3.6.4. 管理者レベルのシークレットを kube-system プロジェクトに保存する代替方法

手順

1. install-config.yaml 設定ファイルの credentialsMode パラメーターを Manual に設定しなかった場合は、次のように値を変更します。

   設定ファイルのサンプルスニペット

   apiVersion: v1
   baseDomain: example.com
   credentialsMode: Manual
   # ...

2. インストールマニフェストファイルをまだ作成していない場合は、次のコマンドを実行して作成します。

   $ openshift-install create manifests --dir <installation_directory>

   ここで、<installation_directory> は、インストールプログラムがファイルを作成するディレクトリーに置き換えます。

3. 次のコマンドを実行して、インストールファイルのリリースイメージを $RELEASE_IMAGE 変数に設定します。

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

4. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CredentialsRequest カスタムリソース (CR) のリストを抽出します。

   $ oc adm release extract \
     --from=$RELEASE_IMAGE \
     --credentials-requests \
     --included \

   1

   
     --install-config=<path_to_directory_with_installation_configuration>/install-config.yaml \

   2

   
     --to=<path_to_directory_for_credentials_requests> 

   3

   1

   --included パラメーターには、特定のクラスター設定に必要なマニフェストのみが含まれます。

   2

   install-config.yaml ファイルの場所を指定します。

   3

   CredentialsRequest オブジェクトを保存するディレクトリーへのパスを指定します。指定したディレクトリーが存在しない場合は、このコマンドによって作成されます。

   このコマンドにより、それぞれの CredentialsRequest オブジェクトに YAML ファイルが作成されます。

   サンプル CredentialsRequest オブジェクト

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component_credentials_request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: AzureProviderSpec
       roleBindings:
       - role: Contributor
     ...

5. 以前に生成した openshift-install マニフェストディレクトリーにシークレットの YAML ファイルを作成します。シークレットは、それぞれの CredentialsRequest オブジェクトについて spec.secretRef に定義される namespace およびシークレット名を使用して保存する必要があります。

   シークレットを含む CredentialsRequest オブジェクトのサンプル

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component_credentials_request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: AzureProviderSpec
       roleBindings:
       - role: Contributor
         ...
     secretRef:
       name: <component_secret>
       namespace: <component_namespace>
     ...

   サンプル Secret オブジェクト

   apiVersion: v1
   kind: Secret
   metadata:
     name: <component_secret>
     namespace: <component_namespace>
   data:
     azure_subscription_id: <base64_encoded_azure_subscription_id>
     azure_client_id: <base64_encoded_azure_client_id>
     azure_client_secret: <base64_encoded_azure_client_secret>
     azure_tenant_id: <base64_encoded_azure_tenant_id>
     azure_resource_prefix: <base64_encoded_azure_resource_prefix>
     azure_resourcegroup: <base64_encoded_azure_resourcegroup>
     azure_region: <base64_encoded_azure_region>