管理ガイド

1. ユーザーがコードサンプルからワークスペースを作成する際に、「Devfile レジストリー」 から devfile を収集します。
2. リポジトリー URL を 「Dev Spaces サーバー」 に送信し、ユーザーがリモート devfile からワークスペースを作成する際に devfile が返されることを想定します。
3. ワークスペースを記述した devfile を読み込みます。
4. 「プラグインレジストリー」 から追加のメタデータを収集します。
5. その情報を Dev Workspace Custom Resource に変換します。
6. OpenShift API を使用して、ユーザープロジェクトに Dev Workspace Custom Resource を作成します。
7. Dev Workspace Custom Resource のステータスを監視します。
8. 実行中のワークスペース IDE にユーザーをリダイレクトします。

手順

1. Microsoft Azure にログインします。

   az login

   Copy to Clipboard Toggle word wrap

2. リソースグループを作成します (場所をリスト表示するには、az account list-locations コマンドを使用します)。

   # Resource group name
   ECLIPSE_CHE_RESOURCE_GROUP=eclipse-che
   
   # Azure region
   AZURE_REGION=centralus
   
   az group create --name $ECLIPSE_CHE_RESOURCE_GROUP --location $AZURE_REGION

   Copy to Clipboard Toggle word wrap

3. クラスター管理者グループを作成します。

   # Azure Active Directory group name
   AAD_GROUP_NAME=AKSAdmins
   
   az ad group create --display-name $AAD_GROUP_NAME --mail-nickname $AAD_GROUP_NAME

   Copy to Clipboard Toggle word wrap

4. 現在のユーザーをクラスター管理者グループに追加します。

   az ad group member add --group $AAD_GROUP_NAME \
     --member-id $(az ad signed-in-user show --query id --output tsv)

   Copy to Clipboard Toggle word wrap

5. Microsoft Entra 統合クラスターを作成します。

   # Azure Kubernetes Service cluster name
   AKS_CLUSTER_NAME=eclipse-che
   
   az aks create \
     --resource-group $ECLIPSE_CHE_RESOURCE_GROUP \
     --name $AKS_CLUSTER_NAME \
     --enable-aad \
     --aad-admin-group-object-ids $(az ad group list --query "[?displayName=='$AAD_GROUP_NAME'].id" --output tsv) \
     --generate-ssh-keys

   Copy to Clipboard Toggle word wrap

6. クラスターにアクセスするためのユーザー認証情報を取得します。

   az aks get-credentials \
     --resource-group $ECLIPSE_CHE_RESOURCE_GROUP \
     --name $AKS_CLUSTER_NAME \
     --admin

   Copy to Clipboard Toggle word wrap

7. Microsoft Azure CLI を使用するように kubelogin を設定します。

   kubelogin convert-kubeconfig -l azurecli

   Copy to Clipboard Toggle word wrap

8. クラスター内の Pod を表示します。

   oc get pods --all-namespaces

   Copy to Clipboard Toggle word wrap
9. 検証

手順

1. NGINX Ingress Controller をインストールします。

   helm repo add ingress-nginx https://kubernetes.github.io/ingress-nginx
   helm repo update
   
   helm install ingress-nginx ingress-nginx/ingress-nginx \
     --wait \
     --create-namespace \
     --namespace ingress-nginx \
     --set controller.service.annotations."service\.beta\.kubernetes\.io/azure-load-balancer-health-probe-request-path"=/healthz

   Copy to Clipboard Toggle word wrap

2. 外部 IP を待ちます。正確な外部 IP アドレスが表示される前に、外部 IP の <pending> ステータスが表示されることに注意してください。

   oc get services ingress-nginx-controller --namespace ingress-nginx
   NAME                                 TYPE           CLUSTER-IP     EXTERNAL-IP     PORT(S)                      AGE
   ingress-nginx-controller             LoadBalancer   10.0.65.52     XX.XXX.XX.XXX   80:31104/TCP,443:32552/TCP   13m

   Copy to Clipboard Toggle word wrap

手順

1. cert-manager をインストールします。

   helm repo add jetstack https://charts.jetstack.io
   helm repo update
   
   helm install cert-manager jetstack/cert-manager \
     --wait \
     --create-namespace \
     --namespace cert-manager \
     --set installCRDs=true

   Copy to Clipboard Toggle word wrap

手順

1. ドメイン名を定義します。

   export DOMAIN_NAME=azr.my-ide.cloud

   Copy to Clipboard Toggle word wrap

2. DNS ゾーンを作成します。

   az network dns zone create \
     --resource-group $ECLIPSE_CHE_RESOURCE_GROUP \
     --name $DOMAIN_NAME

