Red Hat build of Cryostat Operator を使用した Cryostat の設定

手順

1. Red Hat OpenShift Web コンソールで、Operators > Installed Operators の順にクリックします。
2. 使用可能な Operator のリストから、Red Hat build of Cryostat を選択します。
3. Details タブをクリックします。

4. Provided APIs セクションで、Cryostat および Cluster Cryostat カスタムリソース (CR) が利用可能です。以下のオプションのいずれかを選択します。

   • 単一 namespace の Cryostat インスタンスを作成するには、Cryostat を選択してから Create instance をクリックします。
   • 複数 namespace の Cryostat インスタンスを作成するには、Cluster Cryostat を選択してから Create instance をクリックします。

5. minimal プロパティーを設定するには、次のいずれかのオプションを選択します。

   1. Form view ラジオボタンをクリックします。

      1. Minimal Deployment スイッチを true に設定します。Name フィールドにも値を入力する必要があります。

         図1.1 Minimal Deployment スイッチを true に切り替える

         

      2. Create をクリックします。作成したインスタンスのタイプに応じて、インスタンスは以下のいずれかのタブで開きます。

         • 単一 namespace の Cryostat インスタンスを作成した場合、インスタンスは Operator details ページの Cryostat タブで利用できます。
         • Cluster Cryostat インスタンスを作成した場合、インスタンスは Operator details ページの Cluster Cryostat タブで利用できます。

   2. YAML view のラジオボタンをクリックします。

      1. spec: キーセットの minimum プロパティーの値を true に変更します。

         最小プロパティーの設定例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           minimal: true
         --

         Copy to Clipboard

      2. Save をクリックします。

検証

1. Red Hat OpenShift Web コンソールから、Cryostat インスタンスを作成したプロジェクト、または Cluster Cryostat インスタンスの Install Namespace として選択したプロジェクトを選択します。
2. Workloads → Deployments に移動します。
3. デプロイメントの一覧から、Cryostat または Cluster Cryostat インスタンスの名前に一致するデプロイメントを選択します。Web コンソールで デプロイメントの詳細 ページが開きます。
4. Containers セクションに移動します。リストされている単一のコンテナーは、Red Hat build of Cryostat Operator が Cryostat アプリケーションを最小限のデプロイメントとしてデプロイしたことを示します。

手順

1. OpenShift Web コンソールで Operators > Installed Operators に移動します。
2. 使用可能な Operator のリストから、Red Hat build of Cryostat を選択します。
3. Details タブをクリックします。

4. Provided APIs セクションで、Cryostat および Cluster Cryostat カスタムリソース (CR) が利用可能です。以下のオプションのいずれかを選択します。

   • 単一 namespace の Cryostat インスタンスを作成するには、Cryostat を選択してから Create instance をクリックします。
   • 複数 namespace の Cryostat インスタンスを作成するには、Cluster Cryostat を選択してから Create instance をクリックします。

5. enableCertManager プロパティーを設定するには、次のいずれかのオプションを選択します。

   1. Form view ラジオボタンをクリックします。

      1. Enable cert-manager Integration を有効にするスイッチを false に設定し、Name フィールドに値を入力します。

         図1.2 Enable cert-manager Integration スイッチを false に切り替える

         

      2. Create をクリックします。作成したインスタンスのタイプに応じて、インスタンスは以下のいずれかのタブで開きます。

         • 単一 namespace の Cryostat インスタンスを作成した場合、インスタンスは Operator details ページの Cryostat タブで利用できます。
         • Cluster Cryostat インスタンスを作成した場合、インスタンスは Operator details ページの Cluster Cryostat タブで利用できます。

   2. YAML view のラジオボタンをクリックします。

      1. YAML ファイルの spec: キーセットで、enableCertManager プロパティーを false に変更します。

         YAML ファイルへの spec: キーセット設定例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           enableCertManager: false
         --

         Copy to Clipboard

      2. Save ボタンをクリックします。

         Red Hat build of Cryostat Operator は、Cryostat アプリケーションを自動的に再起動し、更新された enableCertManager プロパティー設定でアプリケーションを実行できるようにします。

