3.3. KServe を手動でインストールする

手順

1. ターミナルウィンドウで、クラスター管理者として OpenShift クラスターにまだログインしていない場合は、次の例に示すように OpenShift CLI にログインします。

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

2. Red Hat OpenShift Service Mesh に必要な namespace を作成します。

   $ oc create ns istio-system

   以下のような出力が表示されます。

   namespace/istio-system created

3. smcp.yaml という名前の YAML ファイルに次の内容の ServiceMeshControlPlane オブジェクトを定義します。

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   metadata:
     name: minimal
     namespace: istio-system
   spec:
     tracing:
       type: None
     addons:
       grafana:
         enabled: false
       kiali:
         name: kiali
         enabled: false
       prometheus:
         enabled: false
       jaeger:
         name: jaeger
     security:
       dataPlane:
         mtls: true
       identity:
         type: ThirdParty
     techPreview:
       meshConfig:
         defaultConfig:
           terminationDrainDuration: 35s
     gateways:
       ingress:
         service:
           metadata:
             labels:
               knative: ingressgateway
     proxy:
       networking:
         trafficControl:
           inbound:
             excludedPorts:
               - 8444
               - 8022

   YAML ファイルの値の詳細は、Service Mesh コントロールプレーン設定リファレンス を参照してください。

4. サービスメッシュコントロールプレーンを作成します。

   $ oc apply -f smcp.yaml

手順

1. ターミナルウィンドウで、クラスター管理者として OpenShift クラスターにまだログインしていない場合は、次の例に示すように OpenShift CLI にログインします。

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

2. Knative Serving に必要なプロジェクト (つまり namespace) がすでに存在するかどうかを確認します。

   $ oc get ns knative-serving

   プロジェクトが存在する場合は、次の例のような出力が表示されます。

   NAME              STATUS   AGE
   knative-serving   Active   4d20h

3. knative-serving プロジェクトがまだ存在 しない 場合は、作成します。

   $ oc create ns knative-serving

   以下のような出力が表示されます。

   namespace/knative-serving created

4. 以下の内容で、default-smm.yaml という YAML ファイルに ServiceMeshMember オブジェクトを定義します。

   apiVersion: maistra.io/v1
   kind: ServiceMeshMember
   metadata:
     name: default
     namespace: knative-serving
   spec:
     controlPlaneRef:
       namespace: istio-system
       name: minimal

5. istio-system namespace に ServiceMeshMember オブジェクトを作成します。

   $ oc apply -f default-smm.yaml

   以下のような出力が表示されます。

   servicemeshmember.maistra.io/default created

6. knativeserving-istio.yaml という YAML ファイルに次の内容の KnativeServing オブジェクトを定義します。

   apiVersion: operator.knative.dev/v1beta1
   kind: KnativeServing
   metadata:
     name: knative-serving
     namespace: knative-serving
     annotations:
       serverless.openshift.io/default-enable-http2: "true"
   spec:
     workloads:
       - name: net-istio-controller
         env:
           - container: controller
             envVars:
               - name: ENABLE_SECRET_INFORMER_FILTERING_BY_CERT_UID
                 value: 'true'
       - annotations:
           sidecar.istio.io/inject: "true" 1
           sidecar.istio.io/rewriteAppHTTPProbers: "true" 2
         name: activator
       - annotations:
           sidecar.istio.io/inject: "true"
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
         name: autoscaler
     ingress:
       istio:
         enabled: true
     config:
       features:
         kubernetes.podspec-affinity: enabled
         kubernetes.podspec-nodeselector: enabled
         kubernetes.podspec-tolerations: enabled

   前述のファイルは、KnativeServing オブジェクトのカスタムリソース (CR) を定義します。CR は、アクティベーター Pod とオートスケーラー Pod のそれぞれに次のアクションも追加します。

   1

   Istio サイドカーを Pod に注入します。これにより、Pod がサービスメッシュの一部になります。

   2

   Istio サイドカーが Pod の HTTP liveness プローブと readiness プローブを書き換えられるようにします。

   注記

   Knative サービスのカスタムドメインを設定する場合、TLS 証明書を使用してマップされたサービスを保護できます。これを行うには、TLS シークレットを作成してから、作成した TLS シークレットを使用するように DomainMapping CR を更新する必要があります。詳細は、Red Hat OpenShift Serverless ドキュメントの TLS 証明書を使用したマップされたサービスの保護 を参照してください。

