10.2. クラウドプロバイダーの認証情報のローテーション

手順

1. Web コンソールの Administrator パースペクティブで、Workloads Secrets に移動します。

2. Secrets ページの表で、クラウドプロバイダーのルートシークレットを見つけます。

   Expand

   プラットフォーム	シークレット名
   AWS	aws-creds
   Azure	azure-credentials
   Google Cloud	gcp-credentials
   RHOSP	openstack-credentials
   VMware vSphere	vsphere-creds

   Show more
3. シークレットと同じ行にあるオプションメニュー をクリックし、[シークレットの編集] を 選択します。
4. Value フィールドの内容を記録します。この情報を使用して、認証情報の更新後に値が異なることを確認できます。
5. Value フィールドのテキストをクラウドプロバイダーの新規の認証情報で更新し、Save をクリックします。

6. vSphere CSI Driver Operator が有効になっていない vSphere クラスターの認証情報を更新する場合は、Kubernetes コントローラーマネージャーを強制的にロールアウトして更新された認証情報を適用する必要があります。

   注記

   vSphere CSI Driver Operator が有効になっている場合、この手順は不要です。

   更新された vSphere 認証情報を適用するには、cluster-admin ロールを持つユーザーとして OpenShift Container Platform CLI にログインし、以下のコマンドを実行します。

   $ oc patch kubecontrollermanager cluster \
     -p='{"spec": {"forceRedeploymentReason": "recovery-'"$( date )"'"}}' \
     --type=merge

   認証情報がロールアウトされている間、Kubernetes Controller Manager Operator のステータスは Progressing=true を報告します。ステータスを表示するには、次のコマンドを実行します。

   $ oc get co kube-controller-manager

7. クラスターの CCO が mint モードを使用するように設定されている場合、個別の CredentialsRequest オブジェクトによって参照される各コンポーネントシークレットを削除します。

   1. cluster-admin ロールを持つユーザーとして OpenShift Container Platform CLI にログインします。

   2. 参照されたすべてのコンポーネントシークレットの名前および namespace を取得します。

      $ oc -n openshift-cloud-credential-operator get CredentialsRequest \
        -o json | jq -r '.items[] | select (.spec.providerSpec.kind=="<provider_spec>") | .spec.secretRef'

      ここで、<provider_spec> はクラウドプロバイダーの対応する値になります。

      • AWS: AWSProviderSpec
      • Google Cloud: GCPProviderSpec

      AWS の部分的なサンプル出力

      {
        "name": "ebs-cloud-credentials",
        "namespace": "openshift-cluster-csi-drivers"
      }
      {
        "name": "cloud-credential-operator-iam-ro-creds",
        "namespace": "openshift-cloud-credential-operator"
      }

   3. 参照されるコンポーネントの各シークレットを削除します。

      $ oc delete secret <secret_name> \

      1

      
        -n <secret_namespace> 

      2

      1

      シークレットの名前を指定します。

      2

      シークレットを含む namespace を指定します。

      AWS シークレットの削除例

      $ oc delete secret ebs-cloud-credentials -n openshift-cluster-csi-drivers

      プロバイダーコンソールから認証情報を手動で削除する必要はありません。参照されるコンポーネントのシークレットを削除すると、CCO はプラットフォームから既存の認証情報を削除し、新規の認証情報を作成します。

1. Web コンソールの Administrator パースペクティブで、Workloads Secrets に移動します。
2. Value フィールドの内容が変更されていることを確認します。