4.4. シングルモデルサービングプラットフォームの認可プロバイダーの追加

手順

1. OpenShift Web コンソールにクラスター管理者としてログインします。
2. Web コンソールで Operators OperatorHub をクリックします。
3. OperatorHub ページの Filter by keyword フィールドに、Red Hat - Authorino と入力します。
4. Red Hat - Authorino Operator をクリックします。
5. Red Hat - Authorino Operator ページで、Operator 情報を確認して Install をクリックします。

6. Install Operator ページで、Installation mode、Installed Namespace、Update Approval のデフォルト値をそのままにします。

   1. Update channel は、Stable を選択します。
   2. Version には 1.2.1 以降を選択します。
7. Install をクリックします。

手順

1. 新しいターミナルウィンドウを開きます。

2. 次のように OpenShift コマンドラインインターフェイス (CLI) にログインします。

   $ oc login <openshift_cluster_url> -u <username> -p <password>

   Copy to Clipboard Toggle word wrap

3. Authorino インスタンスのインストールに使用する namespace を作成します。

   $ oc new-project <namespace_for_authorino_instance>

   Copy to Clipboard Toggle word wrap
   注記

   自動インストールプロセスにより、Authorino インスタンス用に redhat-ods-applications-auth-provider という namespace が作成されます。手動インストールで使用する namespace も同じ名前にすることを検討してください。

4. 既存の OpenShift Service Mesh インスタンスに Authorino インスタンス用の新しい namespace を登録するには、次の内容で新しい YAML ファイルを作成します。

   apiVersion: maistra.io/v1
   kind: ServiceMeshMember
   metadata:
     name: default
     namespace: <namespace_for_authorino_instance>
   spec:
     controlPlaneRef:
       namespace: <namespace_for_service_mesh_instance>
       name: <name_of_service_mesh_instance>

   Copy to Clipboard Toggle word wrap
5. YAML ファイルを保存します。

6. クラスター上に ServiceMeshMember リソースを作成します。

   $ oc create -f <file_name>.yaml

   Copy to Clipboard Toggle word wrap

7. Authorino インスタンスを設定するには、次の例に示すように新しい YAML ファイルを作成します。

   apiVersion: operator.authorino.kuadrant.io/v1beta1
   kind: Authorino
   metadata:
     name: authorino
     namespace: <namespace_for_authorino_instance>
   spec:
     authConfigLabelSelectors: security.opendatahub.io/authorization-group=default
     clusterWide: true
     listener:
       tls:
         enabled: false
     oidcServer:
       tls:
         enabled: false

   Copy to Clipboard Toggle word wrap
8. YAML ファイルを保存します。

9. クラスター上に Authorino リソースを作成します。

   $ oc create -f <file_name>.yaml

   Copy to Clipboard Toggle word wrap

10. Authorino デプロイメントにパッチを適用して Istio サイドカーを注入し、Authorino インスタンスを OpenShift Service Mesh インスタンスの一部にします。

    $ oc patch deployment <name_of_authorino_instance> -n <namespace_for_authorino_instance> -p '{"spec": {"template":{"metadata":{"labels":{"sidecar.istio.io/inject":"true"}}}} }'

    Copy to Clipboard Toggle word wrap

手順

1. OpenShift Service Mesh インスタンスの更新権限を持つユーザーとして OpenShift クラスターにログインしていない場合は、次の例のとおりターミナルウィンドウで OpenShift CLI にログインします。

   $ oc login <openshift_cluster_url> -u <username> -p <password>

   Copy to Clipboard Toggle word wrap

2. 次の内容で新しい YAML ファイルを作成します。

   spec:
    techPreview:
      meshConfig:
        extensionProviders:
        - name: redhat-ods-applications-auth-provider
          envoyExtAuthzGrpc:
            service: <name_of_authorino_instance>-authorino-authorization.<namespace_for_authorino_instance>.svc.cluster.local
            port: 50051

   Copy to Clipboard Toggle word wrap
3. YAML ファイルを保存します。

4. oc patch コマンドを使用して、YAML ファイルを OpenShift Service Mesh インスタンスに適用します。

   $ oc patch smcp <name_of_service_mesh_instance> --type merge -n <namespace_for_service_mesh_instance> --patch-file <file_name>.yaml

   Copy to Clipboard Toggle word wrap
   重要

   OpenShift Service Mesh インスタンスで他のエクステンションプロバイダーを指定していない場合に 限り、パッチとして表示される設定を適用できます。他のエクステンションプロバイダーをすでに指定している場合は、ServiceMeshControlPlane リソースを手動で編集して設定を追加する必要があります。

手順

1. KServe デプロイメントの更新権限を持つユーザーとして OpenShift クラスターにログインしていない場合は、次の例のとおりターミナルウィンドウで OpenShift CLI にログインします。

   $ oc login <openshift_cluster_url> -u <username> -p <password>

   Copy to Clipboard Toggle word wrap

2. 次の内容で新しい YAML ファイルを作成します。

   apiVersion: security.istio.io/v1beta1
   kind: AuthorizationPolicy
   metadata:
     name: kserve-predictor
   spec:
     action: CUSTOM
     provider:
        name: redhat-ods-applications-auth-provider 

   1

   
     rules:
        - to:
             - operation:
                  notPaths:
                     - /healthz
                     - /debug/pprof/
                     - /metrics
                     - /wait-for-drain
     selector:
        matchLabels:
           component: predictor

   Copy to Clipboard Toggle word wrap

   1

   指定する名前は、OpenShift Service Mesh インスタンスに追加したエクステンションプロバイダーの名前と一致する必要があります。

3. YAML ファイルを保存します。

4. OpenShift Service Mesh インスタンスの namespace に AuthorizationPolicy リソースを作成します。

   $ oc create -n <namespace_for_service_mesh_instance> -f <file_name>.yaml

   Copy to Clipboard Toggle word wrap

5. 次の内容で、別の新しい YAML ファイルを作成します。

   apiVersion: networking.istio.io/v1alpha3
   kind: EnvoyFilter
   metadata:
     name: activator-host-header
   spec:
     priority: 20
     workloadSelector:
       labels:
         component: predictor
     configPatches:
     - applyTo: HTTP_FILTER
       match:
         listener:
           filterChain:
             filter:
               name: envoy.filters.network.http_connection_manager
       patch:
         operation: INSERT_BEFORE
         value:
           name: envoy.filters.http.lua
           typed_config:
             '@type': type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua
             inlineCode: |
              function envoy_on_request(request_handle)
                 local headers = request_handle:headers()
                 if not headers then
                   return
                 end
                 local original_host = headers:get("k-original-host")
                 if original_host then
                   port_seperator = string.find(original_host, ":", 7)
                   if port_seperator then
                     original_host = string.sub(original_host, 0, port_seperator-1)
                   end
                   headers:replace('host', original_host)
                 end
               end

   Copy to Clipboard Toggle word wrap

   示されている EnvoyFilter リソースは、HTTP ホストヘッダーを、推論リクエストに最初に含まれていたものに継続的にリセットします。

6. OpenShift Service Mesh インスタンスの namespace に EnvoyFilter リソースを作成します。

   $ oc create -n <namespace_for_service_mesh_instance> -f <file_name>.yaml

   Copy to Clipboard Toggle word wrap