検証

1. Cryostat または Cluster Cryostat インスタンスを選択します。

   • Cryostat インスタンスを作成した場合は、Operator details ページの Cryostat タブから Cryostat インスタンスを選択します。
   • Cluster Cryostat インスタンスを作成した場合は、Operator details ページの Cluster Cryostat タブからCluster Cryostat インスタンスを選択します。
2. Cryostat Conditions テーブルに移動します。

3. TLSSetupComplete 条件が true に設定されていること、およびこの条件の Reason 列が CertManagerDisabled に設定されていることを確認します。これは、enableCertManager プロパティーを false に設定したことを示します。

   図1.3 TLSSetupComplete 条件が true に設定されていることを示す例

   

手順

1. デフォルトのイベントテンプレートをダウンロードするには、Cryostat Web コンソールに移動し、Events メニューから Downloads をクリックします。

   注記

   イベントテンプレートは XML 形式で、ファイル名拡張子は .jfc です。

2. オプション: カスタムイベントテンプレートが必要な場合は、テキストエディターまたは XML エディターを使用して、ダウンロードしたデフォルトのイベントテンプレートを編集し、ニーズに合わせてテンプレートを設定します。
3. CLI で oc login コマンドを入力して、Red Hat OpenShift Web コンソールにログインします。

4. CLI で次のコマンドを入力して、イベントテンプレートから ConfigMap リソースを作成します。Cryostat アプリケーションをデプロイするパスでコマンドを実行する必要があります。このリソースを使用して、Cryostat インスタンスを実行するクラスター内にあるイベントテンプレートファイルを保存できます。

   CLI を使用して ConfigMap リソースを作成する例

   $ oc create configmap <template_name> --from-file=<path_to_custom_event_template>

   Copy to Clipboard

5. Red Hat OpenShift Web コンソールで、Operators > Installed Operators の順にクリックします。
6. 使用可能な Operator のリストから、Red Hat build of Cryostat を選択します。

7. Operator details ページの Details タブで、Cryostat または Cluster Cryostat インスタンスを作成します。

   1. Provided APIs セクションで、Cryostat および Cluster Cryostat カスタムリソース (CR) が利用可能です。以下のオプションのいずれかを選択します。

      • 単一 namespace の Cryostat インスタンスを作成するには、Cryostat を選択してから Create instance をクリックします。
      • 複数 namespace の Cryostat インスタンスを作成するには、Cluster Cryostat を選択してから Create instance をクリックします。

8. 次のいずれかのオプションを選択して、XML 形式のイベントテンプレートをリソースにアップロードします。

   1. Form view ラジオボタンをクリックします。

      1. Cryostat または Cluster Cryostat インスタンスの Event Templates セクションに移動します。
      2. Event Templates メニューから、Add Event Template をクリックします。Red Hat OpenShift コンソールで Event Templates セクションが開きます。

      3. Config Map Name ドロップダウンリストから、イベントテンプレートを含む ConfigMap リソースを選択します。

         図1.4 Cryostat インスタンスのイベントテンプレートオプション

         
      4. Filename フィールドに、ConfigMap に含まれている .jfc ファイルの名前を入力します。
      5. カスタムイベントテンプレートを使用して Cryostat または Cluster Cryostat インスタンスを生成するには、Create をクリックします。

   2. YAML view のラジオボタンをクリックします。

      1. eventTemplates プロパティーにカスタムイベントテンプレートを指定します。このプロパティーは、Red Hat build of Cryostat Operator が ConfigMap を指すようにし、Red Hat build of Cryostat Operator がイベントテンプレートを読み取れるようにします。

         eventTemplates プロパティーにカスタムイベントテンプレートを指定する例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           eventTemplates:
           - configMapName: custom-template1
             filename: my-template1.jfc
           - configMapName: custom-template2
             filename: my-template2.jfc
         --

         Copy to Clipboard

         重要

         configMapName ドロップダウンリストから、Cryostat または Cluster Cryostat インスタンスに関連付けられている ConfigMap の名前を選択する必要があります。さらに、filename フィールドに ConfigMap に関連付けられたキーを指定する必要があります。

         Red Hat build of Cryostat Operator は、カスタムイベントテンプレートを XML ファイルとして Cryostat アプリケーションに提供できるようになりました。Cryostat Web コンソールで、カスタムイベントテンプレートがデフォルトイベントテンプレートと一緒に開きます。