   Copy to Clipboard Toggle word wrap

3. DNS レコードセットを作成します。

   az network dns record-set a add-record \
     --resource-group $ECLIPSE_CHE_RESOURCE_GROUP \
     --zone-name $DOMAIN_NAME \
     --record-set-name "*" \
     --ipv4-address $(oc get service -n ingress-nginx ingress-nginx-controller -o=jsonpath='{.status.loadBalancer.ingress[0].ip}')

   Copy to Clipboard Toggle word wrap

手順

1. サービスプリンシパルを作成します。

   CERT_MANAGER_SERVICE_PRINCIPAL_NAME=cert-manager-eclipse-che
   CERT_MANAGER_SERVICE_PRINCIPAL_APP_ID=$(az ad sp create-for-rbac --name $CERT_MANAGER_SERVICE_PRINCIPAL_NAME --query "appId" --output tsv)

   Copy to Clipboard Toggle word wrap

2. DNS ゾーンへのアクセスを許可します。

   az role assignment create \
     --assignee $CERT_MANAGER_SERVICE_PRINCIPAL_APP_ID \
     --scope $(az network dns zone show --name $DOMAIN_NAME --resource-group $ECLIPSE_CHE_RESOURCE_GROUP --query "id" --output tsv) \
     --role "DNS Zone Contributor"

   Copy to Clipboard Toggle word wrap

3. openshift-devspaces namespace を作成します。

   oc create namespace openshift-devspaces

   Copy to Clipboard Toggle word wrap

4. サービスアカウントシークレットを作成します。

   oc create secret generic azuredns-config \
     --from-literal=clientSecret=$(az ad sp create-for-rbac --name $CERT_MANAGER_SERVICE_PRINCIPAL_NAME --query "password" --output tsv) \
     --namespace openshift-devspaces

   Copy to Clipboard Toggle word wrap

5. Issuer を作成し、MY_EMAIL_ADDRESS を有効なアドレスに置き換えます。

   oc apply -f - << EOF
   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: devspaces-letsencrypt
     namespace: openshift-devspaces
   spec:
     acme:
       solvers:
       - dns01:
           azureDNS:
             clientID: $CERT_MANAGER_SERVICE_PRINCIPAL_APP_ID
             clientSecretSecretRef:
               name: azuredns-config
               key: clientSecret
             subscriptionID: $(az account show --query "id" --output tsv)
             tenantID: $(az account show --query "tenantId" --output tsv)
             resourceGroupName: $ECLIPSE_CHE_RESOURCE_GROUP
             hostedZoneName: $DOMAIN_NAME
       email: MY_EMAIL_ADDRESS
       privateKeySecretRef:
         name: letsencrypt
       server: https://acme-v02.api.letsencrypt.org/directory
   EOF

   Copy to Clipboard Toggle word wrap

6. 証明書を作成します。

   oc apply -f - << EOF
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: che-tls
     namespace: openshift-devspaces
   spec:
     secretName: che-tls
     issuerRef:
       name: devspaces-letsencrypt
       kind: Issuer
     commonName: '$DOMAIN_NAME'
     dnsNames:
     - '$DOMAIN_NAME'
     - '*.$DOMAIN_NAME'
     usages:
       - server auth
       - digital signature
       - key encipherment
       - key agreement
       - data encipherment
   EOF

   Copy to Clipboard Toggle word wrap

手順

1. アプリケーションを作成します。

   # Eclipse Che Application display name
   ECLIPSE_CHE_APPLICATION_DISPLAY_NAME="Eclipse Che"
   
   az ad app create \
     --display-name $ECLIPSE_CHE_APPLICATION_DISPLAY_NAME \
     --enable-access-token-issuance \
     --required-resource-accesses '[{"resourceAccess":[{"id":"34a47c2f-cd0d-47b4-a93c-2c41130c671c","type":"Scope"}],"resourceAppId":"6dae42f8-4368-4678-94ff-3960e28e3630"},{"resourceAccess":[{"id":"e1fe6dd8-ba31-4d61-89e7-88639da4683d","type":"Scope"}],"resourceAppId":"00000003-0000-0000-c000-000000000000"}]' \
     --optional-claims '{"accessToken":[{"additionalProperties":[],"essential":false,"name":"groups","source":null}]}'  \
     --sign-in-audience AzureADMyOrg \
     --web-redirect-uris https://$DOMAIN_NAME/oauth/callback

   Copy to Clipboard Toggle word wrap

2. アプリケーショングループのメンバーシップ要求を更新します。

   az ad app update \
     --id $(az ad app list --query "[?displayName=='$ECLIPSE_CHE_APPLICATION_DISPLAY_NAME'].id" --output tsv) \
     --set groupMembershipClaims=SecurityGroup

