラスターがルートシークレットなしで動作しているかどうかを判断するには、次のコマンドを実行します。

   $ oc get secret <secret_name> \
     -n=kube-system

   <secret_name> は、AWS の場合は aws-creds、GCP の場合は gcp-credentials です。

   ルートシークレットが存在する場合、このコマンドの出力はシークレットに関する情報を返します。エラーは、ルートシークレットがクラスターに存在しないことを示します。

5. 手動モードのみを使用する AWS、GCP、またはグローバル Microsoft Azure クラスター: クラスターの外部からクラウド認証情報を作成および管理するようにクラスターが設定されているかどうかを確認するには、次のコマンドを実行します。

   $ oc get authentication cluster \
     -o jsonpath \
     --template='{ .spec.serviceAccountIssuer }'

   このコマンドは、クラスター Authentication オブジェクトの .spec.serviceAccountIssuer パラメーターの値を表示します。

   • クラウドプロバイダーに関連付けられた URL の出力は、CCO がコンポーネントの短期認証情報を使用して手動モードを使用していることを示します。このクラスターは、クラスターの外からクラウド認証情報を作成および管理するためにccoctl ユーティリティーを使用して設定されています。
   • 空の出力は、クラスターが手動モードで CCO を使用しているが、ccoctl ユーティリティーを使用して設定されていないことを示します。