2.4. OpenShift 4.x での Fuse Console の設定
OpenShift 4.x では、Fuse Console の設定に、セキュリティーのセキュア化、インストール、およびデプロイが必要になります。Fuse Console のインストールおよびデプロイには、以下のオプションがあります。
「OperatorHub を使用した OpenShift 4.x での Fuse Console のインストールおよびデプロイ」
特定の namespace で Fuse アプリケーションにアクセスするために、Fuse Console Operator を使用して Fuse Console をインストールおよびデプロイします。
「コマンドラインを使用した OpenShift 4.x での Fuse Console のインストールおよびデプロイ」
OpenShift クラスターの複数の namespace または特定の namespace にある Fuse アプリケーションにアクセスするために、コマンドラインと Fuse Console テンプレートの 1 つを使用して Fuse Console をインストールおよびデプロイします。
必要に応じて、「OpenShift 4.x 上の Fuse Console のロールベースアクセス制御」 の説明通りに、Fuse Console のロールベースアクセス制御 (RBAC) を実装することができます。
2.4.1. OperatorHub を使用した OpenShift 4.x での Fuse Console のインストールおよびデプロイ
OpenShift 4.x に Fuse Console をインストールするには、OpenShift OperatorHub で提供される Fuse Console Operator を使用します。Fuse Console をデプロイするには、インストールされた Operator のインスタンスを作成します。
前提条件
Fuse Console のロールベースアクセス制御 (RBAC) をカスタマイズする場合は、Fuse Console Operator のインストール先と同じ OpenShift namespace に RBAC 設定マップファイルが必要になります。OpenShift 4.x の Fuse Console のロールベースアクセス制御 の説明にしたがって、デフォルトの RBAC 動作を使用する場合は、設定マップファイルを指定する必要はありません。
手順
Fuse Console をインストールおよびデプロイするには、以下を行います。
-
Web ブラウザーで、
cluster admin
権限を持つユーザーとして OpenShift コンソールにログインします。 - Operators をクリックした後、OperatorHub をクリックします。
- 検索フィールドウインドウに Fuse Console と入力し、Operator のリストを絞り込みます。
- Fuse Console Operator をクリックします。
Fuse Console Operator インストールウィンドウで Install をクリックします。
Create Operator Subscription フォームが表示されます。
- Update Channel には、fuse-console-7.8.x を選択します。
Installation Mode では、デフォルト (クラスターの特定の namespace) を受け入れます。
operator のインストール後に Fuse Console をデプロイする場合、クラスター上のすべての namespace でアプリケーションを監視するか、Fuse Console operator がインストールされた namespace のみでアプリケーションを監視するかを選択できる点に注意してください。
- Installed Namespace には、Fuse Console Operator をインストールする namespace を選択します。
Approval Strategy では、Automatic または Manual を選択し、Fuse Console の更新が OpenShift によってどのように対処されるかを設定します。
- Automatic (自動) 更新を選択した場合、新しいバージョンの Fuse Console Operator が使用できるようになると、人的な介入なしで OpenShift Operator Lifecycle Manager (OLM) によって、Fuse Console の稼働中のインスタンスが自動的にアップグレードされます。
- Manual (手動) 更新を選択した場合、Operator の新しいバージョンが使用できるようになると、OLM によって更新リクエストが作成されます。クラスター管理者は、更新リクエストを手動で承認して、Fuse Console Operator を新しいバージョンに更新する必要があります。
Install をクリックします。
OpenShift によって、Fuse Console Operator が現在の namespace にインストールされます。
- インストールを確認するには、Operators をクリックした後、Installed Operators をクリックします。Operator のリストに Fuse Console が表示されます。
OpenShift Web コンソールで Fuse Console をデプロイするには、以下を行います。
- Installed Operators のリストで、Name 列の Fuse Console をクリックします。