検証

1. Cryostat Web コンソールで、メニューから Events をクリックします。Web コンソールで Authentication Required ウィンドウが開いた場合は、認証情報を入力して Save をクリックします。

2. Event Templates タブで、使用可能なイベントテンプレートのリストにカスタムイベントテンプレートが表示されるかどうかを確認します。

   図1.5 Event Templates タブにリストされているカスタムイベントテンプレートの例

   

手順

1. Red Hat OpenShift Web コンソールで、Operators > Installed Operators の順にクリックします。
2. 使用可能な Operator のリストから、Red Hat build of Cryostat を選択します。
3. Operator details ページで、Details タブをクリックします。

4. Provided APIs セクションで、Cryostat および Cluster Cryostat カスタムリソース (CR) が利用可能です。以下のオプションのいずれかを選択します。

   1. 単一 namespace の Cryostat インスタンスを作成するには、Cryostat を選択してから Create instance をクリックします。
   2. 複数 namespace の Cryostat インスタンスを作成するには、Cluster Cryostat を選択してから Create instance をクリックします。

5. TLS 証明書を設定するには、次のいずれかのオプションを選択します。

   1. Form view ラジオボタンをクリックします。

      1. Name フィールドに、作成する Cryostat のインスタンスの名前を指定します。

      2. Trusted TLS Certificates オプションをデプロイメントし、Add Trusted TLS Certificate をクリックします。オプションのリストが Red Hat OpenShift Web コンソールに表示されます。

         図1.6 信頼できる TLS 証明書オプション

         

      3. Secret Name リストから TLS シークレットを選択します。Certificate Key フィールドはオプションです。

         注記

         Remove Trusted TLS Certificate をクリックすると、TLS 証明書を削除できます。

      4. Create をクリックします。作成したインスタンスのタイプに応じて、インスタンスは以下のいずれかのタブで開きます。

         • 単一 namespace の Cryostat インスタンスを作成した場合、インスタンスは Operator details ページの Cryostat タブで利用できます。
         • Cluster Cryostat インスタンスを作成した場合、インスタンスは Operator details ページの Cluster Cryostat タブで利用できます。

   2. YAML view のラジオボタンをクリックします。

      1. TrustedCertSecrets 配列の secretName プロパティーで、Cryostat アプリケーションと同じ名前空間にあるシークレットを指定します。

         trustedCertSecrets 配列でシークレットを指定する例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           trustedCertSecrets:
           - secretName: my-tls-secret
         --

         Copy to Clipboard

      2. オプション: certificateKey プロパティー値をアプリケーションの X.509 証明書ファイル名に変更します。値を変更しない場合、certificateKey プロパティーはデフォルトで tls.crt になります。

         certificateKey プロパティーの値を変更する例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           trustedCertSecrets:
           - secretName: my-tls-secret
             certificateKey: ca.crt
         --

         Copy to Clipboard

      3. Save をクリックします。

         Red Hat build of Cryostat Operator は、設定されたセキュリティー設定を使用して Cryostat インスタンスを自動的に再起動します。

検証

1. CLI で次のコマンドを実行して、すべてのアプリケーション Pod が Cryostat Pod と同じ OpenShift クラスター名前空間に存在することを確認します。

   $ oc get pods

   Copy to Clipboard
2. Cryostat インスタンスの Web コンソールにログインします。
3. Cryostat インスタンスの Dashboard メニューで、Target リストから target JVM を選択します。

4. Cryostat Web コンソールのナビゲーションメニューで、Recordings を選択します。Authentication Required dialog ウィンドウで、シークレットの認証情報を入力し、Save を選択して、ターゲット JVM に認証情報を提供します。

   注記

   選択したターゲットで JMX 接続のパスワード認証が有効になっている場合は、接続のプロンプトが表示されたら、ターゲット JVM の JMX クレデンシャルを指定する必要があります。

   Cryostat は、認証された JMX 接続を介してアプリケーションに接続します。これで、Recordings 機能および Events 機能を使用して、アプリケーションの JFR データを監視できます。

手順

1. Red Hat OpenShift Web コンソールで、Operators > Installed Operators の順にクリックします。

2. 使用可能な Operator のリストから、Red Hat build of Cryostat を選択します。

   1. Details タブをクリックします。

3. Provided APIs セクションで、Cryostat および Cluster Cryostat カスタムリソース (CR) が利用可能です。以下のオプションのいずれかを選択します。

   • 単一 namespace の Cryostat インスタンスを作成するには、Cryostat を選択してから Create instance をクリックします。
   • 複数 namespace の Cryostat インスタンスを作成するには、Cluster Cryostat を選択してから Create instance をクリックします。

