宣言型クラスター設定

手順

1. Web コンソールの Administrator パースペクティブで、Operators → Installed Operators → Red Hat OpenShift GitOps → Subscription に移動します。
2. Actions リストをクリックし、Edit Subscription をクリックします。

3. openshift-gitops-operator サブスクリプションの詳細ページの YAML タブで、Argo CD インスタンスの namespace を仕様セクションの ARGOCD_CLUSTER_CONFIG_NAMESPACES 環境変数に追加して、spec セクションの Subscription YAML ファイルを編集します。

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: openshift-gitops-operator
     namespace: openshift-gitops-operator
   # ...
   spec:
     config:
       env:
       - name: ARGOCD_CLUSTER_CONFIG_NAMESPACES
         value: openshift-gitops, <list of namespaces of cluster-scoped Argo CD instances>
   # ...

4. Save、Reload を順にクリックします。

5. Argo CD インスタンスがクラスタースコープのリソースを管理するクラスターロールで設定されていることを確認するには、次の手順を実行します。

   1. User Management → Roles に移動し、Filter リストから Cluster-wide Roles を選択します。

   2. Search by name フィールドを使用して、argocd-application-controller を検索します。

      Roles ページには、作成されたクラスターロールが表示されます。

      ヒント

      あるいは、OpenShift CLI で次のコマンドを実行します。

      oc auth can-i create oauth -n openshift-gitops --as system:serviceaccount:openshift-gitops:openshift-gitops-argocd-application-controller

      出力 yes は、Argo インスタンスがクラスタースコープのリソースを管理するクラスターロールで設定されていることを確認します。それ以外の場合は、設定を確認し、必要に応じて必要な手順を実行します。

手順

1. 既存のノードにラベルを付けます。

   $ oc label node <node-name> node-role.kubernetes.io/infra=""

2. オプション: 必要な場合は、テイントを適用し、インフラストラクチャーノードでワークロードを分離し、他のワークロードがそれらのノードでスケジュールされないようにすることもできます。

   $ oc adm taint nodes -l node-role.kubernetes.io/infra \
   infra=reserved:NoSchedule infra=reserved:NoExecute

3. GitOpsService カスタムリソースに runOnInfra トグルを追加します。

   apiVersion: pipelines.openshift.io/v1alpha1
   kind: GitopsService
   metadata:
     name: cluster
   spec:
     runOnInfra: true

4. オプション: テイントがノードに追加された場合は、tolerations を GitOpsService カスタムリソースに追加します。

   例

   apiVersion: pipelines.openshift.io/v1alpha1
   kind: GitopsService
   metadata:
     name: cluster
     spec:
       runOnInfra: true
       tolerations:
       - effect: NoSchedule
         key: infra
         value: reserved
       - effect: NoExecute
         key: infra
         value: reserved

5. コンソール UI の Pod を Pods → Pod details で表示して、openshift-gitops namespace のワークロードがインフラストラクチャーノードでスケジュールされていることを確認します。

手順

1. Argo CD ダッシュボードで、NEW APP をクリックして新規の Argo CD アプリケーションを追加します。

2. このワークフローでは、以下の設定で cluster-configs アプリケーションを作成します。

   アプリケーション名

   cluster-configs

   プロジェクト

   default

   同期ポリシー

   Manual

   リポジトリー URL

   https://github.com/redhat-developer/openshift-gitops-getting-started

   リビジョン

   HEAD

   パス

   cluster

   宛先

   https://kubernetes.default.svc

   namespace

   spring-petclinic

   ディレクトリーの再帰処理

   checked

3. CREATE をクリックしてアプリケーションを作成します。
4. Web コンソールの Administrator パースペクティブを開き、Administration → Namespaces を展開します。
5. namespace を検索、選択してから Label フィールドに argocd.argoproj.io/managed-by=openshift-gitops を入力し、openshift-gitops namespace にある Argo CD インスタンスが namespace を管理できるようにします。