Provided APIs の Operator Details ページで、Create Instance をクリックします。
設定のデフォルト値を使用するか、任意でデフォルト値を編集します。
Fuse Console のパフォーマンスを向上する必要がある場合 (高可用性環境など)、Replicas で Fuse Console に割り当てられた Pod 数を増やすことができます。
Rbac (ロールベースアクセス制御) の場合、Fuse Console の RBAC を有効にするには、Form ビューで rbac > Enabled オプションを true に設定します。または、YAML ビューでファイルを編集して、spec 下に以下のエントリーが含まれるようにします。
rbac: enabled: true
デフォルトの RBAC 動作をカスタマイズする場合や、Fuse Console Operator をインストールした namespace に ConfigMap ファイルがすでに存在する場合にのみ、config Map フィールドに値を指定します。RBAC の詳細は、OpenShift 4.x 上の Fuse Console のロールベースアクセス制御 を参照してください。
Create をクリックします。
Fuse Console Operator Details ページが開き、デプロイメントの状態が表示されます。
Fuse Console を開くには以下を行います。
namespace デプロイメントの場合: OpenShift Web コンソールで、Fuse Console の operator をインストールしたプロジェクトを開き、Overview を選択します。Project Overview ページで Launcher セクションまで下方向にスクロールし、Fuse Console の URL をクリックして開きます。
cluster デプロイメントでは、OpenShift Web コンソールのタイトルバーで、グリッドアイコン ( ) をクリックします。ポップアップメニューの Red Hat アプリケーション の下にある、Fuse Console の URL リンクをクリックします。
Fuse Console にログインします。
ブラウザーに Authorize Access ページが表示され、必要なパーミッションが表示されます。
Allow selected permissions をクリックします。
Fuse Console がブラウザーで開き、アクセス権限のある Fuse アプリケーション Pod が表示されます。
表示するアプリケーションの Connect をクリックします。
新しいブラウザーウィンドウが開かれ、Fuse Console にアプリケーションが表示されます。
2.4.2. コマンドラインを使用した OpenShift 4.x での Fuse Console のインストールおよびデプロイ
OpenShift 4.x では、次のデプロイメントオプションの 1 つを選択して、コマンドラインから Fuse Console をインストールおよびデプロイできます。
- cluster - Fuse Console は、OpenShift クラスターで複数の namespace (プロジェクト) 全体にデプロイされた Fuse アプリケーションを検索し、接続することができます。このテンプレートをデプロイするには、OpenShift クラスターの管理者ロールが必要です。
- ロールベースアクセス制御のあるクラスター - 設定可能なロールベースアクセス制御 (RBAC) のあるクラスターテンプレート。詳細は、OpenShift 4.x 上の Fuse Console のロールベースアクセス制御 を参照してください。
- namespace - Fuse Console は特定の OpenShift プロジェクト (namespace) にアクセスできます。このテンプレートをデプロイするには、OpenShift プロジェクトの管理者ロールが必要です。
- ロールベースアクセス制御のある namespace - 設定可能な RBAC のある namespace テンプレート。詳細は、OpenShift 4.x 上の Fuse Console のロールベースアクセス制御 を参照してください。
Fuse Console テンプレートのパラメーターリストを表示するには、以下の OpenShift コマンドを実行します。
oc process --parameters -f https://raw.githubusercontent.com/jboss-fuse/application-templates/application-templates-2.1.0.fuse-sb2-780019-redhat-00005/fuse-console-namespace-os4.json
前提条件
- Fuse Console をインストールおよびデプロイする前に、OpenShift 4.x で Fuse Console をセキュア化するための証明書の生成 の説明どおりに、サービス署名認証局で署名されたクライアント証明書を生成する必要があります。
-
OpenShift クラスターの
cluster admin
ロールが必要です。 - OpenShift 4.x サーバーでの Fuse イメージストリームおよびテンプレートのインストール の説明どおりに、Fuse Console イメージストリーム (およびその他の Fuse イメージストリーム) がインストールされている必要があります。
手順
以下のコマンドを実行してすべてのテンプレートのリストを取得し、Fuse Console イメージストリームがインストールされていることを確認します。
