18.5. Amazon Web Services Security Token Service での手動モードの使用

手順

1. OpenShift Container Platform リリースイメージを取得します。

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

2. OpenShift Container Platform リリースイメージから CCO コンテナーイメージを取得します。

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE)

   注記

   $RELEASE_IMAGE のアーキテクチャーが、ccoctl ツールを使用する環境のアーキテクチャーと一致していることを確認してください。

3. OpenShift Container Platform リリースイメージ内の CCO コンテナーイメージから ccoctl バイナリーを展開します。

   $ oc image extract $CCO_IMAGE --file="/usr/bin/ccoctl" -a ~/.pull-secret

4. ccoctl を実行可能にするようにパーミッションを変更します。

   $ chmod 775 ccoctl

手順

1. インストールプログラムが含まれるディレクトリーに切り替え、install-config.yaml ファイルを作成します。

   $ openshift-install create install-config --dir <installation_directory>

   ここで、<installation_directory> は、インストールプログラムがファイルを作成するディレクトリーに置き換えます。

2. install-config.yaml 設定ファイルを編集し、credentialsMode パラメーターが Manual に設定されるようにします。

   サンプル install-config.yaml 設定ファイル

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 1
   compute:
   - architecture: amd64
     hyperthreading: Enabled
   ...

   1

   この行は、credentialsMode パラメーターを Manual に設定するために追加されます。

3. 必要な OpenShift Container Platform インストールマニフェストを作成します。

   $ openshift-install create manifests

4. ccoctl によって生成されたマニフェストを、インストールプログラムが作成した manifests ディレクトリーにコピーします。

   $ cp /<path_to_ccoctl_output_dir>/manifests/* ./manifests/

5. ccoctl が tls ディレクトリーに生成したプライベートキーをインストールディレクトリーにコピーします。

   $ cp -a /<path_to_ccoctl_output_dir>/tls .

6. OpenShift Container Platform インストーラーを実行します。

   $ ./openshift-install create cluster

1. OpenShift Container Platform クラスターに接続します。

2. クラスターに root 認証情報がないことを確認します。

   $ oc get secrets -n kube-system aws-creds

   出力は以下のようになります。

   Error from server (NotFound): secrets "aws-creds" not found

3. コンポーネントが、CCO によって作成される認証情報を使用するのではなく、シークレットマニフェストで指定された IAM ロールを持つことを確認します。

   Image Registry Operator を使用したコマンドの例

   $ oc get secrets -n openshift-image-registry installer-cloud-credentials -o json | jq -r .data.credentials | base64 --decode

   出力には、コンポーネントによって使用されるロールおよび Web アイデンティティートークンが表示され、以下のように表示されるはずです。

   Image Registry Operator を使用した出力例

   [default]
   role_arn = arn:aws:iam::123456789:role/openshift-image-registry-installer-cloud-credentials
   web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token

手順

1. OpenShift Container Platform リリースイメージを取得します。

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

2. OpenShift Container Platform リリースイメージから CCO コンテナーイメージを取得します。

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE)

   注記

   $RELEASE_IMAGE のアーキテクチャーが、ccoctl ツールを使用する環境のアーキテクチャーと一致していることを確認してください。

3. OpenShift Container Platform リリースイメージ内の CCO コンテナーイメージから ccoctl バイナリーを展開します。

   $ oc image extract $CCO_IMAGE --file="/usr/bin/ccoctl" -a ~/.pull-secret

4. ccoctl を実行可能にするようにパーミッションを変更します。

   $ chmod 775 ccoctl

手順

1. OpenShift Container Platform リリースイメージから CredentialsRequest カスタムリソース (CR) のリストを抽出します。

   $ oc adm release extract \
   --credentials-requests \
   --cloud=aws \
   --to=<path_to_directory_with_list_of_credentials_requests>/credrequests \ 1
   --quay.io/<path_to>/ocp-release:<version>

   1

   credrequests は、CredentialsRequest オブジェクトのリストが格納されるディレクトリーです。ディレクトリーが存在しない場合、このコマンドはディレクトリーを作成します。

