マネージドクラウドまたは Operator 環境向けの自動化メッシュ

1. Red Hat Enterprise Linux オペレーティングシステムが必要です。メッシュ内の各ノードには、静的 IP アドレス、または Ansible Automation Platform がアクセスできる解決可能な DNS ホスト名が必要です。
2. 続行する前に、RHEL 仮想マシンの最小要件を満たしていることを確認している。詳細は、システム要件 を参照してください。

3. 通信が必要なリモートネットワーク内に RHEL インスタンスをデプロイします。仮想マシンの作成は、Red Hat Enterprise Linux ドキュメントの 仮想マシンの作成 を参照してください。提案されたタスクを仮想マシン上で実行できるように、必ず仮想マシンの容量を十分にスケーリングしてください。

   • RHEL ISO は、access.redhat.com から入手できます。
   • RHEL クラウドイメージは、console.redhat.com の Image Builder を使用してビルドできます。

手順

1. 各 RHEL インスタンスに SSH で接続し、次の手順を実行します。ネットワークアクセスと制御によっては、SSH プロキシーまたは他のアクセスモデルが必要になる場合があります。

   以下のコマンドを使用します。

   ssh [username]@[host_ip_address]

   たとえば、Amazon Web Services で実行されている Ansible Automation Platform インスタンスの場合は、以下のようになります。

   ssh ec2-user@10.0.0.6

2. 後のステップで、ホップノードから実行ノードに接続するために使用できる SSH キーを作成またはコピーします。これは、自動化メッシュ設定のためだけに使用される一時キー、または長期間有効なキーの場合があります。SSH ユーザーとキーは、後の手順で使用されます。

3. baseos および appstream リポジトリーを使用して、RHEL サブスクリプションを有効にします。Ansible Automation Platform RPM リポジトリーは、Red Hat Update Infrastructure (RHUI) はなく、subscription-manager を通じてのみ利用できます。RHEL と RHUI を含む他の Linux フットプリントを使用しようとすると、エラーが発生します。

   sudo subscription-manager register --auto-attach

   アカウントで Simple Content Access が有効になっている場合は、次を使用します。

   sudo subscription-manager register

   Simple Content Access の詳細は、Simple Content Access のスタートガイド を参照してください。

4. Ansible Automation Platform サブスクリプションと適切な Red Hat Ansible Automation Platform チャネルを有効にします。

   RHEL 8 の場合:

   # subscription-manager repos --enable ansible-automation-platform-2.5-for-rhel-8-x86_64-rpms

   RHEL 9 の場合:

   # subscription-manager repos --enable ansible-automation-platform-2.5-for-rhel-9-x86_64-rpms

   ARM の場合:

   # subscription-manager repos --enable ansible-automation-platform-2.5-for-rhel-aarch64-rpms

5. パッケージが最新であることを確認します。

   sudo dnf upgrade -y

6. ダウンロードしたバンドルを実行するマシンに ansible-core パッケージをインストールします。

   sudo dnf install -y ansible-core

   注記

   自動化メッシュ設定バンドル Playbook を実行するマシンには Ansible Core が必要です。このドキュメントは、実行ノードでの実行を前提としています。別のマシンから Playbook を実行する場合は、この手順を省略できます。コントロールノードから直接実行することはできません。これは現在サポートされていませんが、将来的にはコントロールノードが実行ノードに直接接続される予定です。

手順

1. ナビゲーションパネルからAutomation Execution → Infrastructure → Instances を選択します。

2. Instances リストページで、Add instance をクリックします。Add Instance ウィンドウが開きます。

   

   インスタンスには次の属性が必要です。

   • Host name: (必須) インスタンスの完全修飾ドメイン名 (パブリック DNS) または IP アドレスを入力します。このフィールドは、インストーラーベースのデプロイメントの hostname に相当します。

     注記

     インスタンスがコントロールクラスターから解決できないプライベート DNS を使用している場合、DNS ルックアップルーティングは失敗し、生成された SSL 証明書は無効になります。代わりに IP アドレスを使用してください。

