1.5. Operator を使用した OpenShift での 3scale API Management のデプロイメント設定オプション

手順

1. 注入するカスタム環境を定義する Lua コードを記述します。たとえば、次の env1.lua ファイルは、3scale Operator がすべてのサービスに対してロードするカスタムログポリシーを示しています。

   local cjson = require('cjson')
   local PolicyChain = require('apicast.policy_chain')
   local policy_chain = context.policy_chain
   
   local logging_policy_config = cjson.decode([[
   {
     "enable_access_logs": false,
     "custom_logging": "\"{{request}}\" to service {{service.id}} and {{service.name}}"
   }
   ]])
   
   policy_chain:insert( PolicyChain.load_policy('logging', 'builtin', logging_policy_config), 1)
   
   return {
     policy_chain = policy_chain,
     port = { metrics = 9421 },
   }

   Copy to Clipboard Toggle word wrap

2. カスタム環境を定義する Lua ファイルからシークレットを作成します。以下に例を示します。

   $ oc create secret generic custom-env-1 --from-file=./env1.lua

   Copy to Clipboard Toggle word wrap

   シークレットには複数のカスタム環境を含めることができます。カスタム環境を定義する各ファイルの -from-file オプションを指定します。Operator は各カスタム環境をロードします。

3. 作成したシークレットを参照する APIManager カスタムリソース (CR) を定義します。以下の例は、カスタム環境を定義するシークレットの参照に関連するコンテンツのみを示しています。

   apiVersion: apps.3scale.net/v1alpha1
   kind: APIManager
   metadata:
     name: apimanager-apicast-custom-environment
   spec:
     wildcardDomain: <desired-domain>
     apicast:
       productionSpec:
         customEnvironments:
           - secretRef:
               name: custom-env-1
       stagingSpec:
         customEnvironments:
           - secretRef:
               name: custom-env-1

   Copy to Clipboard Toggle word wrap

   APIManager CR は、カスタム環境を定義する複数のシークレットを参照できます。Operator は各カスタム環境をロードします。

4. カスタム環境を追加する APIManager CR を作成します。以下に例を示します。

   $ oc apply -f apimanager.yaml

   Copy to Clipboard Toggle word wrap

手順

1. 1 つのカスタムポリシーを定義するファイルからシークレットを作成します。以下に例を示します。

   $ oc create secret generic my-first-custom-policy-secret \
    --from-file=./apicast-policy.json \
    --from-file=./init.lua \
    --from-file=./my-first-custom-policy.lua

   Copy to Clipboard Toggle word wrap

   複数のカスタムポリシーがある場合は、カスタムポリシーごとにシークレットを作成します。シークレットには、カスタムポリシーを 1 つだけ含めることができます。

2. 3scale Operator を使用してシークレットの変更を監視します。apimanager.apps.3scale.net/watched-by=apimanager ラベルを追加して、3scale Operator シークレットの変更の監視を開始します。

   $ oc label secret my-first-custom-policy-secret apimanager.apps.3scale.net/watched-by=apimanager

   Copy to Clipboard Toggle word wrap
   注記

   デフォルトでは、シークレットへの変更は 3scale Operator によって追跡されません。ラベルを設定すると、シークレットに変更を加えるたびに 3scale Operator が APIcast デプロイメントを自動的に更新します。これは、シークレットが使用されているステージング環境と実稼働環境の両方で発生します。3scale Operator は、いかなる形でもシークレットの所有権を取得しません。

3. カスタムポリシーが含まれる各シークレットを参照する APIManager CR を定義します。APIcast ステージングと APIcast 実稼働環境に同じシークレットを指定できます。次の例は、カスタムポリシーを含む参照シークレットに関連するコンテンツのみを示しています。

   apiVersion: apps.3scale.net/v1alpha1
   kind: APIManager
   metadata:
     name: apimanager-apicast-custom-policy
   spec:
     apicast:
       stagingSpec:
         customPolicies:
           - name: my-first-custom-policy
             version: "0.1"
             secretRef:
               name: my-first-custom-policy-secret
           - name: my-second-custom-policy
             version: "0.1"
             secretRef:
               name: my-second-custom-policy-secret
       productionSpec:
         customPolicies:
           - name: my-first-custom-policy
             version: "0.1"
             secretRef:
               name: my-first-custom-policy-secret
           - name: my-second-custom-policy
             version: "0.1"
             secretRef:
               name: my-second-custom-policy-secret