7. 指定された knative-serving namespace に KnativeServing オブジェクトを作成します。

   $ oc apply -f knativeserving-istio.yaml

   以下のような出力が表示されます。

   knativeserving.operator.knative.dev/knative-serving created

手順

1. ターミナルウィンドウで、クラスター管理者として OpenShift クラスターにまだログインしていない場合は、次の例に示すように OpenShift CLI にログインします。

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

   重要

   ゲートウェイの設定時に指定する独自のワイルドカード証明書とキーがある場合は、この手順のステップ 11 に進みます。

2. 環境変数を設定して、ゲートウェイのワイルドカード証明書とキーを生成するためのベースディレクトリーを定義します。

   $ export BASE_DIR=/tmp/kserve
   $ export BASE_CERT_DIR=${BASE_DIR}/certs

3. 環境変数を設定して、OpenShift クラスターの Ingress コントローラーで使用される共通名を定義します。

   $ export COMMON_NAME=$(oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}' | awk -F'.' '{print $(NF-1)"."$NF}')

4. 環境変数を設定して、OpenShift クラスターの Ingress コントローラーによって使用されるドメイン名を定義します。

   $ export DOMAIN_NAME=$(oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}')

5. 以前に設定した環境変数に基づいて、証明書の生成に必要なベースディレクトリーを作成します。

   $ mkdir ${BASE_DIR}
   $ mkdir ${BASE_CERT_DIR}

6. ワイルドカード証明書を生成するための OpenSSL 設定を作成します。

   $ cat <<EOF> ${BASE_DIR}/openssl-san.config
   [ req ]
   distinguished_name = req
   [ san ]
   subjectAltName = DNS:*.${DOMAIN_NAME}
   EOF

7. ルート証明書を生成します。

   $ openssl req -x509 -sha256 -nodes -days 3650 -newkey rsa:2048 \
   -subj "/O=Example Inc./CN=${COMMON_NAME}" \
   -keyout $BASE_DIR/root.key \
   -out $BASE_DIR/root.crt

8. ルート証明書によって署名されたワイルドカード証明書を生成します。

   $ openssl req -x509 -newkey rsa:2048 \
   -sha256 -days 3560 -nodes \
   -subj "/CN=${COMMON_NAME}/O=Example Inc." \
   -extensions san -config ${BASE_DIR}/openssl-san.config \
   -CA $BASE_DIR/root.crt \
   -CAkey $BASE_DIR/root.key \
   -keyout $BASE_DIR/wildcard.key  \
   -out $BASE_DIR/wildcard.crt
   
   $ openssl x509 -in ${BASE_DIR}/wildcard.crt -text

9. ワイルドカード証明書を確認します。

   $ openssl verify -CAfile ${BASE_DIR}/root.crt ${BASE_DIR}/wildcard.crt

10. スクリプトによって作成されたワイルドカードキーと証明書を新しい環境変数にエクスポートします。

    $ export TARGET_CUSTOM_CERT=${BASE_CERT_DIR}/wildcard.crt
    $ export TARGET_CUSTOM_KEY=${BASE_CERT_DIR}/wildcard.key

11. オプション: 独自 のワイルドカードキーと証明書を新しい環境変数にエクスポートするには、次のコマンドを入力します。

    $ export TARGET_CUSTOM_CERT=<path_to_certificate>
    $ export TARGET_CUSTOM_KEY=<path_to_key>

    注記

    提供する証明書では、OpenShift クラスターの Ingress コントローラーで使用されるドメイン名を指定する必要があります。この値は、次のコマンドを実行して確認できます。

    $ oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}'

12. ワイルドカード証明書とキーに設定した環境変数を使用して、istio-system namespace に TLS シークレットを作成します。

    $ oc create secret tls wildcard-certs --cert=${TARGET_CUSTOM_CERT} --key=${TARGET_CUSTOM_KEY} -n istio-system

