5.10. Google Cloud を使用した OADP の設定

手順

1. Google Cloud にログインします。

   $ gcloud auth login

2. BUCKET 変数を設定します。

   $ BUCKET=<bucket>

   ここでは、以下のようになります。

   bucket

   バケット名を指定します。

3. ストレージバケットを作成します。

   $ gsutil mb gs://$BUCKET/

4. PROJECT_ID 変数をアクティブなプロジェクトに設定します。

   $ PROJECT_ID=$(gcloud config get-value project)

5. サービスアカウントを作成します。

   $ gcloud iam service-accounts create velero \
       --display-name "Velero service account"

6. サービスアカウントをリスト表示します。

   $ gcloud iam service-accounts list

7. email の値と一致するように SERVICE_ACCOUNT_EMAIL 変数を設定します。

   $ SERVICE_ACCOUNT_EMAIL=$(gcloud iam service-accounts list \
       --filter="displayName:Velero service account" \
       --format 'value(email)')

8. ポリシーを添付して、velero ユーザーに必要最小限の権限を付与します。

   $ ROLE_PERMISSIONS=(
       compute.disks.get
       compute.disks.create
       compute.disks.createSnapshot
       compute.snapshots.get
       compute.snapshots.create
       compute.snapshots.useReadOnly
       compute.snapshots.delete
       compute.zones.get
       storage.objects.create
       storage.objects.delete
       storage.objects.get
       storage.objects.list
       iam.serviceAccounts.signBlob
   )

9. velero.server カスタムロールを作成します。

   $ gcloud iam roles create velero.server \
       --project $PROJECT_ID \
       --title "Velero Server" \
       --permissions "$(IFS=","; echo "${ROLE_PERMISSIONS[*]}")"

10. IAM ポリシーバインディングをプロジェクトに追加します。

    $ gcloud projects add-iam-policy-binding $PROJECT_ID \
        --member serviceAccount:$SERVICE_ACCOUNT_EMAIL \
        --role projects/$PROJECT_ID/roles/velero.server

11. IAM サービスアカウントを更新します。

    $ gsutil iam ch serviceAccount:$SERVICE_ACCOUNT_EMAIL:objectAdmin gs://${BUCKET}

12. IAM サービスアカウントのキーを現在のディレクトリーにある credentials-velero ファイルに保存します。

    $ gcloud iam service-accounts keys create credentials-velero \
        --iam-account $SERVICE_ACCOUNT_EMAIL

    Data Protection Application をインストールする前に、credentials-velero ファイルを使用して Google Cloud の Secret オブジェクトを作成します。

手順

1. 次のコマンドを実行して、oadp-credrequest ディレクトリーを作成します。

   $ mkdir -p oadp-credrequest

2. 次のように、CredentialsRequest.yaml ファイルを作成します。

   echo 'apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: oadp-operator-credentials
     namespace: openshift-cloud-credential-operator
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: GCPProviderSpec
       permissions:
       - compute.disks.get
       - compute.disks.create
       - compute.disks.createSnapshot
       - compute.snapshots.get
       - compute.snapshots.create
       - compute.snapshots.useReadOnly
       - compute.snapshots.delete
       - compute.zones.get
       - storage.objects.create
       - storage.objects.delete
       - storage.objects.get
       - storage.objects.list
       - iam.serviceAccounts.signBlob
       skipServiceCheck: true
     secretRef:
       name: cloud-credentials-gcp
       namespace: <OPERATOR_INSTALL_NS>
     serviceAccountNames:
     - velero
   ' > oadp-credrequest/credrequest.yaml

3. 次のコマンドを実行し、ccoctl ユーティリティーを使用して、oadp-credrequest ディレクトリー内の CredentialsRequest オブジェクトを処理します。

   $ ccoctl gcp create-service-accounts \
       --name=<name> \
       --project=<gcp_project_id> \
       --credentials-requests-dir=oadp-credrequest \
       --workload-identity-pool=<pool_id> \
       --workload-identity-provider=<provider_id>

   これで、次のステップで manifests/openshift-adp-cloud-credentials-gcp-credentials.yaml ファイルを使用できるようになりました。

4. 次のコマンドを実行して、namespace を作成します。

   $ oc create namespace <OPERATOR_INSTALL_NS>

5. 次のコマンドを実行して、認証情報を namespace に適用します。

   $ oc apply -f manifests/openshift-adp-cloud-credentials-gcp-credentials.yaml

手順

1. Ecosystem Installed Operators をクリックし、OADPOperator を選択します。
2. Provided APIs で、DataProtectionApplication ボックスの Create instance をクリックします。

