5.21. OADP と AWS STS

手順

1. 次のコマンドを実行して、cluster_name 環境変数を定義します。

   $ export CLUSTER_NAME= <AWS_cluster_name>

   <AWS_cluster_name> を クラスター名に置き換えてください。

2. 次のコマンドを実行して、AWS_ACCOUNT_ID, OIDC_ENDPOINT などの cluster の詳細をすべて取得します。

   $ export CLUSTER_VERSION=$(oc get clusterversion version -o jsonpath='{.status.desired.version}{"\n"}')

   $ export AWS_CLUSTER_ID=$(oc get clusterversion version -o jsonpath='{.spec.clusterID}{"\n"}')

   $ export OIDC_ENDPOINT=$(oc get authentication.config.openshift.io cluster -o jsonpath='{.spec.serviceAccountIssuer}' | sed 's|^https://||')

   $ export REGION=$(oc get infrastructures cluster -o jsonpath='{.status.platformStatus.aws.region}' --allow-missing-template-keys=false || echo us-east-2)

   $ export AWS_ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)

   $ export ROLE_NAME="${CLUSTER_NAME}-openshift-oadp-aws-cloud-credentials"

3. 次のコマンドを実行して、すべてのファイルを保存するための一時ディレクトリーを作成します。

   $ export SCRATCH="/tmp/${CLUSTER_NAME}/oadp"
   mkdir -p ${SCRATCH}

4. 次のコマンドを実行して、収集したすべての詳細を表示します。

   $ echo "Cluster ID: ${AWS_CLUSTER_ID}, Region: ${REGION}, OIDC Endpoint:
   ${OIDC_ENDPOINT}, AWS Account ID: ${AWS_ACCOUNT_ID}"

5. AWS アカウントで、AWS S3 へのアクセスを許可する IAM ポリシーを作成します。

   1. 次のコマンドを実行して、ポリシーが存在するかどうかを確認します。

      $ export POLICY_NAME="OadpVer1"

      • POLICY_NAME: この変数は任意の値に設定できます。

      $ POLICY_ARN=$(aws iam list-policies --query "Policies[?PolicyName=='$POLICY_NAME'].{ARN:Arn}" --output text)

   2. 次のコマンドを入力してポリシー JSON ファイルを作成し、ポリシーを作成します。

      注記

      ポリシー ARN が見つからない場合、コマンドはポリシーを作成します。ポリシー ARN がすでに存在する場合、if ステートメントはポリシーの作成を意図的にスキップします。

      $ if [[ -z "${POLICY_ARN}" ]]; then
      cat << EOF > ${SCRATCH}/policy.json
      {
      "Version": "2012-10-17",
      "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "s3:CreateBucket",
           "s3:DeleteBucket",
           "s3:PutBucketTagging",
           "s3:GetBucketTagging",
           "s3:PutEncryptionConfiguration",
           "s3:GetEncryptionConfiguration",
           "s3:PutLifecycleConfiguration",
           "s3:GetLifecycleConfiguration",
           "s3:GetBucketLocation",
           "s3:ListBucket",
           "s3:GetObject",
           "s3:PutObject",
           "s3:DeleteObject",
           "s3:ListBucketMultipartUploads",
           "s3:AbortMultipartUpload",
           "s3:ListMultipartUploadParts",
           "ec2:DescribeSnapshots",
           "ec2:DescribeVolumes",
           "ec2:DescribeVolumeAttribute",
           "ec2:DescribeVolumesModifications",
           "ec2:DescribeVolumeStatus",
           "ec2:CreateTags",
           "ec2:CreateVolume",
           "ec2:CreateSnapshot",
           "ec2:DeleteSnapshot"
         ],
         "Resource": "*"
       }
      ]}
      EOF
      
      POLICY_ARN=$(aws iam create-policy --policy-name $POLICY_NAME \
      --policy-document file:///${SCRATCH}/policy.json --query Policy.Arn \
      --tags Key=openshift_version,Value=${CLUSTER_VERSION} Key=operator_namespace,Value=openshift-adp Key=operator_name,Value=oadp \
      --output text)
      fi

