2.5. operator を使用した OpenShift への 3scale のデプロイメント設定オプション

手順

1. 注入するカスタム環境を定義する Lua コードを記述します。たとえば、次の env1.lua ファイルは、3scale Operator がすべてのサービスに対してロードするカスタムログポリシーを示しています。

   local cjson = require('cjson')
   local PolicyChain = require('apicast.policy_chain')
   local policy_chain = context.policy_chain
   
   local logging_policy_config = cjson.decode([[
   {
     "enable_access_logs": false,
     "custom_logging": "\"{{request}}\" to service {{service.id}} and {{service.name}}"
   }
   ]])
   
   policy_chain:insert( PolicyChain.load_policy('logging', 'builtin', logging_policy_config), 1)
   
   return {
     policy_chain = policy_chain,
     port = { metrics = 9421 },
   }

   Copy to Clipboard Toggle word wrap

2. カスタム環境を定義する Lua ファイルからシークレットを作成します。以下に例を示します。

   $ oc create secret generic custom-env-1 --from-file=./env1.lua

   Copy to Clipboard Toggle word wrap

   シークレットには複数のカスタム環境を含めることができます。カスタム環境を定義する各ファイルの '-from-file オプションを指定します。Operator は各カスタム環境をロードします。

3. 作成したシークレットを参照する APIManager カスタムリソース (CR) を定義します。以下の例は、カスタム環境を定義するシークレットの参照に関連するコンテンツのみを示しています。

   apiVersion: apps.3scale.net/v1alpha1
   kind: APIManager
   metadata:
     name: apimanager-apicast-custom-environment
   spec:
     wildcardDomain: <desired-domain>
     apicast:
       productionSpec:
         customEnvironments:
           - secretRef:
               name: custom-env-1
       stagingSpec:
         customEnvironments:
           - secretRef:
               name: custom-env-1

   Copy to Clipboard Toggle word wrap

   APIManager CR は、カスタム環境を定義する複数のシークレットを参照できます。Operator は各カスタム環境をロードします。

4. カスタム環境を追加する APIManager CR を作成します。以下に例を示します。

   $ oc apply -f apimanager.yaml

   Copy to Clipboard Toggle word wrap

手順

1. 1 つのカスタムポリシーを定義するファイルからシークレットを作成します。以下に例を示します。

   $ oc create secret generic my-first-custom-policy-secret \
    --from-file=./apicast-policy.json \
    --from-file=./init.lua \
    --from-file=./my-first-custom-policy.lua

   Copy to Clipboard Toggle word wrap

   複数のカスタムポリシーがある場合は、カスタムポリシーごとにシークレットを作成します。シークレットには、カスタムポリシーを 1 つだけ含めることができます。

2. カスタムポリシーが含まれる各シークレットを参照する APIManager CR を定義します。APIcast ステージングと APIcast 実稼働環境に同じシークレットを指定できます。次の例は、カスタムポリシーを含む参照シークレットに関連するコンテンツのみを示しています。

   apiVersion: apps.3scale.net/v1alpha1
   kind: APIManager
   metadata:
     name: apimanager-apicast-custom-policy
   spec:
     apicast:
       stagingSpec:
         customPolicies:
           - name: my-first-custom-policy
             version: "0.1"
             secretRef:
               name: my-first-custom-policy-secret
           - name: my-second-custom-policy
             version: "0.1"
             secretRef:
               name: my-second-custom-policy-secret
       productionSpec:
         customPolicies:
           - name: my-first-custom-policy
             version: "0.1"
             secretRef:
               name: my-first-custom-policy-secret
           - name: my-second-custom-policy
             version: "0.1"
             secretRef:
               name: my-second-custom-policy-secret

   Copy to Clipboard Toggle word wrap

   APIManager CR は、異なるカスタムポリシーを定義する複数のシークレットを参照できます。Operator は各カスタムポリシーをロードします。

3. カスタムポリシーが含まれるシークレットを参照する APIManager CR を作成します。以下に例を示します。

   $ oc apply -f apimanager.yaml

   Copy to Clipboard Toggle word wrap

手順

1. stringData.config に OpenTracing 設定の詳細を含めて、シークレットを定義します。これは、OpenTracing 設定の詳細が含まれる属性の唯一有効な値です。その他の仕様では、APIcast が OpenTracing 設定の詳細を受け取れないようにします。以下の例は、有効なシークレット定義を示しています。

   apiVersion: v1
   kind: Secret
   metadata:
     name: myjaeger
   stringData:
     config: |-
         {
         "service_name": "apicast",
         "disabled": false,
         "sampler": {
           "type": "const",
           "param": 1
         },
         "reporter": {
           "queueSize": 100,
           "bufferFlushInterval": 10,
           "logSpans": false,
           "localAgentHostPort": "jaeger-all-in-one-inmemory-agent:6831"
         },
         "headers": {
           "jaegerDebugHeader": "debug-id",
           "jaegerBaggageHeader": "baggage",
           "TraceContextHeaderName": "uber-trace-id",
           "traceBaggageHeaderPrefix": "testctx-"
         },
         "baggage_restrictions": {
             "denyBaggageOnInitializationFailure": false,
             "hostPort": "127.0.0.1:5778",
             "refreshInterval": 60
         }
         }
   type: Opaque