手順

1. サンプルアプリケーション をダウンロードします。

   $ git clone git@github.com:redhat-developer/openshift-gitops-getting-started.git

2. アプリケーションを作成します。

   $ oc create -f openshift-gitops-getting-started/argo/app.yaml

3. oc get コマンドを実行して、作成されたアプリケーションを確認します。

   $ oc get application -n openshift-gitops

4. アプリケーションがデプロイされている namespace にラベルを追加し、openshift-gitops namespace の Argo CD インスタンスが管理できるようにします。

   $ oc label namespace spring-petclinic argocd.argoproj.io/managed-by=openshift-gitops

手順

1. Argo CD サーバーの admin アカウントのパスワードを取得します。

   $ ADMIN_PASSWD=$(oc get secret openshift-gitops-cluster -n openshift-gitops -o jsonpath='{.data.admin\.password}' | base64 -d)

2. Argo CD サーバーの URL を取得します。

   $ SERVER_URL=$(oc get routes openshift-gitops-server -n openshift-gitops -o jsonpath='{.status.ingress[0].host}')

3. admin アカウントのパスワードを使用して Argo CD サーバーにログインし、一重引用符で囲みます。

   重要

   パスワードを一重引用符で囲むと、$ などの特殊文字がシェルによって誤って解釈されなくなります。パスワードのリテラル値を囲むには常に一重引用符を使用してください。

   $ argocd login --username admin --password ${ADMIN_PASSWD} ${SERVER_URL}

   例

   $ argocd login --username admin --password '<password>' openshift-gitops.openshift-gitops.apps-crc.testing

4. すべてのアプリケーションを表示して、argocd コマンドをデフォルトモードで実行できることを確認します。

   $ argocd app list

   設定が正しい場合は、既存のアプリケーションが次のヘッダーとともにリストされます。

   出力例

   NAME CLUSTER NAMESPACE  PROJECT  STATUS  HEALTH   SYNCPOLICY  CONDITIONS  REPO PATH TARGET

5. デフォルトモードでアプリケーションを作成します。

   $ argocd app create app-cluster-configs \
       --repo https://github.com/redhat-developer/openshift-gitops-getting-started.git \
       --path cluster \
       --revision main \
       --dest-server  https://kubernetes.default.svc \
       --dest-namespace spring-petclinic \
       --directory-recurse \
       --sync-policy none \
       --sync-option Prune=true \
       --sync-option CreateNamespace=true

6. openshif-gitops Argo CD インスタンスが管理する spring-petclinic 宛先 namespace にラベルを付けます。

   $ oc label ns spring-petclinic "argocd.argoproj.io/managed-by=openshift-gitops"

7. 使用可能なアプリケーションをリスト表示して、アプリケーションが正常に作成されたことを確認します。

   $ argocd app list

   cluster-configs の Argo CD アプリケーションは Healthy ステータスであっても、sync ポリシーが none であるため、自動的に同期されず、OutOfSync ステータスのままになります。

手順

1. oc CLI ツールを使用して OpenShift Container Platform クラスターにログインします。

   $ oc login -u <username> -p <password> <server_url>

   例

   $ oc login -u kubeadmin -p '<password>' https://api.crc.testing:6443

2. コンテキストが kubeconfig ファイルで正しく設定されているかどうかを確認します。

   $ oc config current-context

3. 現在のコンテキストのデフォルトの namespace を openshift-gitops に設定します。

   $ oc config set-context --current --namespace openshift-gitops

4. 次の環境変数を設定して、Argo CD コンポーネント名をオーバーライドします。

   $ export ARGOCD_REPO_SERVER_NAME=openshift-gitops-repo-server

5. すべてのアプリケーションを一覧表示して、core モードで argocd コマンドを実行できることを確認します。

   $ argocd app list --core

   設定が正しい場合は、既存のアプリケーションが次のヘッダーとともにリストされます。

   出力例

   NAME CLUSTER NAMESPACE  PROJECT  STATUS  HEALTH   SYNCPOLICY  CONDITIONS  REPO PATH TARGET

6. core モードでアプリケーションを作成します。

   $ argocd app create app-cluster-configs --core \
       --repo https://github.com/redhat-developer/openshift-gitops-getting-started.git \
       --path cluster \
       --revision main \
       --dest-server  https://kubernetes.default.svc \
       --dest-namespace spring-petclinic \
       --directory-recurse \
       --sync-policy none \
       --sync-option Prune=true \
       --sync-option CreateNamespace=true