      • SCRATCH: ファイルを保存するために作成した一時ディレクトリーの名前。

   3. 以下のコマンドを実行してポリシー ARN を表示します。

      $ echo ${POLICY_ARN}

6. クラスターの IAM ロール信頼ポリシーを作成します。

   1. 次のコマンドを実行して、信頼ポリシーファイルを作成します。

      $ cat <<EOF > ${SCRATCH}/trust-policy.json
      {
          "Version": "2012-10-17",
          "Statement": [{
            "Effect": "Allow",
            "Principal": {
              "Federated": "arn:aws:iam::${AWS_ACCOUNT_ID}:oidc-provider/${OIDC_ENDPOINT}"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
              "StringEquals": {
                "${OIDC_ENDPOINT}:sub": [
                  "system:serviceaccount:openshift-adp:openshift-adp-controller-manager",
                  "system:serviceaccount:openshift-adp:velero"]
              }
            }
          }]
      }
      EOF

   2. 次のコマンドを実行して、クラスターの IAM ロール信頼ポリシーを作成します。

      $ ROLE_ARN=$(aws iam create-role --role-name \
        "${ROLE_NAME}" \
        --assume-role-policy-document file://${SCRATCH}/trust-policy.json \
        --tags Key=cluster_id,Value=${AWS_CLUSTER_ID}  Key=openshift_version,Value=${CLUSTER_VERSION} Key=operator_namespace,Value=openshift-adp Key=operator_name,Value=oadp --query Role.Arn --output text)

   3. 次のコマンドを実行して、ロール ARN を表示します。

      $ echo ${ROLE_ARN}

7. 次のコマンドを実行して、IAM ポリシーを IAM ロールにアタッチします。

   $ aws iam attach-role-policy --role-name "${ROLE_NAME}" --policy-arn ${POLICY_ARN}

手順

1. 次のコマンドを入力して、AWS トークンファイルから OpenShift Container Platform シークレットを作成します。

   1. 認証情報ファイルを作成します。

      $ cat <<EOF > ${SCRATCH}/credentials
        [default]
        role_arn = ${ROLE_ARN}
        web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token
        region = <aws_region>
      EOF

      <aws_region> は、STS エンドポイントに使用する AWS リージョンに置き換えます。

   2. OADP の namespace を作成します。

      $ oc create namespace openshift-adp

   3. OpenShift Container Platform シークレットを作成します。

      $ oc -n openshift-adp create secret generic cloud-credentials \
        --from-file=${SCRATCH}/credentials

      注記

      OpenShift Container Platform バージョン 4.14 以降では、OADP Operator は Operator Lifecycle Manager (OLM) および Cloud Credentials Operator (CCO) を通じて、標準化された新しい STS ワークフローをサポートします。このワークフローでは、上記シークレットの作成は必要ありません。OpenShift Container Platform Web コンソールを使用して、OLM で管理される Operator のインストール中にロール ARN のみ指定する必要があります。詳細は、Web コンソールを使用してソフトウェアカタログからインストールする を参照してください。

      前述のシークレットは CCO によって自動的に作成されます。

2. OADP Operator をインストールします。

   1. OpenShift Container Platform Web コンソールで、Ecosystem Software Catalog を参照します。
   2. OADP Operator を検索します。
   3. role_ARN フィールドに、前に作成した role_arn を貼り付け、Install をクリックします。

3. 次のコマンドを入力し、AWS 認証情報を使用して AWS クラウドストレージを作成します。

   $ cat << EOF | oc create -f -
     apiVersion: oadp.openshift.io/v1alpha1
     kind: CloudStorage
     metadata:
       name: ${CLUSTER_NAME}-oadp
       namespace: openshift-adp
     spec:
       creationSecret:
         key: credentials
         name: cloud-credentials
       enableSharedConfig: true
       name: ${CLUSTER_NAME}-oadp
       provider: aws
       region: $REGION
   EOF

