3.3. OpenShift Cluster Manager でサービスアカウント認証を使用してクラスターを作成する
手順
- OpenShift Cluster Manager にログインし、Create cluster をクリックします。
- Create an OpenShift cluster ページの Red Hat OpenShift Dedicated 行で Create cluster を選択します。
Billing model セクションで、サブスクリプションのタイプおよびインフラストラクチャーのタイプを設定します。
サブスクリプションのタイプを選択します。OpenShift Dedicated サブスクリプションオプションは、OpenShift Cluster Manager ドキュメントの クラスターのサブスクリプションと登録 を参照してください。
注記利用可能なサブスクリプションタイプは、OpenShift Dedicated のサブスクリプションおよびリソースクォータによって異なります。Red Hat では、Google Cloud Platform (GCP) Marketplace を通じて購入したオンデマンドサブスクリプションタイプを使用してクラスターをデプロイすることを推奨しています。この方法を使用すると、消費ベースの柔軟な請求モデルを利用できます。追加容量の消費がスムーズで、Red Hat の介入が不要です。
詳細は、営業担当者または Red Hat サポートにお問い合わせください。
- Customer Cloud Subscription インフラストラクチャータイプを選択し、OpenShift Dedicated を所有している既存のクラウドプロバイダーアカウントにデプロイします。
- Next をクリックします。
- Run on Google Cloud Platform を選択します。
認証タイプとして Service Account を選択します。
注記Red Hat では、認証タイプとして Workload Identity Federation を使用することを推奨しています。詳細は、関連情報 セクションの Workload Identity Federation 認証を使用して GCP 上にクラスターを作成する を参照してください。
- 記載されている Prerequisites (前提条件) を確認して完了します。
- チェックボックスを選択して、すべての前提条件を読み、完了したことを確認します。
- JSON 形式で GCP サービスアカウントの秘密鍵を指定します。Browse をクリックし、JSON ファイルを探して添付するか、Service account JSON フィールドに詳細を追加できます。
- Next をクリックしてクラウドプロバイダーアカウントを検証し、Cluster details ページに移動します。
Cluster details ページで、クラスターの名前を指定し、クラスターの詳細を指定します。
- Cluster name を追加します。
オプション: クラスターを作成すると、
openshiftapps.comにプロビジョニングされたクラスターのサブドメインとしてドメイン接頭辞が生成されます。クラスター名が 15 文字以下の場合、その名前がドメイン接頭辞に使用されます。クラスター名が 15 文字を超える場合、ドメイン接頭辞は 15 文字の文字列にランダムに生成されます。サブドメインをカスタマイズするには、Create customize domain prefix チェックボックスをオンにし、Domain prefix フィールドにドメイン接頭辞名を入力します。ドメイン接頭辞は 15 文字を超えてはならず、組織内で一意である必要があり、クラスターの作成後に変更できません。
Version ドロップダウンメニューからクラスターバージョンを選択します。
重要Private Service Connect (PSC) で設定されたクラスターは、OpenShift Dedicated バージョン 4.17 以降でのみサポートされます。PSC の詳細は、関連情報 セクションの Private Service の概要 を参照してください。
- Region ドロップダウンメニューからクラウドプロバイダーのリージョンを選択します。
- Single zone または Multi-zone 設定を選択します。
オプション: クラスターのインストール時にシールドされた VM を使用するには、Enable Secure Boot for Shielded VMs を選択します。詳細は、Shielded VMs を参照してください。
重要組織でポリシー制約
constraints/compute.requireShieldedVmが有効になっている場合、クラスターを正常に作成するには、Enable Secure Boot support for Shielded VMs を選択する必要があります。GCP 組織ポリシーの制約の詳細は、組織ポリシーの制約 を参照してください。- Enable user workload monitoring を選択したままにして、Red Hat サイト信頼性エンジニアリング (SRE) プラットフォームメトリックから切り離して独自のプロジェクトをモニターします。このオプションはデフォルトで有効になっています。
