10.2. トークンベースの認証の有効化

手順

1. 次のコマンドを実行して、OpenShift Container Platform リリースイメージの変数を設定します。

   $ RELEASE_IMAGE=$(oc get clusterversion -o jsonpath={..desired.image})

2. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CCO コンテナーイメージを取得します。

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)

   注記

   $RELEASE_IMAGE のアーキテクチャーが、ccoctl ツールを使用する環境のアーキテクチャーと一致していることを確認してください。

3. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージ内の CCO コンテナーイメージから ccoctl バイナリーを抽出します。

   $ oc image extract $CCO_IMAGE \
     --file="/usr/bin/ccoctl.<rhel_version>" \

   1

   
     -a ~/.pull-secret

   1

   <rhel_version> には、ホストが使用する Red Hat Enterprise Linux (RHEL) のバージョンに対応する値を指定します。値が指定されていない場合は、デフォルトで ccoctl.rhel8 が使用されます。次の値が有効です。

   • rhel8: RHEL 8 を使用するホストの場合はこの値を指定します。
   • rhel9: RHEL 9 を使用するホストの場合はこの値を指定します。

   注記

   ccoctl バイナリーは、/usr/bin/ ではなく、コマンドを実行したディレクトリーに作成されます。ディレクトリーの名前を変更するか、ccoctl.<rhel_version> バイナリーを ccoctl に移動する必要があります。

4. 次のコマンドを実行して、権限を変更して ccoctl を実行可能にします。

   $ chmod 775 ccoctl

手順

1. ccoctl ユーティリティーが生成するマニフェストの出力ディレクトリーを作成します。この手順では、./output_dir を例として使用します。

2. 次のコマンドを実行して、クラスターのサービスアカウントの公開署名鍵を出力ディレクトリーに抽出します。

   $ oc get configmap \
     --namespace openshift-kube-apiserver bound-sa-token-signing-certs \
     --output 'go-template={{index .data "service-account-001.pub"}}' > ./output_dir/serviceaccount-signer.public 

   1

   1

   この手順では、例として serviceaccount-signer.public という名前のファイルを使用します。

3. 抽出したサービスアカウント公開署名鍵を使用して、次のコマンドを実行し、OpenID Connect (OIDC) 発行者と、OIDC 設定ファイルを含む Azure Blob ストレージコンテナーを作成します。

   $ ./ccoctl azure create-oidc-issuer \
     --name <azure_infra_name> \

   1

   
     --output-dir ./output_dir \
     --region <azure_region> \

   2

   
     --subscription-id <azure_subscription_id> \

   3

   
     --tenant-id <azure_tenant_id> \
     --public-key-file ./output_dir/serviceaccount-signer.public 

   4

   1

   name パラメーターの値は、Azure リソースグループを作成するために使用します。新しい Azure リソースグループを作成する代わりに既存の Azure リソースグループを使用するには、--oidc-resource-group-name を指定し、その値として既存のグループ名を使用します。

   2

   既存のクラスターのリージョンを指定します。

   3

   既存のクラスターのサブスクリプション ID を指定します。

   4

   クラスターのサービスアカウントの公開署名鍵を含むファイルを指定します。

4. 次のコマンドを実行して、Azure pod identity webhook の設定ファイルが作成されたことを確認します。

   $ ll ./output_dir/manifests

   出力例

   total 8
   -rw-------. 1 cloud-user cloud-user 193 May 22 02:29 azure-ad-pod-identity-webhook-config.yaml 

   1

   
   -rw-------. 1 cloud-user cloud-user 165 May 22 02:29 cluster-authentication-02-config.yaml

   1

   ファイル azure-ad-pod-identity-webhook-config.yaml には、Azure pod identity webhook 設定が含まれています。

5. 次のコマンドを実行して、出力ディレクトリーに生成されたマニフェストの OIDC 発行者 URL を使用して OIDC_ISSUER_URL 変数を設定します。

   $ OIDC_ISSUER_URL=`awk '/serviceAccountIssuer/ { print $2 }' ./output_dir/manifests/cluster-authentication-02-config.yaml`

6. 次のコマンドを実行して、クラスターの authentication 設定の spec.serviceAccountIssuer パラメーターを更新します。

   $ oc patch authentication cluster \
     --type=merge \
     -p "{\"spec\":{\"serviceAccountIssuer\":\"${OIDC_ISSUER_URL}\"}}"