7. openshif-gitops Argo CD インスタンスが管理する spring-petclinic 宛先 namespace にラベルを付けます。

   $ oc label ns spring-petclinic "argocd.argoproj.io/managed-by=openshift-gitops"

8. 使用可能なアプリケーションをリスト表示して、アプリケーションが正常に作成されたことを確認します。

   $ argocd app list --core

   cluster-configs の Argo CD アプリケーションは Healthy ステータスであっても、sync ポリシーが none であるため、自動的に同期されず、OutOfSync ステータスのままになります。

手順

1. Argo CD ダッシュボードでは、cluster-configs Argo CD アプリケーションに Missing および OutOfSync のステータスがあることに注意してください。アプリケーションは手動の同期ポリシーで設定されているため、Argo CD はこれを自動的に同期しません。
2. cluster-configs タイルの 同期 をクリックし、変更を確認してから、SYNCHRONIZE をクリックします。Argo CD は Git リポジトリーの変更を自動的に検出します。設定が変更されると、Argo CD は cluster-configs のステータスを OutOfSync に変更します。Argo CD の同期ポリシーを変更し、Git リポジトリーからクラスターに変更を自動的に適用できるようにします。
3. cluster-configs Argo CD アプリケーションに Healthy および Synced のステータスがあることに注意してください。cluster-configs タイルをクリックし、クラスター上で同期されたリソースおよびそれらのステータスの詳細を確認します。
4. OpenShift Container Platform Web コンソールに移動し、 をクリックして Red Hat Developer Blog - Kubernetes へのリンクが表示されることを確認します。

5. Project ページに移動し、spring-petclinic namespace を検索し、これがクラスターに追加されていることを確認します。

   クラスター設定がクラスターに正常に同期されます。

手順

1. Argo CD サーバーの admin アカウントのパスワードを取得します。

   $ ADMIN_PASSWD=$(oc get secret openshift-gitops-cluster -n openshift-gitops -o jsonpath='{.data.admin\.password}' | base64 -d)

2. Argo CD サーバーの URL を取得します。

   $ SERVER_URL=$(oc get routes openshift-gitops-server -n openshift-gitops -o jsonpath='{.status.ingress[0].host}')

3. admin アカウントのパスワードを使用して Argo CD サーバーにログインし、一重引用符で囲みます。

   重要

   パスワードを一重引用符で囲むと、$ などの特殊文字がシェルによって誤って解釈されなくなります。パスワードのリテラル値を囲むには常に一重引用符を使用してください。

   $ argocd login --username admin --password ${ADMIN_PASSWD} ${SERVER_URL}

   例

   $ argocd login --username admin --password '<password>' openshift-gitops.openshift-gitops.apps-crc.testing

4. アプリケーションは none sync ポリシーを使用して設定されているため、同期操作を手動でトリガーする必要があります。

   $ argocd app sync openshift-gitops/app-cluster-configs

5. アプリケーションをリスト表示して、アプリケーションのステータスが Healthy および Synced であることを確認します。

   $ argocd app list

手順

1. oc CLI ツールを使用して OpenShift Container Platform クラスターにログインします。

   $ oc login -u <username> -p <password> <server_url>

   例

   $ oc login -u kubeadmin -p '<password>' https://api.crc.testing:6443

2. コンテキストが kubeconfig ファイルで正しく設定されているかどうかを確認します。

   $ oc config current-context

3. 現在のコンテキストのデフォルトの namespace を openshift-gitops に設定します。

   $ oc config set-context --current --namespace openshift-gitops

4. 次の環境変数を設定して、Argo CD コンポーネント名をオーバーライドします。

   $ export ARGOCD_REPO_SERVER_NAME=openshift-gitops-repo-server

5. アプリケーションは none sync ポリシーを使用して設定されているため、同期操作を手動でトリガーする必要があります。

   $ argocd app sync --core openshift-gitops/app-cluster-configs

6. アプリケーションをリスト表示して、アプリケーションのステータスが Healthy および Synced であることを確認します。

   $ argocd app list --core

手順

1. Web コンソールで、User Management → Roles → Create Role を選択します。以下の ClusterRole YAML テンプレートを使用してルールを追加し、追加の権限を指定します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: secrets-cluster-role
   rules:
   - apiGroups: [""]
     resources: ["secrets"]
     verbs: ["*"]