oc get template -n openshift
任意で、すでにインストールされているイメージストリームを新しいリリースタグで更新する場合は、以下のコマンドを使用して openshift namespace に Fuse Console イメージをインポートします。
oc import-image fuse7/fuse7-console:1.8 --from=registry.redhat.io/fuse7/fuse-console:1.8 --confirm -n openshift
以下のコマンドを実行して、Fuse Console の APP_NAME の値を取得します。
oc process --parameters -f TEMPLATE-FILENAME
ここで、
TEMPLATE-FILENAME
は以下のテンプレートのいずれかになります。クラスターテンプレート:
設定可能な RBAC のあるクラスターテンプレート:
namespace テンプレート:
設定可能な RBAC のある namespace テンプレート:
たとえば、設定可能な RBAC のあるクラスターテンプレートの場合は、以下のコマンドを実行します。
oc process --parameters -f https://raw.githubusercontent.com/jboss-fuse/application-templates/application-templates-2.1.0.fuse-sb2-780019-redhat-00005/fuse-console-cluster-rbac.yml
以下のコマンドを使用して、OpenShift 4.x で Fuse Console をセキュア化するための証明書の生成 で生成した証明書からシークレットを作成し、Fuse Console にマウントします。コマンドの APP_NAME は、Fuse Console アプリケーションの名前に置き換えます。
oc create secret tls APP_NAME-tls-proxying --cert server.crt --key server.key
以下のコマンドを実行して、ローカルにコピーされた Fuse Console テンプレートをベースとした新しいアプリケーションを作成します。コマンドの myproject は OpenShift プロジェクトの名前、mytemp は Fuse Console テンプレートが含まれるローカルディレクトリーへのパス、myhost は Fuse Console にアクセスするホストの名前に置き換えます。
クラスターテンプレートの場合:
oc new-app -n myproject -f {templates-base-url}/fuse-console-cluster-os4.json -p ROUTE_HOSTNAME=myhost”
RBAC テンプレートのあるクラスターの場合:
oc new-app -n myproject -f {templates-base-url}/fuse-console-cluster-rbac.yml -p ROUTE_HOSTNAME=myhost”
namespace テンプレートの場合:
{templates-base-url}/fuse-console-namespace-os4.json
RBAC テンプレートのある namespace の場合:
oc new-app -n myproject -f {templates-base-url}/fuse-console-namespace-rbac.yml
OpenShift Web コンソールを開くように Fuse Console を設定するには、以下のコマンドを実行して
OPENSHIFT_WEB_CONSOLE_URL
環境変数を設定します。oc set env dc/${APP_NAME} OPENSHIFT_WEB_CONSOLE_URL=`oc get -n openshift-config-managed cm console-public -o jsonpath={.data.consoleURL}`
以下のコマンドを実行して、Fuse Console デプロイメントの状態と URL を取得します。
oc status
- ブラウザーから Fuse Console にアクセスするには、手順 7. で返される URL (例: https://fuse-console.192.168.64.12.nip.io) を使用します。
2.4.2.1. OpenShift 4.x で Fuse Console をセキュア化するための証明書の生成
OpenShift 4.x で、Fuse Console プロキシーと Jolokia エージェントとの間の接続をセキュアにするには、Fuse Console をデプロイする前にクライアント証明書を生成する必要があります。サービス署名認証局の秘密鍵を使用して、クライアント証明書を署名する必要があります。
この手順は、コマンドラインを使用して Fuse Console をインストールおよびデプロイしている場合に のみ 実行する必要があります。Fuse Console Operator を使用している場合は、Fuse Console Operator がこのタスクを処理します。
各 OpenShift クラスターに別のクライアント証明書を生成し、署名する必要があります。複数のクラスターに同じ証明書を使用しないでください。
前提条件
-
OpenShift クラスターにアクセス可能な
cluster admin
権限がある。 複数の OpenShift クラスターの証明書を生成し、現在のディレクトリーに別のクラスターの証明書を生成している場合は、以下のいずれかを実行して、現在のクラスターに別の証明書を生成するようにします。