   • オプション: Description: インスタンスの説明を入力します。
   • Instance state: このフィールドは自動入力され、インストール中であることを示します。変更はできません。
   • Listener port: このポートは、受信接続をリッスンするために receptor に使用されます。ポートを設定に適したポートに設定できます。このフィールドは、API の listen_port に相当します。デフォルト値は 27199 ですが、独自のポート値を設定できます。

   • Instance type: execution ノードおよび hop ノードのみを作成できます。Operator ベースのデプロイメントは、コントロールノードまたはハイブリッドノードをサポートしません。

     オプション:

     • Enable instance: 実行ノード上でジョブを実行できるようにするには、このボックスをオンにします。
     • Managed by policy ボックスをオンにして、ポリシーがインスタンスの割り当て方法を決定できるようにします。

     • Peers from control nodes:

       • ホップノードを設定する場合:

         • 要求を Automation Controller からホップノードに直接プッシュする必要がある場合は、Peers from Control チェックボックスをオンにします。
         • ホップノードを別のホップノードにピアリングする場合は、Peers from Control チェックボックスがオンになっていないことを確認します。

       • 実行ノードを設定する場合:

         • 要求を Automation Controller から実行ノードに直接プッシュする必要がある場合は、Peers from Control チェックボックスをオンにします。
         • 実行ノードをホップノードにピアリングする場合は、Peers from Control チェックボックスがオンになっていないことを確認します。
3. Associate peers をクリックします。

4. ピアリング設定とトラフィックの方向を確認するために、トポロジービューを使用して、更新されたトポロジーのグラフィカル表現を表示します。これは、ファイアウォールルールを更新する必要がある場所を特定するのに役立ちます。詳細は、トポロジービュー を参照してください。

   注記

   新しく作成したインスタンスに SSH アクセスできる任意のコンピューターから、次の手順を実行します。

5. Download Bundle の横にある アイコンをクリックして、この新しいインスタンスと、作成されたノードを自動化メッシュにインストールするために必要なファイルを含む tar ファイルをダウンロードします。

   インストールバンドルには、TLS 証明書とキー、認証局、および適切な Receptor 設定ファイルが含まれています。

   receptor-ca.crt
   work-public-key.pem
   receptor.key
   install_receptor.yml
   inventory.yml
   group_vars/all.yml
   requirements.yml

6. ダウンロードした tar.gz インストールバンドルを、ダウンロードした場所から展開します。これらのファイルがリモートマシン上の正しい場所にあることを確認するために、インストールバンドルには install_receptor.yml Playbook が含まれています。

7. ansible-playbook コマンドを実行する前に、inventory.yml ファイル内の次のフィールドを編集します。

   all:
     hosts:
       remote-execution:
         ansible_host: localhost # change to the mesh node host name
             ansible_user: <username> # user provided
             ansible_ssh_private_key_file: ~/.ssh/<id_rsa>

   • ansible_host が、ノードの IP アドレスまたは DNS に設定されていることを確認します。
   • ansible_user を、インストールを実行しているユーザー名に設定します。
   • ansible_ssh_private_key_file を設定して、インスタンスへの接続に使用される秘密鍵のファイル名を含めます。
   • inventory.yml ファイルの内容はテンプレートとして機能し、メッシュトポロジーでの receptor ノードのインストールおよび設定中に適用されるロールの変数が含まれています。他のフィールドの一部を変更したり、高度なシナリオではファイル全体を置き換えたりすることができます。詳細は、Role Variables を参照してください。

8. プライベート DNS を使用するノードの場合は、次の行を inventory.yml に追加します。

    ansible_ssh_common_args: <your ssh ProxyCommand setting>

   これは、install-ceptor.yml Playbook に、proxy コマンドを使用してローカル DNS ノード経由でプライベートノードに接続するように指示します。