   Copy to Clipboard Toggle word wrap

2. シークレットを作成します。たとえば、以前のシークレット定義を myjaeger.yaml ファイルに保存した場合は、以下のコマンドを実行します。

   $ oc create -f myjaeger.yaml

   Copy to Clipboard Toggle word wrap

3. OpenTracing 属性を指定する APIManager カスタムリソース (CR) を定義します。CR 定義で、openTracing.tracingConfigSecretRef.name 属性を OpenTracing 設定の詳細が含まれるシークレットの名前に設定します。以下の例は、OpenTracing の設定に関するコンテンツのみを示しています。

   apiVersion: apps.3scale.net/v1alpha1
   kind: APIManager
   metadata:
     name: apimanager1
   spec:
     apicast:
       stagingSpec:
         ...
         openTracing:
           enabled: true
           tracingLibrary: jaeger
           tracingConfigSecretRef:
             name: myjaeger
       productionSpec:
         ...
           openTracing:
             enabled: true
             tracingLibrary: jaeger
             tracingConfigSecretRef:
               name: myjaeger

   Copy to Clipboard Toggle word wrap

4. OpenTracing を設定する APIManager CR を作成します。たとえば、APIManager CR を apimanager1.yaml ファイルに保存した場合は、以下のコマンドを実行します。

   $ oc apply -f apimanager1.yaml

   Copy to Clipboard Toggle word wrap

手順

1. 以下のように、有効な証明書からシークレットを作成します。

   $ oc create secret tls mycertsecret --cert=server.crt --key=server.key

   Copy to Clipboard Toggle word wrap

   この設定により、APIManager カスタムリソース (CR) 内のシークレット参照が公開されます。シークレットを作成してから、以下のように APIManager CR でシークレットの名前を参照します。

   • 実稼働: APIManager CR は .spec.apicast.productionSpec.httpsCertificateSecretRef フィールドの証明書を公開します。

   • ステージング: APIManager CR は .spec.apicast.stagingSpec.httpsCertificateSecretRef フィールドの証明書を公開します。

     必要に応じて、以下を設定できます。

   • httpsPort は、APIcast が HTTPS 接続に対してリッスンを開始するポートを示します。これが HTTP ポートと競合する場合には、APIcast はこのポートを HTTPS にのみ使用します。

   • httpsVerifyDepth は、クライアント証明書チェーンの最大長を定義します。

     注記

     APIManager CR から有効な証明書および参照を指定します。設定で httpsPort にアクセスでき、httpsCertificateSecretRef ではない場合、APIcast は組み込まれた自己署名証明書を使用します。これは、推奨されません。

2. Operators > Installed Operators の順にクリックします。
3. Installed Operators のリストで、3scale Operator をクリックします。
4. API Manager タブをクリックします。
5. Create APIManager をクリックします。

6. 以下の YAML 定義をエディターに追加します。

   1. production で有効にする場合は、以下の YAML 定義を設定します。

      spec:
        apicast:
          productionSpec:
            httpsPort: 8443
            httpsVerifyDepth: 1
            httpsCertificateSecretRef:
              name: mycertsecret

      Copy to Clipboard Toggle word wrap

   2. staging で有効にする場合は、以下の YAML 定義を設定します。

      spec:
        apicast:
          stagingSpec:
            httpsPort: 8443
            httpsVerifyDepth: 1
            httpsCertificateSecretRef:
              name: mycertsecret

      Copy to Clipboard Toggle word wrap
7. Create をクリックします。

手順

1. OpenShift にログインしていない場合はログインします。

   $ oc login

   Copy to Clipboard Toggle word wrap

2. oc patch コマンドを使用して、system-smtp がシークレットの名前であるシークレットタイプを指定し、その後に -p オプションを付けて、次の変数の JSON に新しい値を書き込みます。

   Expand

   表2.2 system-smtp

   フィールド	説明	デフォルト値
   address	これは、使用するリモートメールサーバーのアドレス (ホスト名または IP) です。これが "" 以外の値に設定されている場合、システムはメールサーバーを使用して、API 管理ソリューションで発生するイベントに関連するメールを送信します。	""
   port	これは、使用するリモートメールサーバーのポートです。	""
   domain	メールサーバーで HELO ドメインが必要な場合は、domain を使用します。	""
   認証	メールサーバーで認証が必要な場合に使用します。認証タイプを設定します。plain はパスワードを plain で送信し、login は Base64 エンコードされたパスワードを送信します。cram_md5 は HMAC-MD5 アルゴリズムに基づくチャレンジ/レスポンスメカニズムを組み合わせます。	""
   username	メールサーバーが認証を必要とし、認証タイプがそれを必要とする場合は、username を使用します。	""
   password	メールサーバーが認証を必要とし、認証タイプがそれを必要とする場合は、password を使用します。	""
   openssl.verify.mode	TLS を使用する場合、OpenSSL が証明書をチェックする方法を設定できます。これは、自己署名証明書やワイルドカード証明書を検証する必要がある場合に役立ちます。OpenSSL 検証定数の名前 none または peer を使用できます。	""
   from_address	無返信メールの from アドレス値。	""

   Show more

   例

   $ oc patch secret system-smtp -p '{"stringData":{"address":"<your_address>"}}'
   $ oc patch secret system-smtp -p '{"stringData":{"username":"<your_username>"}}'
   $ oc patch secret system-smtp -p '{"stringData":{"password":"<your_password>"}}'

   Copy to Clipboard Toggle word wrap

3. secret 変数を設定した後、system-app および system-sidekiq Pod を再デプロイします。

   $ oc rollout latest dc/system-app
   $ oc rollout latest dc/system-sidekiq

   Copy to Clipboard Toggle word wrap

4. ロールアウトのステータスを表示し、読み込みが完了したことを確認します。

   $ oc rollout status dc/system-app
   $ oc rollout status dc/system-sidekiq

   Copy to Clipboard Toggle word wrap