13. 次の内容を含む gateways.yaml YAML ファイルを作成します。

    apiVersion: v1
    kind: Service 1
    metadata:
      labels:
        experimental.istio.io/disable-gateway-port-translation: "true"
      name: knative-local-gateway
      namespace: istio-system
    spec:
      ports:
        - name: http2
          port: 80
          protocol: TCP
          targetPort: 8081
      selector:
        knative: ingressgateway
      type: ClusterIP
    ---
    apiVersion: networking.istio.io/v1beta1
    kind: Gateway
    metadata:
      name: knative-ingress-gateway 2
      namespace: knative-serving
    spec:
      selector:
        knative: ingressgateway
      servers:
        - hosts:
            - '*'
          port:
            name: https
            number: 443
            protocol: HTTPS
          tls:
            credentialName: wildcard-certs
            mode: SIMPLE
    ---
    apiVersion: networking.istio.io/v1beta1
    kind: Gateway
    metadata:
     name: knative-local-gateway 3
     namespace: knative-serving
    spec:
     selector:
       knative: ingressgateway
     servers:
       - port:
           number: 8081
           name: https
           protocol: HTTPS
         tls:
           mode: ISTIO_MUTUAL
         hosts:
           - "*"

    1

    Knative ローカルゲートウェイの istio-system namespace にサービスを定義します。

    2

    knative-serving namespace で Ingress ゲートウェイを定義します。ゲートウェイは、この手順の前半で作成した TLS シークレットを使用します。Ingress ゲートウェイは、Knative への外部トラフィックを処理します。

    3

    knative-serving namespace で Knative のローカルゲートウェイを定義します。

14. gateways.yaml ファイルを適用して、定義されたリソースを作成します。

    $ oc apply -f gateways.yaml

    以下のような出力が表示されます。

    service/knative-local-gateway created
    gateway.networking.istio.io/knative-ingress-gateway created
    gateway.networking.istio.io/knative-local-gateway created

手順

1. OpenShift Web コンソールにクラスター管理者としてログインします。
2. Web コンソールで Operators OperatorHub をクリックします。
3. OperatorHub ページの Filter by keyword フィールドに、Red Hat - Authorino と入力します。
4. Red Hat - Authorino Operator をクリックします。
5. Red Hat - Authorino Operator ページで、Operator 情報を確認して Install をクリックします。
6. Install Operator ページの Update channel、Version、Installation mode、Installed Namespace、Update Approval は、デフォルト値のままにします。
7. Install をクリックします。

手順

1. 新しいターミナルウィンドウを開きます。

2. 次のように OpenShift コマンドラインインターフェイス (CLI) にログインします。

   $ oc login <openshift_cluster_url> -u <username> -p <password>

3. Authorino インスタンスのインストールに使用する namespace を作成します。

   $ oc new-project <namespace_for_authorino_instance>

   注記

   自動インストールプロセスにより、Authorino インスタンス用に redhat-ods-applications-auth-provider という namespace が作成されます。手動インストールで使用する namespace も同じ名前にすることを検討してください。

4. 既存の OpenShift Service Mesh インスタンスに Authorino インスタンス用の新しい namespace を登録するには、次の内容で新しい YAML ファイルを作成します。

     apiVersion: maistra.io/v1
     kind: ServiceMeshMember
     metadata:
       name: default
       namespace: <namespace_for_authorino_instance>
     spec:
       controlPlaneRef:
         namespace: <namespace_for_service_mesh_instance>
         name: <name_of_service_mesh_instance>

5. YAML ファイルを保存します。

6. クラスター上に ServiceMeshMember リソースを作成します。

   $ oc create -f <file_name>.yaml

7. Authorino インスタンスを設定するには、次の例に示すように新しい YAML ファイルを作成します。

     apiVersion: operator.authorino.kuadrant.io/v1beta1
     kind: Authorino
     metadata:
       name: authorino
       namespace: <namespace_for_authorino_instance>
     spec:
       authConfigLabelSelectors: security.opendatahub.io/authorization-group=default
       clusterWide: true
       listener:
         tls:
           enabled: false
       oidcServer:
         tls:
           enabled: false