9. 属性を設定したら、Save をクリックします。作成したインスタンスの Details ページが開きます。
10. ファイルを保存して続行します。

11. インストールバンドルを実行してリモートノードをセットアップし、ansible-playbook を実行するシステムには、ansible.receptor コレクションがインストールされている必要があります。

    ansible-galaxy collection install ansible.receptor

    または

    ansible-galaxy install -r requirements.yml

    • requirements.yml ファイルから receptor コレクションの依存関係をインストールすると、そこで指定された receptor のバージョンが一貫して取得されます。さらに、今後必要になる可能性のある他のコレクションの依存関係も取得されます。
    • Playbook が実行されるすべてのノードに receptor コレクションをインストールします。インストールしない場合は、エラーが発生します。

12. receptor_listener_port が定義されている場合、マシンには、受信 TCP 接続を確立するために使用可能なオープンポート (27199 など) も必要です。次のコマンドを実行して、Receptor 通信用にポート 27199 を開きます (ファイアウォールでポート 27199 が開いていることを確認してください)。

    sudo firewall-cmd --permanent --zone=public --add-port=27199/tcp

    注記

    場合によっては、サーバーが Receptor ポート (デフォルトは 27199) をリッスンしないことがあります。

    ノード A、B、C、D を持つコントロールプレーンがあるとします。

    RPM インストーラーは、最小権限アプローチを使用してコントロールプレーンノード間に強力に接続されたピアリングを作成し、必要なノード上でのみ TCP リスナーを開きます。Receptor の接続はすべて双方向接続であるため、接続が確立されると、Receptor は双方向に通信できるようになります。

    以下に、3 つのコントローラーノードのピアリング設定を例として示します。

    コントローラーノード A -→ コントローラーノード B

    コントローラーノード A -→ コントローラーノード C

    コントローラーノード B -→ コントローラーノード C

    以下を設定すると、リスナーを強制できます。

    receptor_listener=True

    ただし、コントローラー B -→ A への接続は、すでに存在するため、拒否される可能性があります。

    その場合、コントローラー A は他のノードへの接続を作成しているため、コントローラー A には何も接続されません。コントローラー A で次のコマンドを実行しても、何も返されません。

    [root@controller1 ~]# ss -ntlp | grep 27199 [root@controller1 ~]#

13. 自動化メッシュを更新するマシン上で、次の Playbook を実行します。

    ansible-playbook -i inventory.yml install_receptor.yml

手順

1. ナビゲーションパネルから、Automation Execution → Infrastructure → Instance Groups を選択します。
2. Create group をクリックし、リストから Create instance group を選択します。

3. 以下のフィールドに該当する詳細を入力します。

   • Name: 名前は一意でなければならず、"controller" という名前に指定しないようにしてください。
   • Policy instance minimum: 新規インスタンスがオンラインになると、このグループに自動的に最小限割り当てられるインスタンス数を入力します。

   • *Policy instance percentage: スライダーを使用して、新規インスタンスがオンラインになると、このグループに自動的に最小限割り当てられるインスタンスの割合を選択します。

     注記

     新しいインスタンスグループを作成する場合、ポリシーインスタンスフィールドは必要ありません。値を指定しない場合、Policy instance minimum と Policy instance percentage は、デフォルトで 0 に設定されます。

   • Max concurrent jobs: 特定のジョブに対して実行できるフォークの最大数を指定します。

   • Max forks: 特定のジョブに対して実行できる同時ジョブの最大数を指定します。

     注記

     Max concurrent jobs と Max forks のデフォルト値 0 は、制限がないことを示します。詳細は、インスタンスグループの容量制限 を参照してください。

4. Create Instance Group をクリックするか、既存のインスタンスグループを編集した場合は Save Instance Group をクリックします。

手順

1. インスタンスグループの Details ページで、Instances タブを選択します。
2. Associate instance をクリックします。
3. リストから 1 つ以上の使用可能なインスタンスの横にあるチェックボックスをクリックして、インスタンスグループに関連付けるインスタンスを選択し、Confirm をクリックします。