3. YAML View をクリックして、DataProtectionApplication マニフェストのパラメーターを更新します。

   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
     name: <dpa_sample>
     namespace: <OPERATOR_INSTALL_NS>
   spec:
     configuration:
       velero:
         defaultPlugins:
           - gcp
           - openshift
         resourceTimeout: 10m
       nodeAgent:
         enable: true
         uploaderType: kopia
         podConfig:
           nodeSelector: <node_selector>
     backupLocations:
       - velero:
           provider: gcp
           default: true
           credential:
             key: cloud
             name: cloud-credentials-gcp
           objectStorage:
             bucket: <bucket_name>
             prefix: <prefix>
     snapshotLocations:
       - velero:
           provider: gcp
           default: true
           config:
             project: <project>
             snapshotLocation: us-west1
           credential:
             key: cloud
             name: cloud-credentials-gcp
     backupImages: true

   ここでは、以下のようになります。

   namespace

   OADP のデフォルトの名前空間である openshift-adp を指定します。namespace は変数であり、設定可能です。

   openshift

   openshift プラグインが必須であることを指定します。

   リソースタイムアウト

   Velero CRD の可用性、ボリュームスナップショットの削除、バックアップリポジトリーの可用性など、複数の Velero リソースについてタイムアウトが発生するまでの待機時間を分単位で指定します。デフォルトは 10m です。

   ノードエージェント

   管理要求をサーバーにルーティングする管理エージェントを指定します。

   enable

   nodeAgent を有効にして File System Backup を実行する場合は、この値を true に設定します。

   アップローダータイプ

   アップローダーの種類を指定します。アップローダーとして kopia または restic と入力します。インストール後に選択を変更することはできません。組み込み DataMover の場合は、Kopia を使用する必要があります。nodeAgent はデーモンセットをデプロイします。これは、nodeAgent Pod が各ワーキングノード上で実行されることを意味します。File System Backup を設定するには、spec.defaultVolumesToFsBackup: true を Backup CR に追加します。

   nodeSelector

   Kopia または Restic が利用可能なノードを指定します。デフォルトでは、Kopia または Restic はすべてのノードで実行されます。

   key

   認証情報を含むシークレットキーを指定します。Google Workload Identity 連携クラウド認証の場合は、service_account.json を使用します。

   name

   認証情報を含むシークレット名を指定します。この値を指定しない場合は、デフォルトの名前である cloud-credentials-gcp が使用されます。

   bucket

   バックアップの保存場所としてバケットを指定します。バケットが Velero バックアップ専用のバケットでない場合は、接頭辞を指定する必要があります。

   prefix

   バケットが複数の用途で使用される場合、Velero バックアップのプレフィックスを指定します。たとえば、velero など です。

   snapshotLocations

   CSI スナップショットまたは Restic を使用して PV をバックアップする場合を除き、スナップショットの場所を指定します。

   スナップショットの場所

   スナップショットの場所は、PV と同じリージョン内にある必要があることを指定します。

   name

   作成した シークレット オブジェクトの名前を指定します。この値を指定しない場合は、デフォルトの名前である cloud-credentials-gcp が使用されます。カスタム名を指定すると、バックアップの場所にカスタム名が使用されます。

   backupImages

   Google ワークロードアイデンティティーフェデレーションが内部イメージバックアップをサポートしていることを指定します。イメージのバックアップを使用しない場合は、このフィールドを false に設定します。

4. Create をクリックします。

検証

1. 次のコマンドを実行して OpenShift API for Data Protection (OADP) リソースを表示し、インストールを検証します。

   $ oc get all -n openshift-adp

   NAME                                                     READY   STATUS    RESTARTS   AGE
   pod/oadp-operator-controller-manager-67d9494d47-6l8z8    2/2     Running   0          2m8s
   pod/node-agent-9cq4q                                     1/1     Running   0          94s
   pod/node-agent-m4lts                                     1/1     Running   0          94s
   pod/node-agent-pv4kr                                     1/1     Running   0          95s
   pod/velero-588db7f655-n842v                              1/1     Running   0          95s
   
   NAME                                                       TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)    AGE
   service/oadp-operator-controller-manager-metrics-service   ClusterIP   172.30.70.140    <none>        8443/TCP   2m8s
   service/openshift-adp-velero-metrics-svc                   ClusterIP   172.30.10.0      <none>        8085/TCP   8h
   
   NAME                        DESIRED   CURRENT   READY   UP-TO-DATE   AVAILABLE   NODE SELECTOR   AGE
   daemonset.apps/node-agent    3         3         3       3            3           <none>          96s
   