オプション: Advanced Encryption を展開して、暗号化設定を変更します。
デフォルトの AWS KMS キーを使用するには、デフォルト設定の Use default KMS Keys をそのまま使用します。または、カスタム KMS キーを使用するには、Use Custom KMS keys を選択します。
- Use Custom KMS keys を選択した場合は、Key ARN フィールドに AWS Key Management Service (KMS) カスタムキーの Amazon Resource Name (ARN) ARN を入力します。このキーは、クラスター内のすべてのコントロールプレーン、インフラストラクチャー、ワーカーノードのルートボリューム、および永続ボリュームを暗号化するために使用されます。
カスタム KMS キーを使用するには、Use custom KMS keys を選択します。カスタム KMS キーを使用しない場合は、デフォルト設定 Use default KMS Keys のままにしておきます。
重要カスタム KMS キーを使用するには、IAM サービスアカウント
osd-ccs-adminに Cloud KMS CryptoKey Encrypter/Decrypter ロールを付与する必要があります。リソースに対するロールの付与の詳細は、Granting roles on a resource を参照してください。Use Custom KMS keys を選択した場合は、以下を実行します。
- Key ring location ドロップダウンメニューからキーリングの場所を選択します。
- Key ring ドロップダウンメニューからキーリングを選択します。
- Key name ドロップダウンメニューからキー名を選択します。
- KMS Service Account を指定します。
オプション: クラスターで FIPS 検証を必須にする場合は、Enable FIPS cryptography を選択します。
注記Enable FIPS cryptography を選択すると、Enable additional etcd encryption がデフォルトで有効になり、無効にできなくなります。Enable FIPS cryptography を選択しなくても、Enable additional etcd encryption は選択できます。
オプション:etcd キー値の暗号化が必要な場合には、Enable additional etcd encryption を選択します。このオプションを使用すると、etcd キーの値は暗号化されますが、キーは暗号化されません。このオプションは、デフォルトで OpenShift Dedicated クラスターの etcd ボリュームを暗号化するコントロールプレーンのストレージ暗号化に追加されます。
注記追加の etcd 暗号化を有効にすると、約 20% のパフォーマンスオーバーヘッドが発生します。このオーバーヘッドは、etcd ボリュームを暗号化するデフォルトのコントロールプレーンのストレージ暗号化に加えて、この 2 つ目の暗号化レイヤーの導入により生じます。お客様のユースケースで特に etcd 暗号化が必要な場合にのみ、暗号化を有効にすることを検討してください。
- Next をクリックします。
- Default machine pool ページで、ドロップダウンメニューから Compute node instance type を選択します。
オプション: 自動スケーリングを有効にするには、Enable autoscaling チェックボックスを選択します。
- 自動スケーリング設定を変更するには、Edit cluster autoscaling settings をクリックします。
- 必要な変更を行ったら、Close をクリックします。
- 最小および最大のノード数を選択します。利用可能なプラス記号とマイナス記号を使用するか、数値入力フィールドに必要なノード数を入力することで、ノード数を選択できます。
ドロップダウンメニューから Compute node count を選択します。
注記複数のアベイラビリティーゾーンを使用している場合、コンピュートノード数はゾーンごとに設定されます。クラスターの作成後に、クラスター内のコンピュートノード数を変更できますが、マシンプールのコンピュートノードインスタンスのタイプを変更することはできません。利用可能なノード数および種類は、OpenShift Dedicated のサブスクリプションによって異なります。
オプション: Add node labels を展開してラベルをノードに追加します。Add additional label をクリックし、ノードラベルをさらに追加して、Next を選択します。
