4.10. 管理者レベルのシークレットを kube-system プロジェクトに保存する代替方法

手順

1. インストールプログラムが使用する Google Cloud アカウントに次の詳細な権限を追加します。

   例4.3 必要な Google Cloud 権限

   • compute.machineTypes.list
   • compute.regions.list
   • compute.zones.list
   • dns.changes.create
   • dns.changes.get
   • dns.managedZones.create
   • dns.managedZones.delete
   • dns.managedZones.get
   • dns.managedZones.list
   • dns.networks.bindPrivateDNSZone
   • dns.resourceRecordSets.create
   • dns.resourceRecordSets.delete
   • dns.resourceRecordSets.list

2. install-config.yaml 設定ファイルの credentialsMode パラメーターを Manual に設定しなかった場合は、次のように値を変更します。

   設定ファイルのサンプルスニペット

   apiVersion: v1
   baseDomain: example.com
   credentialsMode: Manual
   # ...

3. インストールマニフェストファイルをまだ作成していない場合は、次のコマンドを実行して作成します。

   $ openshift-install create manifests --dir <installation_directory>

   ここで、<installation_directory> は、インストールプログラムがファイルを作成するディレクトリーに置き換えます。

4. 次のコマンドを実行して、インストールファイルのリリースイメージを $RELEASE_IMAGE 変数に設定します。

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

5. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CredentialsRequest カスタムリソース (CR) のリストを抽出します。

   $ oc adm release extract \
     --from=$RELEASE_IMAGE \
     --credentials-requests \
     --included \

   1

   
     --install-config=<path_to_directory_with_installation_configuration>/install-config.yaml \

   2

   
     --to=<path_to_directory_for_credentials_requests> 

   3

   1

   --included パラメーターには、特定のクラスター設定に必要なマニフェストのみが含まれます。

   2

   install-config.yaml ファイルの場所を指定します。

   3

   CredentialsRequest オブジェクトを保存するディレクトリーへのパスを指定します。指定したディレクトリーが存在しない場合は、このコマンドによって作成されます。

   このコマンドにより、それぞれの CredentialsRequest オブジェクトに YAML ファイルが作成されます。

   サンプル CredentialsRequest オブジェクト

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component_credentials_request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: GCPProviderSpec
       predefinedRoles:
       - roles/storage.admin
       - roles/iam.serviceAccountUser
       skipServiceCheck: true
     ...

6. 以前に生成した openshift-install マニフェストディレクトリーにシークレットの YAML ファイルを作成します。シークレットは、それぞれの CredentialsRequest オブジェクトについて spec.secretRef に定義される namespace およびシークレット名を使用して保存する必要があります。

   シークレットを含む CredentialsRequest オブジェクトのサンプル

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component_credentials_request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
         ...
     secretRef:
       name: <component_secret>
       namespace: <component_namespace>
     ...

   サンプル Secret オブジェクト

   apiVersion: v1
   kind: Secret
   metadata:
     name: <component_secret>
     namespace: <component_namespace>
   data:
     service_account.json: <base64_encoded_gcp_service_account_file>