   NAME                                                READY   UP-TO-DATE   AVAILABLE   AGE
   deployment.apps/oadp-operator-controller-manager    1/1     1            1           2m9s
   deployment.apps/velero                              1/1     1            1           96s
   
   NAME                                                           DESIRED   CURRENT   READY   AGE
   replicaset.apps/oadp-operator-controller-manager-67d9494d47    1         1         1       2m9s
   replicaset.apps/velero-588db7f655                              1         1         1       96s

2. 次のコマンドを実行して、DataProtectionApplication (DPA) が調整されていることを確認します。

   $ oc get dpa dpa-sample -n openshift-adp -o jsonpath='{.status}'

   {"conditions":[{"lastTransitionTime":"2023-10-27T01:23:57Z","message":"Reconcile complete","reason":"Complete","status":"True","type":"Reconciled"}]}

3. type が Reconciled に設定されていることを確認します。

4. 次のコマンドを実行して、Backup Storage Location を確認し、PHASE が Available であることを確認します。

   $ oc get backupstoragelocations.velero.io -n openshift-adp

   NAME           PHASE       LAST VALIDATED   AGE     DEFAULT
   dpa-sample-1   Available   1s               3d16h   true

手順

1. カスタムラベルを追加して、選択した任意のノードでノードエージェントを実行します。

   $ oc label node/<node_name> node-role.kubernetes.io/nodeAgent=""

   注記

   指定したラベルが、各ノードのラベルと一致する必要があります。

2. ノードのラベル付けに使用したのと同じカスタムラベルを DPA.spec.configuration.nodeAgent.podConfig.nodeSelector フィールドで使用します。

   configuration:
     nodeAgent:
       enable: true
       podConfig:
         nodeSelector:
           node-role.kubernetes.io/nodeAgent: ""

   次の例は nodeSelector のアンチパターンです。この例は、node-role.kubernetes.io/infra: "" と node-role.kubernetes.io/worker: "" の両方のラベルがノードに存在しない限り機能しません。

       configuration:
         nodeAgent:
           enable: true
           podConfig:
             nodeSelector:
               node-role.kubernetes.io/infra: ""
               node-role.kubernetes.io/worker: ""

手順

1. 特定のノードに対して同時実行を使用する場合は、それらのノードにラベルを追加します。

   $ oc label node/<node_name> label.io/instance-type='large'

2. DPA インスタンスの同時実行フィールドを設定します。

     configuration:
       nodeAgent:
         enable: true
         uploaderType: kopia
         loadConcurrency:
           globalConfig: 1
           perNodeConfig:
           - nodeSelector:
                 matchLabels:
                    label.io/instance-type: large
             number: 3

   ここでは、以下のようになります。

   globalConfig

   グローバル同時接続数を指定します。デフォルト値は 1 です。これは同時実行がなく、1 つの負荷のみが許可されることを意味します。globalConfig 値に制限はありません。

   label.io/instance-type

   ノードごとの同時実行性を示すラベルを指定します。

   number

   ノードごとの同時接続数を指定します。たとえば、インスタンスのタイプとサイズに基づき、ノードごとに多数の同時実行数を指定できます。ノードごとの同時実行数の範囲は、グローバル同時実行数と同じです。設定ファイルにノードごとの同時実行数とグローバル同時実行数が含まれている場合、ノードごとの同時実行数が優先されます。

検証

1. 次のコマンドを実行して、ノードエージェントのセキュリティーコンテキストが非 root として実行するように設定され、root ファイルシステムが readOnly あることを確認します。

   $ oc get daemonset node-agent -o yaml

   出力例は次のとおりです。

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
     ...
     name: node-agent
     namespace: openshift-adp
     ...
   spec:
     ...
     template:
       metadata:
         ...
       spec:
         containers:
         ...
           securityContext:
             allowPrivilegeEscalation: false
             capabilities:
               drop:
               - ALL
             privileged: false
             readOnlyRootFilesystem: true
           ...
         nodeSelector:
           kubernetes.io/os: linux
         os:
           name: linux
         restartPolicy: Always
         schedulerName: default-scheduler
         securityContext:
           runAsNonRoot: true
           seccompProfile:
             type: RuntimeDefault
         serviceAccount: velero
         serviceAccountName: velero
         ....

   ここでは、以下のようになります。

   allowPrivilegeEscalation

   allowPrivilegeEscalation フィールドが false であることを指定します。

   privileged

   特権 フィールドが false であることを指定します。

   readOnlyRootFilesystem

   ルートファイルシステムが読み取り専用であることを指定します。

   runAsNonRoot

   ノードエージェントを非 root ユーザーとして実行することを指定します。