4. 次のコマンドを入力して、アプリケーションのストレージのデフォルトストレージクラスを確認します。

   $ oc get pvc -n <namespace>

   NAME     STATUS   VOLUME                                     CAPACITY   ACCESS MODES   STORAGECLASS   AGE
   applog   Bound    pvc-351791ae-b6ab-4e8b-88a4-30f73caf5ef8   1Gi        RWO            gp3-csi        4d19h
   mysql    Bound    pvc-16b8e009-a20a-4379-accc-bc81fedd0621   1Gi        RWO            gp3-csi        4d19h

5. 次のコマンドを実行してストレージクラスを取得します。

   $ oc get storageclass

   NAME                PROVISIONER             RECLAIMPOLICY   VOLUMEBINDINGMODE      ALLOWVOLUMEEXPANSION   AGE
   gp2                 kubernetes.io/aws-ebs   Delete          WaitForFirstConsumer   true                   4d21h
   gp2-csi             ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h
   gp3                 ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h
   gp3-csi (default)   ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h

   注記

   次のストレージクラスが機能します。

   • gp3-csi
   • gp2-csi
   • gp3
   • gp2

   すべてのアプリケーション、またはバックアップされるアプリケーションが Container Storage Interface (CSI) で永続ボリューム (PV) を使用している場合は、OADP DPA 設定に CSI プラグインを含めることをお勧めします。

6. バックアップとボリュームスナップショットが保存されるストレージへの接続を設定するために、DataProtectionApplication リソースを作成します。

   1. CSI ボリュームのみを使用している場合は、次のコマンドを入力して Data Protection Application をデプロイします。

      $ cat << EOF | oc create -f -
        apiVersion: oadp.openshift.io/v1alpha1
        kind: DataProtectionApplication
        metadata:
          name: ${CLUSTER_NAME}-dpa
          namespace: openshift-adp
        spec:
          backupImages: true
          features:
            dataMover:
              enable: false
          backupLocations:
          - bucket:
              cloudStorageRef:
                name: ${CLUSTER_NAME}-oadp
              credential:
                key: credentials
                name: cloud-credentials
              prefix: velero
              default: true
              config:
                region: ${REGION}
          configuration:
            velero:
              defaultPlugins:
              - openshift
              - aws
              - csi
            nodeAgent:
              enable: false
              uploaderType: kopia
      EOF

      ここでは、以下のようになります。

      backupImages

      イメージバックアップを使用するかどうかを指定します。イメージバックアップを使用しない場合は、false に設定してください。

      ノードエージェント

      ノードエージェントの設定を指定します。この手順の最後に記載されている nodeAgent 属性に関する重要な注意事項を参照してください。

      アップローダータイプ

      アップローダーの種類を指定します。ビルトイン Data Mover は、uploaderType フィールドの値に関係なく、デフォルトのアップローダーメカニズムとして Kopia を使用します。

   2. CSI ボリュームまたは非 CSI ボリュームを使用している場合は、次のコマンドを入力して Data Protection Application をデプロイします。

      $ cat << EOF | oc create -f -
        apiVersion: oadp.openshift.io/v1alpha1
        kind: DataProtectionApplication
        metadata:
          name: ${CLUSTER_NAME}-dpa
          namespace: openshift-adp
        spec:
          backupImages: true
          features:
            dataMover:
               enable: false
          backupLocations:
          - bucket:
              cloudStorageRef:
                name: ${CLUSTER_NAME}-oadp
              credential:
                key: credentials
                name: cloud-credentials
              prefix: velero
              default: true
              config:
                region: ${REGION}
          configuration:
            velero:
              defaultPlugins:
              - openshift
              - aws
            nodeAgent:
              enable: false
              uploaderType: restic
          snapshotLocations:
            - velero:
                config:
                  credentialsFile: /tmp/credentials/openshift-adp/cloud-credentials-credentials
                  enableSharedConfig: "true"
                  profile: default
                  region: ${REGION}
                provider: aws
      EOF

