26.4. クラスターが短期認証情報を使用していることを確認する

前提条件

• Cloud Credential Operator ユーティリティー (ccoctl) を使用して OpenShift Container Platform クラスターをデプロイし、短期認証情報を実装しました。
• OpenShift CLI (oc) がインストールされている。
• cluster-admin 権限を持つユーザーとしてログインしている。

手順

• 次のコマンドを実行して、CCO が手動モードで動作するように設定されていることを確認します。

  $ oc get cloudcredentials cluster \
    -o=jsonpath={.spec.credentialsMode}

  次の出力は、CCO が手動モードで動作していることを示しています。

  出力例

  Manual

• 次のコマンドを実行して、クラスターに root 認証情報がないことを確認します。

  $ oc get secrets \
    -n kube-system <secret_name>

  <secret_name> は、クラウドプロバイダーのルートシークレットの名前です。

  プラットフォーム	シークレット名
  Amazon Web Services (AWS)	aws-creds
  Microsoft Azure	azure-credentials
  Google Cloud Platform (GCP)	gcp-credentials

  エラーは、ルートシークレットがクラスター上に存在しないことを確認します。

  AWS クラスターの出力例

  Error from server (NotFound): secrets "aws-creds" not found

• 次のコマンドを実行して、コンポーネントが個々のコンポーネントに対して短期セキュリティー認証情報を使用していることを確認します。

  $ oc get authentication cluster \
    -o jsonpath \
    --template='{ .spec.serviceAccountIssuer }'

  このコマンドは、クラスター Authentication オブジェクトの .spec.serviceAccountIssuer パラメーターの値を表示します。クラウドプロバイダーに関連付けられた URL の出力は、クラスターがクラスターの外部から作成および管理される短期認証情報を使用して手動モードを使用していることを示します。

• Azure クラスター: 次のコマンドを実行して、コンポーネントがシークレットマニフェストで指定された Azure クライアント ID を想定していることを確認します。

  $ oc get secrets \
    -n openshift-image-registry installer-cloud-credentials \
    -o jsonpath='{.data}'

  出力に azure_client_id フィールドと azure_federated_token_file フィールドが含まれていれば、コンポーネントが Azure クライアント ID を想定しています。

• Azure クラスター: 次のコマンドを実行して、pod identity webhook が実行されていることを確認します。

  $ oc get pods \
    -n openshift-cloud-credential-operator

  出力例

  NAME                                         READY   STATUS    RESTARTS   AGE
  cloud-credential-operator-59cf744f78-r8pbq   2/2     Running   2          71m
  pod-identity-webhook-548f977b4c-859lz        1/1     Running   1          70m