8. YAML ファイルを保存します。

9. クラスター上に Authorino リソースを作成します。

   $ oc create -f <file_name>.yaml

10. Authorino デプロイメントにパッチを適用して Istio サイドカーを注入し、Authorino インスタンスを OpenShift Service Mesh インスタンスの一部にします。

    $ oc patch deployment <name_of_authorino_instance> -n <namespace_for_authorino_instance> -p '{"spec": {"template":{"metadata":{"labels":{"sidecar.istio.io/inject":"true"}}}} }'

手順

1. OpenShift Service Mesh インスタンスの更新権限を持つユーザーとして OpenShift クラスターにログインしていない場合は、次の例のとおりターミナルウィンドウで OpenShift CLI にログインします。

   $ oc login <openshift_cluster_url> -u <username> -p <password>

2. 次の内容で新しい YAML ファイルを作成します。

   spec:
    techPreview:
      meshConfig:
        extensionProviders:
        - name: redhat-ods-applications-auth-provider
          envoyExtAuthzGrpc:
            service: <name_of_authorino_instance>-authorino-authorization.<namespace_for_authorino_instance>.svc.cluster.local
            port: 50051

3. YAML ファイルを保存します。

4. oc patch コマンドを使用して、YAML ファイルを OpenShift Service Mesh インスタンスに適用します。

   $ oc patch smcp <name_of_service_mesh_instance> --type merge -n <namespace_for_service_mesh_instance> --patch-file <file_name>.yaml

   重要

   OpenShift Service Mesh インスタンスで他のエクステンションプロバイダーを指定していない場合に 限り、パッチとして表示される設定を適用できます。他のエクステンションプロバイダーをすでに指定している場合は、ServiceMeshControlPlane リソースを手動で編集して設定を追加する必要があります。

手順

1. KServe デプロイメントの更新権限を持つユーザーとして OpenShift クラスターにログインしていない場合は、次の例のとおりターミナルウィンドウで OpenShift CLI にログインします。

   $ oc login <openshift_cluster_url> -u <username> -p <password>

2. 次の内容で新しい YAML ファイルを作成します。

   apiVersion: security.istio.io/v1beta1
   kind: AuthorizationPolicy
   metadata:
     name: kserve-predictor
   spec:
     action: CUSTOM
     provider:
        name: redhat-ods-applications-auth-provider 1
     rules:
        - to:
             - operation:
                  notPaths:
                     - /healthz
                     - /debug/pprof/
                     - /metrics
                     - /wait-for-drain
     selector:
        matchLabels:
           component: predictor

   1

   指定する名前は、OpenShift Service Mesh インスタンスに追加したエクステンションプロバイダーの名前と一致する必要があります。

3. YAML ファイルを保存します。

4. OpenShift Service Mesh インスタンスの namespace に AuthorizationPolicy リソースを作成します。

   $ oc create -n <namespace_for_service_mesh_instance> -f <file_name>.yaml

5. 次の内容で、別の新しい YAML ファイルを作成します。

   apiVersion: networking.istio.io/v1alpha3
   kind: EnvoyFilter
   metadata:
     name: activator-host-header
   spec:
     priority: 20
     workloadSelector:
       labels:
         component: predictor
     configPatches:
     - applyTo: HTTP_FILTER
       match:
         listener:
           filterChain:
             filter:
               name: envoy.filters.network.http_connection_manager
       patch:
         operation: INSERT_BEFORE
         value:
           name: envoy.filters.http.lua
           typed_config:
             '@type': type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua
             inlineCode: |
              function envoy_on_request(request_handle)
                 local headers = request_handle:headers()
                 if not headers then
                   return
                 end
                 local original_host = headers:get("k-original-host")
                 if original_host then
                   port_seperator = string.find(original_host, ":", 7)
                   if port_seperator then
                     original_host = string.sub(original_host, 0, port_seperator-1)
                   end
                   headers:replace('host', original_host)
                 end
               end

   示されている EnvoyFilter リソースは、HTTP ホストヘッダーを、推論リクエストに最初に含まれていたものに継続的にリセットします。

6. OpenShift Service Mesh インスタンスの namespace に EnvoyFilter リソースを作成します。

   $ oc create -n <namespace_for_service_mesh_instance> -f <file_name>.yaml