2. リリースイメージの各 credentialsrequest について、spec.secretRef.namespace フィールドのテキストと一致するネームスペースがクラスターに存在することを確認します。このフィールドには、クレデンシャルの設定を保持する生成されたシークレットが保存されます。

   サンプル AWS CredentialsRequest オブジェクト

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: cloud-credential-operator-iam-ro
     namespace: openshift-cloud-credential-operator
   spec:
     secretRef:
       name: cloud-credential-operator-iam-ro-creds
       namespace: openshift-cloud-credential-operator 1
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: AWSProviderSpec
       statementEntries:
       - effect: Allow
         action:
         - iam:GetUser
         - iam:GetUserPolicy
         - iam:ListAccessKeys
         resource: "*"

   1

   このフィールドは、生成されたシークレットを保持するために存在する必要がある namespace を示します。

3. クラスターに spec.secretRef.namespace で指定された名前の namespace がない CredentialsRequest CR の場合は、namespace を作成します。

   $ oc create namespace <component_namespace>

4. ccoctl ツールを使用して、credrequests ディレクトリーですべての CredentialsRequest オブジェクトを処理します。

   $ ccoctl aws create-iam-roles \
   --name <name> \
   --region=<aws_region> \
   --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests \
   --identity-provider-arn arn:aws:iam::<aws_account_id>:oidc-provider/<name>-oidc.s3.<aws_region>.amazonaws.com

   ここでは、以下のようになります。

   • <name> は、追跡用に作成されたクラウドリソースにタグを付けるために使用される名前です。アップグレードの場合は、初期インストールで使用したのと同じ値を使用してください。
   • <aws_account_id> は AWS アカウント ID です。
   • <aws_region> は、クラウドリソースが作成される AWS リージョンです。
   注記

   GovCloud などの代替の IAM API エンドポイントを使用する AWS 環境では、--region パラメーターでリージョンを指定する必要もあります。

   それぞれの CredentialsRequest オブジェクトについて、ccoctl は指定された OIDC アイデンティティープロバイダーに関連付けられた信頼ポリシーと、OpenShift Container Platform リリースイメージの各 CredentialsRequest オブジェクトに定義されるパーミッションポリシーを使用して IAM ロールを作成します。

5. クラスターにシークレットを適用します。

   $ ls <path_to_ccoctl_output_dir>/manifests/*-credentials.yaml | xargs -I{} oc apply -f {}

手順

1. 新規リリースの CredentialsRequest カスタムリソースを抽出して検査します。

   クラウドプロバイダーのインストールコンテンツの IAM の手動作成についてのセクションでは、クラウドに必要な認証情報を取得し、使用する方法について説明します。

2. クラスターで手動でメンテナンスされる認証情報を更新します。

   • 新規リリースイメージによって追加される CredentialsRequest カスタムリソースの新規のシークレットを作成します。
   • シークレットに保存される既存の認証情報の CredentialsRequest カスタムリソースにパーミッション要件を変更した場合は、必要に応じてパーミッションを更新します。

3. 新規リリースですべてのシークレットが正しい場合は、クラスターをアップグレードする準備が整っていることを示します。

   1. cluster-admin ロールを持つユーザーとして OpenShift Container Platform CLI にログインします。

   2. CloudCredential リソースを編集して、metadata フィールドに upgradeable-to アノテーションを追加します。

      $ oc edit cloudcredential cluster

      追加するテキスト

      ...
        metadata:
          annotations:
            cloudcredential.openshift.io/upgradeable-to: <version_number>
      ...

      ここで、<version_number> は、アップグレードするバージョン (x.y.z 形式) に置き換えます。例: OpenShift Container Platform 4.8.2 (OpenShift Container Platform 4.8.2 の場合)

      アノテーションを追加してから、upgradeable のステータスが変更されるまで、数分かかる場合があります。

4. CCO がアップグレードできることを確認します。

   1. Web コンソールの Administrator パースペクティブで、Administration Cluster Settings に移動します。
   2. CCO ステータスの詳細を表示するには、Cluster Operators 一覧で cloud-credential をクリックします。
   3. Conditions セクションの Upgradeable ステータスが False の場合に、upgradeable-to アノテーションに間違いがないことを確認します。