-
現在のディレクトリーから既存の証明書ファイル (
ca.crt
、ca.key
、およびca.srl
) を削除します。 別の作業ディレクトリーに移動します。たとえば、現在の作業ディレクトリーの名前が
cluster1
の場合、新しいcluster2
ディレクトリーを作成し、作業ディレクトリーをそのディレクトリーに変更します。mkdir ../cluster2
cd ../cluster2
-
現在のディレクトリーから既存の証明書ファイル (
手順
cluster admin 権限を持つユーザーとして OpenShift にログインします。
oc login -u <user_with_cluster_admin_role>
以下のコマンドを実行して、サービス署名認証局のキーを取得します。
以下を実行して、証明書を取得します。
oc get secrets/signing-key -n openshift-service-ca -o "jsonpath={.data['tls\.crt']}" | base64 --decode > ca.crt
以下を実行して、秘密鍵を取得します。
oc get secrets/signing-key -n openshift-service-ca -o "jsonpath={.data['tls\.key']}" | base64 --decode > ca.key
Kubernetes certificates administration の説明にしたがって、
easyrsa
、openssl
、またはcfssl
を使用して、クライアント証明書を生成します。以下に、openssl を使用したコマンドの例を示します。
秘密鍵を生成します。
openssl genrsa -out server.key 2048
CSR 設定ファイルを作成します。
cat <<EOT >> csr.conf [ req ] default_bits = 2048 prompt = no default_md = sha256 distinguished_name = dn [ dn ] CN = fuse-console.fuse.svc [ v3_ext ] authorityKeyIdentifier=keyid,issuer:always keyUsage=keyEncipherment,dataEncipherment,digitalSignature extendedKeyUsage=serverAuth,clientAuth EOT
ここでは、
CN
パラメーターの値はアプリケーション名とアプリケーションが使用する namespace を参照します。CSR を生成します。
openssl req -new -key server.key -out server.csr -config csr.conf
署名済みの証明書を発行します。
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 10000 -extensions v3_ext -extfile csr.conf
次のステップ
コマンドラインを使用した OpenShift 4.x での Fuse Console のインストールおよびデプロイ で説明されているように、Fuse Console のシークレットを作成するには、この証明書が必要です。
2.4.3. OpenShift 4.x 上の Fuse Console のロールベースアクセス制御
Fuse Console は、OpenShift によって提供されるユーザー承認に応じてアクセスを推測する、ロールベースアクセス制御 (RBAC) を提供します。Fuse Console では、RBAC はユーザーが Pod で MBean 操作を実行できるかどうかを判断します。
OpenShift の承認に関する詳細は、OpenShift ドキュメントの RBAC の使用によるパーミッションの定義および適用 を参照してください。
Operator を使用して OpenShift に Fuse Console をインストールした場合、ロールベースのアクセスはデフォルトで無効になります。OperatorHub を使用した OpenShift 4.x での Fuse Console のインストールおよびデプロイ にあるように、任意でインストール中またはインストール後に Operator で RBAC を有効にできます。
Fuse Console のロールベースアクセスを実装する場合は、RBAC で設定可能なテンプレートの 1 つ (fuse-console-cluster-rbac.yml
または fuse-console-namespace-rbac.yml
) を使用して、コマンドラインを使用した OpenShift 4.x での Fuse Console のインストールおよびデプロイ の説明どおりに Fuse Console をインストールする必要があります。
Fuse Console RBAC は、OpenShift の Pod リソースでユーザーの verb (動詞) アクセスを利用して、Fuse Console の Pod の MBean 操作にユーザーがアクセスできるかどうかを判断します。デフォルトでは、Fuse Console には 2 つのユーザーロールがあります。
admin
ユーザーが OpenShift で Pod を 更新 できる場合、ユーザーには Fuse Console の admin ロールが付与されます。ユーザーは、Fuse Console で、その Pod に対して 書き込み の MBean 操作を実行できます。