4. Cryostat アプリケーションのストレージ設定を変更するには、次のいずれかのオプションを選択してください。

   1. Form view ラジオボタンをクリックします。

      1. Storage Options セクションに移動し、Name フィールドに値を入力します。
      2. Storage Options をデプロイメントし、Empty Dir をクリックします。オプションの拡張された選択肢が Red Hat OpenShift Web コンソールで開きます。

      3. Enabled スイッチを true に設定します。

         図1.7 EmptyDir スイッチを true に設定した例

         

      4. Create をクリックします。作成したインスタンスのタイプに応じて、インスタンスは以下のいずれかのタブで開きます。

         • 単一 namespace の Cryostat インスタンスを作成した場合、インスタンスは Operator details ページの Cryostat タブで利用できます。
         • Cluster Cryostat インスタンスを作成した場合、インスタンスは Operator details ページの Cluster Cryostat タブで利用できます。

   2. YAML view のラジオボタンをクリックします。

      1. YAML ファイルの spec: キーセットで、storageOptions 定義を追加し、emptyDir プロパティーを true に設定します。

         emptyDir プロパティーが true として設定されていることを示す例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           storageOptions:
             emptyDir:
               enabled: true
               medium: "Memory"
               sizeLimit: 1Gi
         --

         Copy to Clipboard

      2. オプション:medium プロパティーと sizeLimit プロパティーの値を設定します。
      3. Save ボタンをクリックします。Red Hat build of Cryostat Operator は、Cryostat インスタンス用の PVC を作成する代わりに、ストレージ用の EmptyDir ボリュームを作成します。

手順

1. Red Hat OpenShift Web コンソールから、Operators > Installed Operators をクリックします。
2. 使用可能な Operator のリストから、Red Hat build of Cryostat を選択します。
3. Provided APIs > Create をクリックします。Red Hat build of Cryostat Operator は、Report サイドカー Pod のサービスアカウントを作成しません。代わりに、これらの Pod は独自の namespace でデフォルトのサービスアカウントを使用します。

4. セキュリティーコンテキストを設定するには、次のいずれかのオプションを完了します。

   1. YAML view をクリックします。spec: 要素から、セキュリティー要件に一致するように securityOptions プロパティーおよび reportOptions プロパティーを編集します。

      セキュリティーコンテキストの設定例

      apiVersion: operator.cryostat.io/v1beta1
      kind: Cryostat
      metadata:
        name: cryostat-sample
      spec:
        securityOptions:
          podSecurityContext:
            runAsNonRoot: true
            seccompProfile:
              type: RuntimeDefault
          coreSecurityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop:
                - ALL
            runAsUser: 1001
          dataSourceSecurityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop:
                - ALL
          grafanaSecurityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop:
                - ALL
        reportOptions:
          replicas: 1
          podSecurityContext:
            runAsNonRoot: true
            seccompProfile:
              type: RuntimeDefault
          reportsSecurityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop:
                - ALL
            runAsUser: 1001

      Copy to Clipboard

   2. Advanced Configurations を展開して、Red Hat OpenShift Web コンソールで追加のオプションを開きます。

      図2.1 詳細設定メニューオプション

      
   3. Core Security Context を展開します。使用可能なオプションのリストから、セキュリティーコンテキストの設定を定義します。
5. Create をクリックします。
6. 必要に応じて、Data Source Security Context、Grafana Security Context、および Pod Security Context の手順 1 - 5 を繰り返します。

7. オプション: Report Generator サービスを使用している場合は、以下のように、このサービスのセキュリティーコンテキストを設定することもできます。

   1. Report Options から、Advanced Configurations を展開します。
   2. Security Options を展開します。必要に応じて、Reports Security Context および Pod Security Context を定義します。

手順

1. ConfigMap オブジェクトにカスタムパーミッションマッピングを定義します。

   パーミッションマッピングが含まれる ConfigMap の例

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: auth-properties
   data:
     auth.properties: |
       TARGET=pods,deployments.apps
       RECORDING=pods,pods/exec
       CERTIFICATE=deployments.apps,pods,cryostats.operator.cryostat.io
       CREDENTIALS=cryostats.operator.cryostat.io

