2.6.4. シークレットの作成および使用

手順

1. 以下のコマンドを実行して namespace にサービスアカウントを作成します。

   $ oc create sa <service_account_name> -n <your_namespace>

2. 以下の YAML の例は service-account-token-secret.yaml という名前のファイルに保存します。この例には、サービスアカウントトークンの生成に使用可能な Secret オブジェクト設定が含まれています。

   apiVersion: v1
   kind: Secret
   metadata:
     name: <secret_name> 

   1

   
     annotations:
       kubernetes.io/service-account.name: "sa-name" 

   2

   
   type: kubernetes.io/service-account-token 

   3

   1

   <secret_name> は、サービストークンシークレットの名前に置き換えます。

   2

   既存のサービスアカウント名を指定します。ServiceAccount と Secret オブジェクトの両方を作成する場合は、ServiceAccount オブジェクトを最初に作成します。

   3

   サービスアカウントトークンシークレットタイプを指定します。

3. ファイルを適用してサービスアカウントトークンを生成します。

   $ oc apply -f service-account-token-secret.yaml

4. 以下のコマンドを実行して、シークレットからサービスアカウントトークンを取得します。

   $ oc get secret <sa_token_secret> -o jsonpath='{.data.token}' | base64 --decode 

   1

   出力例

   ayJhbGciOiJSUzI1NiIsImtpZCI6IklOb2dtck1qZ3hCSWpoNnh5YnZhSE9QMkk3YnRZMVZoclFfQTZfRFp1YlUifQ.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJkZWZhdWx0Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZWNyZXQubmFtZSI6ImJ1aWxkZXItdG9rZW4tdHZrbnIiLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC5uYW1lIjoiYnVpbGRlciIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VydmljZS1hY2NvdW50LnVpZCI6IjNmZGU2MGZmLTA1NGYtNDkyZi04YzhjLTNlZjE0NDk3MmFmNyIsInN1YiI6InN5c3RlbTpzZXJ2aWNlYWNjb3VudDpkZWZhdWx0OmJ1aWxkZXIifQ.OmqFTDuMHC_lYvvEUrjr1x453hlEEHYcxS9VKSzmRkP1SiVZWPNPkTWlfNRp6bIUZD3U6aN3N7dMSN0eI5hu36xPgpKTdvuckKLTCnelMx6cxOdAbrcw1mCmOClNscwjS1KO1kzMtYnnq8rXHiMJELsNlhnRyyIXRTtNBsy4t64T3283s3SLsancyx0gy0ujx-Ch3uKAKdZi5iT-I8jnnQ-ds5THDs2h65RJhgglQEmSxpHrLGZFmyHAQI-_SjvmHZPXEc482x3SkaQHNLqpmrpJorNqh1M8ZHKzlujhZgVooMvJmWPXTb2vnvi3DGn2XI-hZxl1yD2yGH1RBpYUHA

   1

   <sa_token_secret> は、サービストークンシークレットの名前に置き換えます。

5. サービスアカウントトークンを使用して、クラスターの API で認証します。

   $ curl -X GET <openshift_cluster_api> --header "Authorization: Bearer <token>" 

   1

   2

   1

   <openshift_cluster_api> は OpenShift クラスター API に置き換えます。

   2

   <token> は、直前のコマンドで出力されるサービスアカウントトークンに置き換えます。