viewer
ユーザーが OpenShift で Pod を 取得 できる場合、ユーザーには Fuse Console の viewer ロールが付与されます。ユーザーは、Fuse Console で、その Pod に対して 読み取り専用 の MBean 操作を実行できます。
Fuse Console Operator 設定で RBAC を有効にしない場合や、RBAC テンプレートを使用して Fuse Console をインストールしない場合、Pod リソースで update verb (動詞) が付与された OpenShift ユーザーのみが Fuse Console の MBeans 操作の実行が許可されます。Pod リソースで get verb (動詞) を付与されたユーザーは、Pod を 表示 できますが、Fuse Console の操作は実行できません。
関連情報
2.4.3.1. OpenShift 4.x での Fuse Console のアクセスロールの判断
Fuse Console のロールベースアクセス制御は、Pod に対するユーザーの OpenShift パーミッションから推測されます。特定のユーザーに付与された Fuse Console のアクセスロールを判断するには、Pod に対してユーザーに付与された OpenShift パーミッションを取得します。
前提条件
- ユーザーの名前を知っている必要があります。
- Pod の名前を知っている必要があります。
手順
ユーザーが Pod に対して Fuse Console の admin ロールを持っているかどうかを確認するには、以下のコマンドを実行してユーザーが OpenShift で Pod を更新できるかどうかを確認します。
oc auth can-i update pods/<pod> --as <user>
応答が
yes
の場合、ユーザーはその Pod に対して Fuse Console の admin ロールを持っています。ユーザーは、Fuse Console で、その Pod に対して 書き込み の MBean 操作を実行できます。ユーザーが Pod に対して Fuse Console の viewer ロールを持っているかどうかを確認するには、以下のコマンドを実行してユーザーが OpenShift で Pod を取得できるかどうかを確認します。
oc auth can-i get pods/<pod> --as <user>
応答が
yes
の場合、ユーザーはその Pod に対して Fuse Console の viewer ロールを持っています。ユーザーは、Fuse Console で、その Pod に対して 読み取り専用 の MBean 操作を実行できます。コンテキストによっては、Fuse Console でオプションを無効にしたり、ユーザーによる 書き込み MBean 操作の試行時に "operation not allowed for this user" メッセージを表示したりして、viewer ロールを持つユーザーによる 書き込み MBean 操作が実行されないようにします。応答が
no
の場合、ユーザーは Fuse Console のロールにバインドされず、ユーザーは Fuse Console で Pod を確認できません。
2.4.3.2. OpenShift 4.x での Fuse Console へのロールベースアクセスのカスタマイズ
OperatorHub を使用して Fuse Console をインストールし、ロールベースアクセス制御 (RBAC) を有効にする場合、OpenShift 4.x 上の Fuse Console のロールベースアクセス制御 の説明どおりに、Fuse Console Operator はデフォルトの RBAC 動作を提供します。Fuse Console の RBAC 動作をカスタマイズする場合、Fuse Console をデプロイする前に ConfigMap ファイル (カスタムの RBAC 動作を定義する) を指定する必要があります。カスタム ConfigMap ファイルは、Fuse Console Operator をインストールした namespace に配置する必要があります。
コマンドラインテンプレートを使用して Fuse Console をインストールする場合、deployment-cluster-rbac.yml
および deployment-namespace-rbac.yml
テンプレートによって、設定ファイル (ACL.yml
) が含まれる ConfigMap が作成されます。設定ファイルでは、MBean 操作に許可されるロールが定義されます。
前提条件
-
OperatorHub または Fuse Console の RBAC テンプレート (
deployment-cluster-rbac.yml
またはdeployment-namespace-rbac.yml
) の 1 つを使用して、Fuse Console がインストール済みである必要があります。
手順
Fuse Console の RBAC ロールをカスタマイズする場合は、以下を行います。
コマンドラインを使用して Fuse Console をインストールした場合、インストールテンプレートにはデフォルトの ConfigMap ファイルが含まれるため、次のステップを省略できます。
OperatorHub を使用して Fuse Console をインストールした場合、Fuse Console をデプロイする前に RBAC ConfigMap を作成します。
現在の OpenShift プロジェクトが Fuse Console をインストールするプロジェクトであることを確認します。たとえば、Fuse Console を fusetest プロジェクトにインストールするには、以下のコマンドを実行します。