   Copy to Clipboard

   カスタムパーミッションマッピングを使用するには、ClusterRole が存在し、カスタムパーミッションマッピングにリストされているすべての Red Hat OpenShift オブジェクトのパーミッションが含まれる必要があります。

   必要なルールが含まれる ClusterRole の例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: additional-oauth-client
   rules:
   - apiGroups:
     - operator.cryostat.io
     resources:
     - cryostats
     verbs:
     - create
     - patch
     - delete
     - get
   - apiGroups:
     - ""
     resources:
     - pods
     - pods/exec
     verbs:
     - create
     - patch
     - delete
     - get
   - apiGroups:
     - apps
     resources:
     - deployments
     verbs:
     - create
     - patch
     - delete
     - get

   Copy to Clipboard

   Red Hat OpenShift Web コンソールで認証情報を入力すると、OAuth サーバーは認証情報と指定されたスコープを使用して API トークンを生成します。

2. Cryostat カスタムリソース (CR) に authProperties 仕様を指定して、マッピングコンテンツを保持する ConfigMap、およびマップされた Red Hat OpenShift リソースの RBAC アクセスを定義する ClusterRole を参照します。

   カスタムパーミッションマッピングを定義する authProperties のある Cryostat CR の例

   apiVersion: operator.cryostat.io/v1beta1
   kind: Cryostat
   metadata:
     name: cryostat-sample
   spec:
     authProperties:
   	configMapName: auth-properties
   	filename: auth.properties
   	clusterRoleName: oauth-cluster-role

   Copy to Clipboard

   または、Red Hat OpenShift Web コンソールを開き、Cryostat インスタンスを作成し、Authorization Properties オプションで ClusterRole Name、ConfigMap Name、および Filename プロパティーを定義できます。これは、Advanced configuration セクションでアクセスできます。

   図3.1 OpenShift Web コンソールの Advanced configuration セクション

   

検証

1. Installed Operators メニューから、Cryostat インスタンスを選択します。
2. Application URL セクションのリンクをクリックして、ログイン画面にアクセスします。OAuth サーバーは、ユーザーを OpenShift Container Platform ログインページにリダイレクトします。
3. 認証情報の詳細を入力し、ログイン をクリックします。OAuth サーバーを介して初めてログインすると、Web ブラウザーに Authorize Access ページが開きます。
4. Requested Permissions オプションから、クラスターのロール名が Cryostat CR で指定した名前と一致することを確認します。

5. Authorize Access ウィンドウで、必要なチェックボックスを選択します。Cryostat のパフォーマンスを最適化するには、すべてのチェックボックスを選択します。

   図3.2 3 つのパーミッションを一覧表示する Authorize Access ウィンドウ

   

   Authorize Access ウィンドウには、以下のパーミッションが一覧表示されます。

   • user:check-access: 内部 Cryostat アプリケーションリクエストを確認するパーミッションです。パーミッションは、権限を表示する読み取り専用権限を持つユーザーを提供します。
   • role:cryostat-operator-oauth-client:<namespace> は、内部の Cryostat アプリケーション要求を確認するパーミッションです。<namespace> は、CLI からのプロジェクト名または namespace に置き換えます。パーミッションにより、シークレットなどのリソースのエスカレーションへのアクセスを除き、cryostat-operator-oauth-client ロールが指定する操作を完了するためのアクセスをユーザーに提供します。
   • role:<user-define-clusterrole-name>:<namespace>: Cryostat CR 仕様で定義した clusterrole。<namespace> は、CLI からのプロジェクト名または namespace に置き換えます。パーミッション は、シークレットなどのリソースへのアクセスを昇格する場合を除き、additional-oauth-client role で指定する操作を実行するアクセス権をユーザーに割り当てます。

6. 以下のいずれかのオプションを選択します。

   1. 要求したパーミッションのうち、選択した内容で問題がなければ、Allow selected permissions をクリックします。

   2. 要求したパーミッションの選択内容をすべて拒否する場合は、Deny ボタンをクリックします。

      Web ブラウザーによって Cryostat Web コンソールにリダイレクトされます。このコンソールでは、Java 仮想マシン (JVM) で実行されている Java アプリケーションを監視できます。