重要このステップのラベルは、Google Cloud ではなく Kubernetes 内のラベルを指しています。Kubernetes のラベルの詳細は、ラベルとセレクター を参照してください。
Network configuration ページで Public または Private を選択し、クラスターのパブリックまたはプライベート API エンドポイントおよびアプリケーションルートを使用します。
Private を選択し、クラスターバージョンとして OpenShift Dedicated バージョン 4.17 以降を選択した場合は、Use Private Service Connect がデフォルトで選択されます。Private Service Connect (PSC) は、Google Cloud のセキュリティー強化ネットワーク機能です。Use Private Service Connect チェックボックスをクリックすると、PSC を無効にできます。
注記Red Hat では、Google Cloud にプライベート OpenShift Dedicated クラスターをデプロイする場合に、Private Service Connect を使用することを推奨しています。Private Service Connect は、Red Hat インフラストラクチャー、Site Reliability Engineering (SRE)、およびプライベート OpenShift Dedicated クラスター間のセキュアなプライベート接続を実現します。
重要プライベート API エンドポイントを使用している場合、クラウドプロバイダーアカウントのネットワーク設定を更新するまでクラスターにはアクセスできません。
オプション: クラスターを既存の GCP Virtual Private Cloud (VPC) にインストールするには、以下を実行します。
Install to an existing VPC を選択します。
重要Private Service Connect は、既存の VPC へのインストール でのみサポートされています。
既存の VPC にインストールし、クラスターの HTTP または HTTPS プロキシーを有効にする場合は、Configure a cluster-wide proxy を参照してください。
重要クラスターのクラスター全体のプロキシーを設定するには、まず Cloud ネットワークアドレス変換 (NAT) と Cloud ルーターを作成する必要があります。詳細は、関連情報 セクションを参照してください。
デフォルトのアプリケーション Ingress 設定を受け入れます。または、独自のカスタム設定を作成するには、Custom Settings を選択します。
- オプション: ルートセレクターを指定します。
- オプション: 除外する namespace を指定します。
- namespace の所有権ポリシーを選択します。
ワイルドカードポリシーを選択します。
カスタムアプリケーションの Ingress 設定の詳細は、各設定に用意されている情報アイコンをクリックしてください。
- Next をクリックします。
オプション: クラスターを GCP の共有 VPC にインストールする場合は、以下を実行します。
重要クラスターを共有 VPC にインストールするには、OpenShift Dedicated バージョン 4.13.15 以降を使用する必要があります。さらに、ホストプロジェクトの VPC オーナーが、Google Cloud コンソールでプロジェクトをホストプロジェクトとして有効にする必要があります。詳細は、Enable a host project を参照してください。
- Install into GCP Shared VPC を選択します。
Host project ID を指定します。指定したホストプロジェクト ID が間違っていると、クラスターの作成が失敗します。
重要クラスター設定ウィザード内の手順を完了し、Create Cluster をクリックすると、クラスターが "Installation Waiting" の状態になります。この時点で、ホストプロジェクトの VPC オーナーに連絡する必要があります。オーナーは動的に生成されたサービスアカウントに、Compute Network Administrator、Compute Security Administrator、Project IAM Admin、および DNS Administrator ロールを割り当てる必要があります。ホストプロジェクトの VPC オーナーが 30 日以内に上記の権限を付与しないと、クラスターの作成が失敗します。共有 VPC の権限の詳細は、Provision Shared VPC を参照してください。
クラスターを既存の GCP VPC にインストールする場合、Virtual Private Cloud (VPC) サブネット設定 を指定して、Next を選択します。Cloud ネットワークアドレス変換 (NAT) と Cloud ルーターを作成しておく必要があります。Cloud NAT と Google VPC は、「関連情報」のセクションを参照してください。