oc project fusetest
テンプレートから Fuse Console RBAC ConfigMap ファイルを作成するには、以下のコマンドを実行します。
oc process -f https://raw.githubusercontent.com/jboss-fuse/application-templates/2.1.x.sb2.redhat-7-8-x/fuse-console-operator-rbac.yml -p APP_NAME=fuse-console | oc create -f -
以下のコマンドを実行してエディターで ConfigMap を開きます。
oc edit cm $APP_NAME-rbac
以下に例を示します。
oc edit cm fuse-console-rbac
- ファイルを編集します。
- ファイルを保存して変更を適用します。Fuse Console の Pod は OpenShift によって自動的に再起動されます。
2.4.3.3. OpenShift 4.x での Fuse Console のロールベースアクセス制御の無効化
Fuse Console の HAWTIO_ONLINE_RBAC_ACL
環境変数は、ロールベースアクセス制御 (RBAC) の ConfigMap 設定ファイルのパスを OpenShift サーバーに渡します。HAWTIO_ONLINE_RBAC_ACL
環境変数が指定されていない場合、RBAC のサポートは無効になり、Pod リソース (OpenShift の) で update verb (動詞) が付与されたユーザーのみが Fuse Console の Pod で MBean 操作を呼び出すことが承認されます。
Operator を使用して OpenShift に Fuse Console をインストールした場合、ロールベースのアクセスはデフォルトで無効になることに注意してください。
前提条件
Fuse Console がインストール済みである必要があります。
- OperatorHub を使用してインストールされ、Fuse Console 設定で RBAC が有効になっている。
-
コマンドラインを使用してインストールされ、Fuse Console RBAC テンプレートの 1 つ (
deployment-cluster-rbac.yml
またはdeployment-namespace-rbac.yml
) が指定されている。
手順
Fuse Console のロールベースのアクセスを無効にするには、以下を実行します。
- OpenShift で、Fuse Console の Deployment Config リソースを編集します。
HAWTIO_ONLINE_RBAC_ACL
環境変数の定義をすべて削除します。(値を消去するだけでは不十分です)。
- ファイルを保存して変更を適用します。Fuse Console の Pod は OpenShift によって自動的に再起動されます。
2.4.4. OpenShift 4.x での Fuse Console のアップグレード
Red Hat OpenShift 4.x では、Red Hat Fuse Operator などの Operator の更新が処理されます。詳細は、OpenShift ドキュメントの Operator を参照してください。
その後、アプリケーションの設定方法によっては、Operator の更新でアプリケーションのアップグレードをトリガーできるようになります。
Fuse Console アプリケーションでは、アプリケーションカスタムリソース定義の .spec.version
フィールドを編集して、アプリケーションのアップグレードをトリガーすることもできます。
前提条件
- OpenShift クラスターの管理者権限が必要です。
手順
Fuse Console アプリケーションをアップグレードするには、以下を行います。
ターミナルウィンドウで、以下のコマンドを使用してアプリケーションカスタムリソース定義の
.spec.version
フィールドを変更します。oc patch <project-name> <custom-resource-name> --type='merge' -p '{"spec":{"version":"1.7.1"}}'
以下に例を示します。
oc patch myproject example-fuseconsole --type='merge' -p '{"spec":{"version":"1.7.1"}}'
アプリケーションの状態が更新されたことを確認します。
oc get myproject
応答には、バージョン番号などのアプリケーションに関する情報が表示されます。
NAME AGE URL IMAGE example-fuseconsole 1m https://fuseconsole.192.168.64.38.nip.io docker.io/fuseconsole/online:1.7.1
.spec.version
フィールドの値を変更すると、OpenShift によってアプリケーションが自動的に再デプロイされます。バージョンの変更によってトリガーされた再デプロイの状態をチェックするには、以下を実行します。
oc rollout status deployment.v1.apps/example-fuseconsole
正常にデプロイされた場合は以下の応答が表示されます。
deployment "example-fuseconsole" successfully rolled out