7.3. GCP の IAM の手動作成

手順

1. インストールプログラムが含まれるディレクトリーに切り替え、以下のコマンドを実行して install-config.yaml ファイルを作成します。

   $ openshift-install create install-config --dir <installation_directory>

   ここで、<installation_directory> は、インストールプログラムがファイルを作成するディレクトリーに置き換えます。

2. install-config.yaml 設定ファイルを編集し、credentialsMode パラメーターが Manual に設定されるようにします。

   サンプル install-config.yaml 設定ファイル

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 1
   compute:
   - architecture: amd64
     hyperthreading: Enabled
   ...

   1

   この行は、credentialsMode パラメーターを Manual に設定するために追加されます。

3. マニフェストを生成するには、インストールプログラムが含まれるディレクトリーから以下のコマンドを実行します。

   $ openshift-install create manifests --dir <installation_directory>

   ここで、<installation_directory> は、インストールプログラムがファイルを作成するディレクトリーに置き換えます。

4. インストールプログラムが含まれるディレクトリーから、以下のコマンドを実行して、openshift-install バイナリーがビルドされている OpenShift Container Platform リリースイメージの詳細を取得します。

   $ openshift-install version

   出力例

   release image quay.io/openshift-release-dev/ocp-release:4.y.z-x86_64

5. 以下のコマンドを実行して、デプロイするクラウドをターゲットとするリリースイメージですべての CredentialsRequest オブジェクトを見つけます。

   $ oc adm release extract quay.io/openshift-release-dev/ocp-release:4.y.z-x86_64 \
     --credentials-requests \
     --cloud=gcp

   このコマンドにより、それぞれの CredentialsRequest オブジェクトに YAML ファイルが作成されます。

   サンプル CredentialsRequest オブジェクト

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component-credentials-request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: GCPProviderSpec
       predefinedRoles:
       - roles/storage.admin
       - roles/iam.serviceAccountUser
       skipServiceCheck: true
     ...

6. 以前に生成した openshift-install マニフェストディレクトリーにシークレットの YAML ファイルを作成します。シークレットは、それぞれの CredentialsRequest オブジェクトについて spec.secretRef に定義される namespace およびシークレット名を使用して保存する必要があります。

   シークレットを含む CredentialsRequest オブジェクトのサンプル

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component-credentials-request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
         ...
     secretRef:
       name: <component-secret>
       namespace: <component-namespace>
     ...

   サンプル Secret オブジェクト

   apiVersion: v1
   kind: Secret
   metadata:
     name: <component-secret>
     namespace: <component-namespace>
   data:
     service_account.json: <base64_encoded_gcp_service_account_file>

手順

1. 新規リリースの CredentialsRequest カスタムリソースを抽出して検査します。

   クラウドプロバイダーのインストールコンテンツの IAM の手動作成についてのセクションでは、クラウドに必要な認証情報を取得し、使用する方法について説明します。

2. クラスターで手動でメンテナンスされる認証情報を更新します。

   • 新規リリースイメージによって追加される CredentialsRequest カスタムリソースの新規のシークレットを作成します。
   • シークレットに保存される既存の認証情報の CredentialsRequest カスタムリソースにパーミッション要件を変更した場合は、必要に応じてパーミッションを更新します。

3. 新規リリースですべてのシークレットが正しい場合は、クラスターをアップグレードする準備が整っていることを示します。

   1. cluster-admin ロールを持つユーザーとして OpenShift Container Platform CLI にログインします。

   2. CloudCredential リソースを編集して、metadata フィールドに upgradeable-to アノテーションを追加します。

      $ oc edit cloudcredential cluster

      追加するテキスト

      ...
        metadata:
          annotations:
            cloudcredential.openshift.io/upgradeable-to: <version_number>
      ...

      ここで、<version_number> は、アップグレードするバージョン (x.y.z 形式) に置き換えます。例: OpenShift Container Platform 4.8.2 (OpenShift Container Platform 4.8.2 の場合)

      アノテーションを追加してから、upgradeable のステータスが変更されるまで、数分かかる場合があります。

4. CCO がアップグレードできることを確認します。

   1. Web コンソールの Administrator パースペクティブで、Administration Cluster Settings に移動します。
   2. CCO ステータスの詳細を表示するには、Cluster Operators 一覧で cloud-credential をクリックします。
   3. Conditions セクションの Upgradeable ステータスが False の場合に、upgradeable-to アノテーションに間違いがないことを確認します。