7. 次のコマンドを実行して、設定の更新の進行状況を監視します。

   $ oc adm wait-for-stable-cluster

   このプロセスには 15 分以上かかる場合があります。次の出力は、プロセスが完了したことを示します。

   All clusteroperators are stable

8. 次のコマンドを実行して、クラスター内のすべての Pod を再起動します。

   $ oc adm reboot-machine-config-pool mcp/worker mcp/master

   Pod を再起動すると、serviceAccountIssuer フィールドが更新され、サービスアカウントの公開署名鍵が更新されます。

9. 次のコマンドを実行して、再起動と更新のプロセスを監視します。

   $ oc adm wait-for-node-reboot nodes --all

   このプロセスには 15 分以上かかる場合があります。次の出力は、プロセスが完了したことを示します。

   All nodes rebooted

10. 次のコマンドを実行して、Cloud Credential Operator の spec.credentialsMode パラメーターを Manual に更新します。

    $ oc patch cloudcredential cluster \
      --type=merge \
      --patch '{"spec":{"credentialsMode":"Manual"}}'

11. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CredentialsRequest オブジェクトのリストを抽出します。

    $ oc adm release extract \
      --credentials-requests \
      --included \
      --to <path_to_directory_for_credentials_requests> \
      --registry-config ~/.pull-secret

    注記

    このコマンドの実行には少し時間がかかる場合があります。

12. 次のコマンドを実行して、Azure リソースグループ名を使用して AZURE_INSTALL_RG 変数を設定します。

    $ AZURE_INSTALL_RG=`oc get infrastructure cluster -o jsonpath --template '{ .status.platformStatus.azure.resourceGroupName }'`

13. 次のコマンドを実行して、ccoctl ユーティリティーを使用してすべての CredentialsRequest オブジェクトのマネージド ID を作成します。

    注記

    次のコマンドでは、使用可能なすべてのオプションは表示されません。特定のユースケースで必要となる可能性のあるものを含め、すべてのオプションのリストを表示するには、$ ccoctl azure create-managed-identities --help を実行してください。

    $ ccoctl azure create-managed-identities \
      --name <azure_infra_name> \
      --output-dir ./output_dir \
      --region <azure_region> \
      --subscription-id <azure_subscription_id> \
      --credentials-requests-dir <path_to_directory_for_credentials_requests> \
      --issuer-url "${OIDC_ISSUER_URL}" \
      --dnszone-resource-group-name <azure_dns_zone_resourcegroup_name> \

    1

    
      --installation-resource-group-name "${AZURE_INSTALL_RG}" \
      --network-resource-group-name <azure_resource_group> 

    2

    1

    DNS ゾーンを含むリソースグループの名前を指定します。

    2

    オプション: 仮想ネットワークリソースグループがクラスターリソースグループと異なる場合は、それを指定します。

14. 次のコマンドを実行して、Workload ID の Azure pod identity webhook 設定を適用します。

    $ oc apply -f ./output_dir/manifests/azure-ad-pod-identity-webhook-config.yaml

15. 次のコマンドを実行して、ccoctl ユーティリティーによって生成されたシークレットを適用します。

    $ find ./output_dir/manifests -iname "openshift*yaml" -print0 | xargs -I {} -0 -t oc replace -f {}

    このプロセスには数分の時間がかかる可能性があります。

16. 次のコマンドを実行して、クラスター内のすべての Pod を再起動します。

    $ oc adm reboot-machine-config-pool mcp/worker mcp/master

    Pod を再起動すると、serviceAccountIssuer フィールドが更新され、サービスアカウントの公開署名鍵が更新されます。

17. 次のコマンドを実行して、再起動と更新のプロセスを監視します。

    $ oc adm wait-for-node-reboot nodes --all

    このプロセスには 15 分以上かかる場合があります。次の出力は、プロセスが完了したことを示します。

    All nodes rebooted

18. 次のコマンドを実行して、設定の更新の進行状況を監視します。

    $ oc adm wait-for-stable-cluster

    このプロセスには 15 分以上かかる場合があります。次の出力は、プロセスが完了したことを示します。

    All clusteroperators are stable

19. オプション: 次のコマンドを実行して、Azure の root 認証情報シークレットを削除します。

    $ oc delete secret -n kube-system azure-credentials