手順

1. Templates リストビューには、現在利用可能なジョブテンプレートが表示されます。この画面から、ワークフローのジョブテンプレートの起動 ( )、編集 ( )、コピー ( ) を実行できます。
2. 必要なジョブを選択し、 アイコンをクリックします。
3. ジョブを実行する Instance Group を選択します。ジョブテンプレートでインスタンスグループを使用するには、システム管理者によってユーザーまたはチームに権限が付与されている必要があることに注意してください。複数のジョブテンプレートを選択した場合は、選択した順序によって実行の優先順位が設定されます。
4. Next をクリックします。
5. Launch をクリックします。

手順

1. メッシュ Ingress ノードを設定するための YAML ファイル (この場合の名前は oc_meshingress.yml) を作成します。

   ファイルは次のようになります。

   apiVersion: automationcontroller.ansible.com/v1alpha1
   kind: AutomationControllerMeshIngress
   metadata:
       name:
       namespace:
   spec:
       deployment_name: aap-controller

   ここでは、以下のようになります。

   • apiVersion: オブジェクトのこの表現のバージョンスキーマを定義します。サーバーは認識されたスキーマを最新の内部値に変換し、認識されない値は拒否することがあります。この値は静的です。

   • kind: 作成するノードのタイプです。

     値 AutomationControllerMeshIngress を使用します。

     AutomationControllerMeshIngress は、Automation Controller 上のメッシュ Ingress のデプロイメントと設定を制御します。

   • name: メッシュ Ingress ノードの名前を入力します。

   • namespace: メッシュ Ingress をデプロイする Kubernetes namespace の名前を入力します。

     これは、メッシュが接続されている Automation Controller と同じ namespace に存在する必要があります。

   • Deployment_name: このメッシュ Ingress が接続されている Automation Controller インスタンスです。Automation Controller インスタンスの名前を指定します。

2. 以下を使用して、この YAML ファイルを適用します。

   oc apply -f oc_meshingress.yml

   この Playbook を実行して、AutomationControllerMeshIngress リソースを作成します。Operator は、指定した name で Automation Controller にホップノードを作成します。

3. MeshIngress インスタンスが作成されると、Instances ページに表示されます。

   重要

   "プル" モードでリモート実行ノードとして機能するインスタンスは、この手順の後に作成する必要があり、次のように設定する必要があります。

   instance type: Execution
   listener port: keep empty
   options:
       Enable instance: checked
       Managed by Policy: as needed
       Peers from control nodes: unchecked (this one is important)

4. この新しいインスタンスを、この段落の手順で作成したホップノードに関連付けます。

5. tarball をダウンロードします。

   注記

   ホップノードとの関連付けは、tarball を作成する前に行う必要があります。

手順

1. 次のコマンドを使用してシークレットを作成します。

   oc create secret generic ee-pull-secret \
        --from-literal=username=<username> \
        --from-literal=password=<password> \
        --from-literal=url=registry.redhat.io

2. デプロイメント仕様を編集して、ee_pull_credentials_secret と ee-pull-secret を仕様に追加します。

   oc edit automationcontrollers aap-controller-o yaml

   そして次の行を追加します。

   spec
     ee_pull_credentials_secret=ee-pull-secret

3. Automation Controller UI からインスタンスを管理するには、システム管理者またはシステム監査者の権限が必要です。

手順

1. 現在の Receptor バージョンを確認します。

   receptor --version

2. Receptor を更新します。

   sudo dnf update ansible-runner receptor -y

   注記

   Receptor だけでなくすべてのパッケージをアップグレードするには、dnf update を使用してから、reboot で再起動します。

3. インストールを確認します。更新が完了したら、Receptor のバージョンを再度確認して更新を確認します。

   receptor --version

4. Receptor サービスを再起動します。

   sudo systemctl restart receptor

5. Receptor が正しく動作しており、コントローラーまたはシステム内の他のノードに適切に接続されていることを確認します。