注記クラスターを共有 VPC にインストールする場合、VPC 名とサブネットはホストプロジェクトから共有されます。
クラスター全体のプロキシーを設定することを選択した場合は、Cluster-wide proxy ページでプロキシー設定の詳細を指定します。
次のフィールドの少なくとも 1 つに値を入力します。
- 有効な HTTP proxy URL を指定します。
- 有効な HTTPS proxy URL を指定します。
-
Additional trust bundle フィールドに、PEM でエンコードされた X.509 証明書バンドルを指定します。このバンドルはクラスターノードの信頼済み証明書ストアに追加されます。TLS 検査プロキシーを使用する場合は、プロキシーのアイデンティティー証明書が Red Hat Enterprise Linux CoreOS (RHCOS) 信頼バンドルからの認証局によって署名されない限り、追加の信頼バンドルファイルが必要です。この要件は、プロキシーが透過的であるか、
http-proxyおよびhttps-proxy引数を使用して明示的な設定を必要とするかに関係なく適用されます。
Next をクリックします。
OpenShift Dedicated でのプロキシーの設定に関する詳細は、クラスター全体のプロキシーの設定 を参照してください。
CIDR ranges ダイアログで、カスタムの Classless Inter-Domain Routing (CIDR) 範囲を設定するか、提供されるデフォルトを使用します。
注記VPC にインストールする場合、Machine CIDR 範囲は VPC サブネットに一致する必要があります。
重要CIDR 設定は後で変更することはできません。続行する前に、ネットワーク管理者と選択内容を確認してください。
Cluster update strategy ページで、更新設定を行います。
クラスターの更新方法を選択します。
- 各更新を個別にスケジュールする場合は、Individual updates を選択します。以下はデフォルトのオプションになります。
Recurring updates を選択して、更新が利用可能な場合に、希望の曜日と開始時刻にクラスターを更新します。
注記OpenShift Dedicated の更新ライフサイクルのドキュメントでライフサイクルの終了日を確認できます。詳細は、OpenShift Dedicated 更新ライフサイクル を参照してください。
クラスターの更新方法に基づいて管理者の承認を提供します。
- 個別の更新: 承認が必要な更新バージョンを選択した場合は、管理者の確認を提供し、Approve and continue をクリックします。
- 定期的な更新: クラスターの定期的な更新を選択した場合は、管理者の確認を提供し、Approve and continue をクリックします。OpenShift Cluster Manager が、管理者承認なしでマイナーバージョンのスケジュールされた y-stream 更新を開始することはありません。
- 繰り返し更新を選択した場合は、ドロップダウンメニューから希望の曜日およびアップグレード開始時刻 (UTC) を選択します。
- オプション: クラスターアップグレード時の ノードのドレイン (解放) の猶予期間を設定できます。デフォルトで 1 時間 の猶予期間が設定されています。
Next をクリックします。
注記クラスターのセキュリティーまたは安定性に大きく影響する重大なセキュリティー問題がある場合、Red Hat サイト信頼性エンジニアリング (SRE) は、影響を受けない最新の z ストリームバージョンへの自動更新をスケジュールする場合があります。更新は、お客様に通知された後、48 時間以内に適用されます。重大な影響を及ぼすセキュリティー評価の説明は、Red Hat セキュリティー評価について を参照してください。
- 選択の概要を確認し、Create cluster をクリックしてクラスターのインストールを開始します。インストールが完了するまで約 30 - 40 分かかります。
オプション: Overview タブで、Delete Protection: Disabled のすぐ下にある Enable を選択して、削除保護機能を有効にできます。これにより、クラスターが削除されなくなります。削除保護を無効にするには、Disable を選択します。デフォルトでは、クラスターは削除保護機能が無効になった状態で作成されます。
注記GCP 共有 VPC にインストールされたクラスターを削除する場合は、ホストプロジェクトの VPC オーナーに、クラスター作成時に言及したサービスアカウントに付与された IAM ポリシーロールを削除するように通知します。
検証
- クラスターの Overview ページで、インストールの進捗をモニターできます。同じページでインストールのログを表示できます。そのページの Details セクションの Status が Ready として表示されると、クラスターは準備が完了した状態になります。