   Copy to Clipboard Toggle word wrap

   APIManager CR は、異なるカスタムポリシーを定義する複数のシークレットを参照できます。Operator は各カスタムポリシーをロードします。

4. カスタムポリシーが含まれるシークレットを参照する APIManager CR を作成します。以下に例を示します。

   $ oc apply -f apimanager.yaml

   Copy to Clipboard Toggle word wrap

手順

1. stringData.config に OpenTracing 設定の詳細を含めて、シークレットを定義します。これは、OpenTracing 設定の詳細が含まれる属性の唯一有効な値です。その他の仕様では、APIcast が OpenTracing 設定の詳細を受け取れないようにします。以下の例は、有効なシークレット定義を示しています。

   apiVersion: v1
   kind: Secret
   metadata:
     name: myjaeger
   stringData:
     config: |-
         {
         "service_name": "apicast",
         "disabled": false,
         "sampler": {
           "type": "const",
           "param": 1
         },
         "reporter": {
           "queueSize": 100,
           "bufferFlushInterval": 10,
           "logSpans": false,
           "localAgentHostPort": "jaeger-all-in-one-inmemory-agent:6831"
         },
         "headers": {
           "jaegerDebugHeader": "debug-id",
           "jaegerBaggageHeader": "baggage",
           "TraceContextHeaderName": "uber-trace-id",
           "traceBaggageHeaderPrefix": "testctx-"
         },
         "baggage_restrictions": {
             "denyBaggageOnInitializationFailure": false,
             "hostPort": "127.0.0.1:5778",
             "refreshInterval": 60
         }
         }
   type: Opaque

   Copy to Clipboard Toggle word wrap

2. シークレットを作成します。たとえば、以前のシークレット定義を myjaeger.yaml ファイルに保存した場合は、以下のコマンドを実行します。

   $ oc create -f myjaeger.yaml

   Copy to Clipboard Toggle word wrap

3. OpenTracing 属性を指定する APIManager カスタムリソース (CR) を定義します。CR 定義で、openTracing.tracingConfigSecretRef.name 属性を OpenTracing 設定の詳細が含まれるシークレットの名前に設定します。以下の例は、OpenTracing の設定に関するコンテンツのみを示しています。

   apiVersion: apps.3scale.net/v1alpha1
   kind: APIManager
   metadata:
     name: apimanager1
   spec:
     apicast:
       stagingSpec:
         ...
         openTracing:
           enabled: true
           tracingLibrary: jaeger
           tracingConfigSecretRef:
             name: myjaeger
       productionSpec:
         ...
           openTracing:
             enabled: true
             tracingLibrary: jaeger
             tracingConfigSecretRef:
               name: myjaeger

   Copy to Clipboard Toggle word wrap

4. OpenTracing を設定する APIManager CR を作成します。たとえば、APIManager CR を apimanager1.yaml ファイルに保存した場合は、以下のコマンドを実行します。

   $ oc apply -f apimanager1.yaml

   Copy to Clipboard Toggle word wrap

手順

1. 以下のように、有効な証明書からシークレットを作成します。

   $ oc create secret tls mycertsecret --cert=server.crt --key=server.key

   Copy to Clipboard Toggle word wrap

   この設定により、APIManager カスタムリソース (CR) 内のシークレット参照が公開されます。シークレットを作成してから、以下のように APIManager CR でシークレットの名前を参照します。

   • 実稼働: APIManager CR は .spec.apicast.productionSpec.httpsCertificateSecretRef フィールドの証明書を公開します。

   • ステージング: APIManager CR は .spec.apicast.stagingSpec.httpsCertificateSecretRef フィールドの証明書を公開します。

     必要に応じて、以下を設定できます。

   • httpsPort は、APIcast が HTTPS 接続に対してリッスンを開始するポートを示します。これが HTTP ポートと競合する場合には、APIcast はこのポートを HTTPS にのみ使用します。

   • httpsVerifyDepth は、クライアント証明書チェーンの最大長を定義します。

     注記

     APIManager CR から有効な証明書および参照を指定します。設定で httpsPort にアクセスでき、httpsCertificateSecretRef ではない場合、APIcast は組み込まれた自己署名証明書を使用します。これは、推奨されません。

2. Operators > Installed Operators の順にクリックします。
3. Installed Operators のリストで、3scale Operator をクリックします。
4. API Manager タブをクリックします。
5. Create APIManager をクリックします。

