Red Hat Summit第1章 OpenShift Data Foundation のデプロイの準備
動的ストレージデバイスを使用して OpenShift Data Foundation を OpenShift Container Platform にデプロイすると、内部クラスターリソースを作成するオプションが提供されます。
OpenShift Data Foundation のデプロイを開始する前に、以下を実行します。
オプション: 外部の鍵管理システム (KMS) HashiCorp Vault を使用してクラスター全体の暗号化を有効にする場合は、次の手順に従います。
- 有効な Red Hat OpenShift Data Foundation Advanced サブスクリプションがあることを確認してください。OpenShift Data Foundation のサブスクリプションの仕組みを確認するには、OpenShift Data Foundation subscriptions に関するナレッジベースの記事 を参照してください。
- 暗号化にトークン認証方法が選択されている場合は、Enabling cluster-wide encryption with the Token authentication using KMS を参照してください。
- 暗号化に Kubernetes 認証方式が選択されている場合は、KMS を使用した Kubernetes 認証によるクラスター全体の暗号化の有効 化 を参照してください。
- Vault サーバーで署名済みの証明書を使用していることを確認します。
オプション: 外部の鍵管理システム (KMS) Thales CipherTrust Manager を使用してクラスター全体の暗号化を有効にする場合は、まず Key Management Interoperability Protocol (KMIP) を有効にして、サーバーで署名付き証明書を使用する必要があります。
KMIP クライアントが存在しない場合は作成します。ユーザーインターフェイスから、KMIP
Client Profile Add Profile を選択します。 -
プロファイルの作成中に、
CipherTrustのユーザー名を Common Name フィールドに追加します。
-
プロファイルの作成中に、
-
KMIP
Registration Token New Registration Token に移動してトークンを作成します。次のステップのためにトークンをコピーしておきます。 -
クライアントを登録するために、KMIP
Registered Clients Add Client に移動します。Name を指定します。前のステップの Registration Token を貼り付けて、Save をクリックします。 - Save Private Key と Save Certificate をクリックして、それぞれ秘密鍵とクライアント証明書をダウンロードします。
新しい KMIP インターフェイスを作成するために、Admin Settings
Interfaces Add Interface に移動します。 - KMIP Key Management Interoperability Protocol を選択し、Next をクリックします。
- 空いている Port を選択します。
- Network Interface は all を選択します。
- Interface Mode は TLS, verify client cert, user name taken from client cert, auth request is optional を選択します。
- (オプション) 物理削除を有効にして、鍵が削除されたときにメタデータとマテリアルの両方を削除することができます。これはデフォルトでは無効になっています。
- 使用する認証局 (CA) を選択し、Save をクリックします。
- サーバー CA 証明書を取得するために、新しく作成されたインターフェイスの右側にあるアクションメニュー (⋮) をクリックし、Download Certificate をクリックします。
オプション: デプロイ時に StorageClass 暗号化を有効にする場合は、キー暗号化キー (KEK) として機能するキーを作成します。
-
Keys
Add Key に移動します。 - Key Name を入力します。
- Algorithm と Size をそれぞれ AES と 256 に設定します。
- Create a key in Pre-Active state を有効にして、アクティベーションの日時を設定します。
- Key Usage で Encrypt と Decrypt が有効になっていることを確認します。
- 新しく作成した鍵の ID をコピーして、デプロイメント中に一意の識別子として使用します。
-
Keys
ノードの最小要件
OpenShift Data Foundation クラスターは、標準のデプロイメントリソース要件を満たしていない場合に、最小の設定でデプロイされます。プランニングガイド の Resource requirements のセクションを参照してください。
ノードの停止および起動操作を実行するか、マシンプールを作成または追加するには、適切なラベル付けを適用する必要があります。以下に例を示します。
$ rosa edit machinepool --cluster <cluster-name> --labels cluster.ocs.openshift.io/openshift-storage="" <machinepool-name>
<cluster-name> をクラスター名に、<machinepool-name> をマシンプール名に置き換えます。
