4.8.2. Operator インストールのスコープ設定

手順

1. 新規の namespace を作成します。

   例4.9 Namespace オブジェクトを作成するコマンドの例

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: Namespace
   metadata:
     name: scoped
   EOF

2. Operator に必要な制限が適用されるように権限を割り当てます。これを行うには、新しく作成した指定の namespace に、新しいサービスアカウント、関連するロール、およびロールバインディングを作成する必要があります。

   1. 次のコマンドを実行してサービスアカウントを作成します。

      例4.10 ServiceAccount オブジェクトを作成するコマンドの例

      $ cat <<EOF | oc create -f -
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: scoped
        namespace: scoped
      EOF

   2. 次のコマンドを実行してシークレットを作成します。

      例4.11 有効期間の長い API トークンの Secret オブジェクトを作成するコマンドの例

      $ cat <<EOF | oc create -f -
      apiVersion: v1
      kind: Secret
      type: kubernetes.io/service-account-token 

      1

      
      metadata:
        name: scoped
        namespace: scoped
        annotations:
          kubernetes.io/service-account.name: scoped
      EOF

      1

      シークレットは、有効期間の長い API トークンである必要があります。これはサービスアカウントによって使用されます。

   3. 次のコマンドを実行してロールを作成します。

      警告

      この例では、例示目的でのみ、指定の namespace ですべての操作を実行できる権限を、ロールによってサービスアカウントに付与します。実稼働環境では、よりきめ細かい権限セットを作成する必要があります。詳細は、「粒度の細かいパーミッション」を参照してください。

      例4.12 Role および RoleBinding オブジェクトを作成するコマンドの例

      $ cat <<EOF | oc create -f -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role
      metadata:
        name: scoped
        namespace: scoped
      rules:
      - apiGroups: ["*"]
        resources: ["*"]
        verbs: ["*"]
      ---
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding
      metadata:
        name: scoped-bindings
        namespace: scoped
      roleRef:
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: scoped
      subjects:
      - kind: ServiceAccount
        name: scoped
        namespace: scoped
      EOF

3. 次のコマンドを実行して、指定の namespace に OperatorGroup オブジェクトを作成します。この Operator グループは指定された namespace をターゲットにし、そのテナンシーがこれに制限されるようにします。さらに、Operator グループはユーザーがサービスアカウントを指定できるようにします。

   例4.13 OperatorGroup オブジェクトを作成するコマンドの例

   $ cat <<EOF | oc create -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: scoped
     namespace: scoped
   spec:
     serviceAccountName: scoped 

   1

   
     targetNamespaces:
     - scoped
   EOF

   1

   直前のステップで作成したサービスアカウントを指定します。指定された namespace にインストールされる Operator はこの Operator グループに関連付けられ、指定されるサービスアカウントに関連付けられます。

4. 指定された namespace で Subscription オブジェクトを作成し、Operator をインストールします。

   例4.14 Subscription オブジェクトを作成するコマンドの例

   $ cat <<EOF | oc create -f -
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: openshift-cert-manager-operator
     namespace: scoped
   spec:
     channel: stable-v1
     name: openshift-cert-manager-operator
     source: <catalog_source_name> 

   1

   
     sourceNamespace: <catalog_source_namespace> 

   2

   
   EOF

   1

   指定の namespace にすでに存在するカタログソース、またはグローバルカタログ namespace にあるカタログソース (例: redhat-operators) を指定します。

   2

   カタログソースが作成された namespace を指定します (たとえば、redhat-operators カタログの場合は openshift-marketplace)。

   この Operator グループに関連付けられる Operator は、指定されたサービスアカウントに付与されるパーミッションに制限されます。Operator がサービスアカウントの範囲外のパーミッションを要求する場合、インストールは関連するエラーを出して失敗します。