6. 以下の YAML 定義をエディターに追加します。

   1. 実稼働 環境で有効にする場合は、次の YAML 定義を設定します。

      spec:
        apicast:
          productionSpec:
            httpsPort: 8443
            httpsVerifyDepth: 1
            httpsCertificateSecretRef:
              name: mycertsecret

      Copy to Clipboard Toggle word wrap

   2. staging で有効にする場合は、以下の YAML 定義を設定します。

      spec:
        apicast:
          stagingSpec:
            httpsPort: 8443
            httpsVerifyDepth: 1
            httpsCertificateSecretRef:
              name: mycertsecret

      Copy to Clipboard Toggle word wrap
7. Create をクリックします。

手順

1. まだログインしていない場合は、OpenShift にログインし、oc コマンドを使用して 3scale オンプレミスインスタンスがインストールされているプロジェクトを選択します。

   $ oc login -u <user> <url>
   $ oc project <3scale-project>

   Copy to Clipboard Toggle word wrap

2. oc patch コマンドを使用して、シークレット system-smtp を更新します。次の JSON でオプション -p を使用します: {"stringData":{"<field>":"<value>"}}。ここで、<field> はシークレットのフィールド、<value> は設定したい値です。利用可能なフィールドの完全なリストは以下の表に記載されています。

   Expand

   表1.4 system-smtp

   フィールド	説明	シークレットのデフォルト値	アプリケーションメーラーのデフォルト値
   address	リモートメールサーバーのアドレス。	""	nil
   port	使用するリモートメールサーバーのポート。	""	0
   username	メールサーバーが認証を必要とし、認証タイプがそれを必要とする場合のユーザー名。	""	nil
   password	メールサーバーが認証を必要とし、認証タイプがそれを必要とする場合のパスワード。	""	nil
   認証	メールサーバーで認証が必要な場合に使用します。認証タイプを設定します。plain はパスワードを plain で送信し、login は Base64 エンコードされたパスワードを送信します。cram_md5 は HMAC-MD5 アルゴリズムに基づくチャレンジ/レスポンスメカニズムを組み合わせます。	""	nil
   openssl.verify.mode	TLS を使用する場合、OpenSSL が証明書をチェックする方法を設定できます。これは、自己署名証明書やワイルドカード証明書を検証する必要がある場合に役立ちます。OpenSSL 検証定数の名前 none または peer を使用できます。	""	nil
   from_address	無返信メールの from アドレス値。	""	"no-reply@{wildcardDomain}"

   Show more
   注記
   • メールサーバーの設定に使用される HELO ドメインは {wildcardDomain} の値です。
   • {wildcardDomain} は、APIManager CR の spec.wildcardDomain に設定された値のプレースホルダーです。

   例

   $ oc patch secret system-smtp -p '{"stringData":{"address":"<your_address>"}}'
   $ oc patch secret system-smtp -p '{"stringData":{"port":"587"}}'
   $ oc patch secret system-smtp -p '{"stringData":{"username":"<your_username>"}}'
   $ oc patch secret system-smtp -p '{"stringData":{"password":"<your_password>"}}'
   $ oc patch secret system-smtp -p '{"stringData":{"authentication":"plain"}}'
   $ oc patch secret system-smtp -p '{"stringData":{"openssl.verify.mode":"none"}}'

   Copy to Clipboard Toggle word wrap

3. secret 変数を設定した後、system-app および system-sidekiq Pod を再デプロイします。

   $ oc rollout restart deployment/system-app
   $ oc rollout restart deployment/system-sidekiq

   Copy to Clipboard Toggle word wrap

4. ロールアウトのステータスを表示し、読み込みが完了したことを確認します。

   $ oc rollout status deployment/system-app
   $ oc rollout status deployment/system-sidekiq

   Copy to Clipboard Toggle word wrap

検証

1. 以下のコマンドを入力してデプロイメントを確認します。

   $ oc get dc/apicast-staging -o yaml

   Copy to Clipboard Toggle word wrap

   $ oc get dc/apicast-production -o yaml

   Copy to Clipboard Toggle word wrap

2. 環境変数が含まれていることを確認します。

   # apicast-staging
   - name: APICAST_SERVICE_CACHE_SIZE
      value: '10'

   Copy to Clipboard Toggle word wrap

   # apicast-production
   - name: APICAST_SERVICE_CACHE_SIZE
      value: '20'

   Copy to Clipboard Toggle word wrap