   Copy to Clipboard Toggle word wrap

手順

1. CheCluster パッチ YAML ファイルを準備します。

   cat > che-cluster-patch.yaml << EOF
   spec:
     networking:
       auth:
         identityProviderURL: "https://sts.windows.net/$(az account show --query "tenantId" --output tsv)/v2.0/"
         identityToken: access_token
         oAuthClientName: $(az ad app list --query "[?displayName=='$ECLIPSE_CHE_APPLICATION_DISPLAY_NAME'].appId" --output tsv)
         oAuthSecret: $(az ad app credential reset --id $ECLIPSE_CHE_APPLICATION_ID --query "password" --output tsv)
         oAuthScope: openid email profile 6dae42f8-4368-4678-94ff-3960e28e3630/user.read
         gateway:
           deployment:
             containers:
             - env:
               - name: OAUTH2_PROXY_INSECURE_OIDC_ALLOW_UNVERIFIED_EMAIL
                 value: "true"
               name: oauth-proxy
     components:
       cheServer:
         extraProperties:
           CHE_OIDC_AUTH__SERVER__URL: "https://sts.windows.net/$(az account show --query "tenantId" --output tsv)/v2.0/"
           CHE_OIDC_EMAIL__CLAIM: unique_name
   EOF

   Copy to Clipboard Toggle word wrap

2. OpenShift Dev Spaces をデプロイします。

   chectl server:deploy \
          --platform=k8s \
          --che-operator-cr-patch-yaml=che-cluster-patch.yaml \
          --skip-oidc-provider-check \
          --skip-cert-manager \
          --domain=$DOMAIN_NAME

   Copy to Clipboard Toggle word wrap

3. OpenShift Dev Spaces クラスターインスタンスに移動します。

   $ dsc dashboard:open

   Copy to Clipboard Toggle word wrap

手順

1. OpenShift Dev Spaces がデプロイされている OpenShift プロジェクトに新しい OpenShift シークレットまたは ConfigMap を作成します。作成される予定のオブジェクトのラベルは、ラベルのセットと一致する必要があります。

   • app.kubernetes.io/part-of: che.eclipse.org
   • app.kubernetes.io/component: <DEPLOYMENT_NAME>-<OBJECT_KIND>

   • <DEPLOYMENT_NAME> には、以下のデプロイメントのいずれかを使用します。

     • devspaces-dashboard
     • devfile-registry
     • plugin-registry

     • devspaces

       および

   • <jasper_KIND> は以下のいずれかになります。

     • secret

       または、以下を実行します。

     • configmap

1. アノテーションの値を設定します。アノテーションは、指定されたオブジェクトがファイルとしてマウントされていることを示す必要があります。

   • che.eclipse.org/mount-as: file - オブジェクトをファイルとしてマウントするように指定します。
   • che.eclipse.org/mount-path: <TARGET_PATH> - 必要なマウントパスを指定します。

手順

1. OpenShift Dev Spaces がデプロイされている OpenShift プロジェクトに新しい OpenShift シークレットまたは ConfigMap を作成します。作成される予定のオブジェクトのラベルは、ラベルのセットと一致する必要があります。

   • app.kubernetes.io/part-of: che.eclipse.org
   • app.kubernetes.io/component: <DEPLOYMENT_NAME>-<OBJECT_KIND>

   • <DEPLOYMENT_NAME> には、以下のデプロイメントのいずれかを使用します。

     • devspaces-dashboard
     • devfile-registry
     • plugin-registry

     • devspaces

       および

   • <jasper_KIND> は以下のいずれかになります。

     • secret

       または、以下を実行します。

     • configmap

1. アノテーションの値を設定します。アノテーションは、指定されたオブジェクトが subPath としてマウントされていることを示す必要があります。

   • che.eclipse.org/mount-as: subpath - オブジェクトが subPath としてマウントされていることを示します。
   • che.eclipse.org/mount-path: <TARGET_PATH> - 必要なマウントパスを指定します。

手順

1. OpenShift Dev Spaces がデプロイされている OpenShift プロジェクトに新しい OpenShift シークレットまたは ConfigMap を作成します。作成される予定のオブジェクトのラベルは、ラベルのセットと一致する必要があります。

   • app.kubernetes.io/part-of: che.eclipse.org
   • app.kubernetes.io/component: <DEPLOYMENT_NAME>-<OBJECT_KIND>

   • <DEPLOYMENT_NAME> には、以下のデプロイメントのいずれかを使用します。

     • devspaces-dashboard
     • devfile-registry
     • plugin-registry

     • devspaces

       および

   • <jasper_KIND> は以下のいずれかになります。

     • secret

       または、以下を実行します。

     • configmap

1. アノテーションの値を設定します。アノテーションは、指定されたオブジェクトが環境変数としてマウントされていることを示す必要があります。

   • che.eclipse.org/mount-as: env -: オブジェクトを環境変数としてマウントするように指定します。
   • che.eclipse.org/env-name: <FOOO_ENV>: オブジェクトキー値のマウントに必要な環境変数名を指定します。