      ここでは、以下のようになります。

      backupImages

      イメージバックアップを使用するかどうかを指定します。イメージバックアップを使用しない場合は、false に設定してください。

      ノードエージェント

      ノードエージェントの設定を指定します。この手順の最後に記載されている nodeAgent 属性に関する重要な注意事項を参照してください。

      credentialsFile

      バケット認証情報が Pod にマウントされる場所を指定します。

      enableSharedConfig

      スナップショットの場所が、 バケットに定義された認証情報を共有または再利用できるかどうかを指定します。

      profile

      AWS 認証情報ファイルに設定されているプロファイル名を指定します。

      region

      AWS リージョンを指定します。これはクラスターリージョンと同じである必要があります。

      これで、アプリケーションのバックアップ で説明されているとおり、OpenShift Container Platform アプリケーションをバックアップおよび復元する準備が整いました。

      重要

      OADP 1.2 を使用する場合は、次の設定を置き換えます。

      nodeAgent:
        enable: false
        uploaderType: restic

      次の設定に置き換えます。

      restic:
        enable: false

   バックアップと復元に 2 つの異なるクラスターを使用する場合、クラウドストレージ CR と OADP DataProtectionApplication 設定の両方で、2 つのクラスターの AWS S3 ストレージ名が同じである必要があります。

手順

1. 次のコマンドを実行して、バックアップするワークロードを作成します。

   $ oc create namespace hello-world

   $ oc new-app -n hello-world --image=docker.io/openshift/hello-openshift

2. 次のコマンドを実行してルートを公開します。

   $ oc expose service/hello-openshift -n hello-world

3. 次のコマンドを実行して、アプリケーションが動作していることを確認します。

   $ curl `oc get route/hello-openshift -n hello-world -o jsonpath='{.spec.host}'`

   Hello OpenShift!

4. 次のコマンドを実行して、ワークロードをバックアップします。

   $ cat << EOF | oc create -f -
     apiVersion: velero.io/v1
     kind: Backup
     metadata:
       name: hello-world
       namespace: openshift-adp
     spec:
       includedNamespaces:
       - hello-world
       storageLocation: ${CLUSTER_NAME}-dpa-1
       ttl: 720h0m0s
   EOF

5. バックアップが完了するまで待ってから、次のコマンドを実行します。

   $ watch "oc -n openshift-adp get backup hello-world -o json | jq .status"

   {
     "completionTimestamp": "2022-09-07T22:20:44Z",
     "expiration": "2022-10-07T22:20:22Z",
     "formatVersion": "1.1.0",
     "phase": "Completed",
     "progress": {
       "itemsBackedUp": 58,
       "totalItems": 58
     },
     "startTimestamp": "2022-09-07T22:20:22Z",
     "version": 1
   }

6. 次のコマンドを実行して、デモワークロードを削除します。

   $ oc delete ns hello-world

7. 次のコマンドを実行して、バックアップからワークロードを復元します。

   $ cat << EOF | oc create -f -
     apiVersion: velero.io/v1
     kind: Restore
     metadata:
       name: hello-world
       namespace: openshift-adp
     spec:
       backupName: hello-world
   EOF

8. 次のコマンドを実行して、復元が完了するまで待ちます。

   $ watch "oc -n openshift-adp get restore hello-world -o json | jq .status"

   {
     "completionTimestamp": "2022-09-07T22:25:47Z",
     "phase": "Completed",
     "progress": {
       "itemsRestored": 38,
       "totalItems": 38
     },
     "startTimestamp": "2022-09-07T22:25:28Z",
     "warnings": 9
   }

9. 次のコマンドを実行して、ワークロードが復元されていることを確認します。

   $ oc -n hello-world get pods

   NAME                              READY   STATUS    RESTARTS   AGE
   hello-openshift-9f885f7c6-kdjpj   1/1     Running   0          90s

10. 次のコマンドを実行して JSONPath を確認します。

    $ curl `oc get route/hello-openshift -n hello-world -o jsonpath='{.spec.host}'`

    Hello OpenShift!

    注記

    トラブルシューティングのヒントについては、トラブルシューティングに関するドキュメント を参照してください。