9.9. IAM を手動で作成する

手順

1. install-config.yaml 設定ファイルを編集し、ファイルで credentialsMode パラメーターが Manual に設定されるようにします。

   サンプル install-config.yaml 設定ファイル

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual
   compute:
   - architecture: amd64
     hyperthreading: Enabled

   Copy to Clipboard Toggle word wrap

   • credentialsMode: credentialsMode パラメーターを Manual に設定します。

2. マニフェストを生成するには、インストールプログラムが含まれるディレクトリーから以下のコマンドを実行します。

   $ ./openshift-install create manifests --dir <installation_directory>

   Copy to Clipboard Toggle word wrap

3. インストールプログラムが含まれているディレクトリーから、次のコマンドを実行して、インストールファイルのリリースイメージを $RELEASE_IMAGE 変数に設定します。

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

   Copy to Clipboard Toggle word wrap

4. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CredentialsRequest カスタムリソース (CR) のリストを抽出します。

   $ oc adm release extract \
     --from=$RELEASE_IMAGE \
     --credentials-requests \
     --include \
     --install-config=<path_to_directory_with_installation_configuration>/install-config.yaml \
     --to=<path_to_directory_for_credentials_requests>

   Copy to Clipboard Toggle word wrap
   • --included: 特定のクラスター設定に必要なマニフェストのみが含まれます。
   • <path_to_directory_with_installation_configuration>: install-config.yaml ファイルの場所を指定します。

   • <path_to_directory_for_credentials_requests>: CredentialsRequest オブジェクトを保存するディレクトリーへのパスを指定します。指定したディレクトリーが存在しない場合は、このコマンドによって作成されます。

     このコマンドにより、それぞれの CredentialsRequest オブジェクトに YAML ファイルが作成されます。

     サンプル CredentialsRequest オブジェクト

       apiVersion: cloudcredential.openshift.io/v1
       kind: CredentialsRequest
       metadata:
         labels:
           controller-tools.k8s.io: "1.0"
         name: openshift-image-registry-ibmcos
         namespace: openshift-cloud-credential-operator
       spec:
         secretRef:
           name: installer-cloud-credentials
           namespace: openshift-image-registry
         providerSpec:
           apiVersion: cloudcredential.openshift.io/v1
           kind: IBMCloudProviderSpec
           policies:
           - attributes:
             - name: serviceName
               value: cloud-object-storage
             roles:
             - crn:v1:bluemix:public:iam::::role:Viewer
             - crn:v1:bluemix:public:iam::::role:Operator
             - crn:v1:bluemix:public:iam::::role:Editor
             - crn:v1:bluemix:public:iam::::serviceRole:Reader
             - crn:v1:bluemix:public:iam::::serviceRole:Writer
           - attributes:
             - name: resourceType
               value: resource-group
             roles:
             - crn:v1:bluemix:public:iam::::role:Viewer

     Copy to Clipboard Toggle word wrap

5. 各認証情報リクエストのサービス ID を作成し、定義されたポリシーを割り当て、API キーを作成し、シークレットを生成します。

   $ ccoctl ibmcloud create-service-id \
     --credentials-requests-dir=<path_to_credential_requests_directory> \
     --name=<cluster_name> \
     --output-dir=<installation_directory> \
     --resource-group-name=<resource_group_name>

   Copy to Clipboard Toggle word wrap
   • <path_to_credential_requests_directory>: CredentialsRequest オブジェクトのファイルが含まれるディレクトリーを指定します。
   • <cluster_name>: OpenShift Container Platform クラスターの名前を指定します。
   • <installation_directory>: オプションのパラメーター。ccoctl ユーティリティーがオブジェクトを作成するディレクトリーを指定します。デフォルトでは、ユーティリティーは、コマンドを実行するディレクトリーにオブジェクトを作成します。

   • <resource_group_name>: オプションのパラメーター。アクセスポリシーのスコープに使用されるリソースグループの名前を指定します。

     注記

     クラスターの TechPreviewNoUpgrade 機能セットを使用してテクノロジープレビュー機能を有効にしている場合は、CredentialsRequest オブジェクトの設定に --enable-tech-preview パラメーターを含める必要があります。

     間違ったリソースグループ名を指定した場合、ブートストラップフェーズ中にインストールに失敗します。正しいリソースグループ名を見つけるには、次のコマンドを実行します。

     $ grep resourceGroupName <installation_directory>/manifests/cluster-infrastructure-02-config.yml

     Copy to Clipboard Toggle word wrap