2. Create をクリックしてクラスターロールを追加します。
3. クラスターのロールバインディングを作成するには、User Management → Role Bindings → Create Binding を選択します。
4. Project リストから All Projects を選択します。
5. Create binding をクリックします。
6. Binding type を Cluster-wide role binding (ClusterRoleBinding) として選択します。
7. RoleBinding name の一意の値を入力します。
8. ドロップダウンリストから、新しく作成したクラスターロールまたは既存のクラスターロールを選択します。

9. Subject を ServiceAccount として選択し、サブジェクトの namespace と 名前 を指定します。

   1. サブジェクトの namespace: openshift-gitops

   2. サブジェクトの名前: openshift-gitops-argocd-application-controller

      注記

      Subject name の値は、クラスターロールおよびクラスターロールバインディングを作成する GitOps コントロールプレーンのコンポーネントによって異なります。

10. Create をクリックします。ClusterRoleBinding オブジェクトの YAML ファイルは以下のとおりです。

    kind: ClusterRoleBinding
    apiVersion: rbac.authorization.k8s.io/v1
    metadata:
      name: cluster-role-binding
    subjects:
      - kind: ServiceAccount
        name: openshift-gitops-argocd-application-controller
        namespace: openshift-gitops
    roleRef:
      apiGroup: rbac.authorization.k8s.io
      kind: ClusterRole
      name: secrets-cluster-role

手順

1. Argo CD CR で、.spec.defaultClusterScopedRoleDisabled フィールドの値を true に設定します。

   Argo CD CR の例

   apiVersion: argoproj.io/v1beta1
   kind: ArgoCD
   metadata:
     name: example 1
     namespace: spring-petclinic 2
   # ...
   spec:
     defaultClusterScopedRoleDisabled: true 3
   # ...

   1

   クラスタースコープのインスタンスの名前。

   2

   クラスタースコープのインスタンスを実行する namespace。

   3

   クラスタースコープインスタンスのデフォルトのクラスターロールの作成を無効にするフラグ値。Operator がクラスタースコープインスタンスのデフォルトのクラスターロールとクラスターロールバインディングを再作成するようにする場合は、フィールド値を false に設定します。

   出力例

   argocd.argoproj.io/example configured

2. 次のコマンドを実行して、Red Hat OpenShift GitOps Operator が GitOps コントロールプレーンコンポーネントのデフォルトのクラスターロールとクラスターロールバインディングを削除したことを確認します。

   $ oc get ClusterRoles/<argocd_name>-<argocd_namespace>-<control_plane_component>

   $ oc get ClusterRoleBindings/<argocd_name>-<argocd_namespace>-<control_plane_component>

   出力例

   No resources found

   クラスタースコープのインスタンスのデフォルトのクラスターロールおよびクラスターロールバインディングは作成されません。クラスター管理者は、GitOps コントロールプレーンコンポーネントの新しいクラスターロールとクラスターロールバインディングを作成することで、クラスタースコープのインスタンスのアクセス許可を作成およびカスタマイズできるようになりました。

手順

1. Web コンソールの Administrator パースペクティブを開き、User Management → Roles → Create Role に移動します。

2. 以下の ClusterRole YAML テンプレートを使用してルールを追加し、追加の権限を指定します。

   クラスターロール YAML テンプレートの例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: example-spring-petclinic-argocd-application-controller 1
   rules:
     - verbs:
         - get
         - list
         - watch
       apiGroups:
         - '*'
       resources:
         - '*'
     - verbs:
         - '*'
       apiGroups:
         - ''
       resources: 2
         - namespaces
         - persistentvolumes

   1

   <argocd_name>-<argocd_namespace>-<control_plane_component> の命名規則に従ったクラスターロールの名前。

   2

   クラスターレベルで権限を付与するリソース。

3. Create をクリックしてクラスターロールを追加します。

4. 次の手順を実行して、権限をカスタマイズするコントロールプレーンコンポーネントで使用されるサービスアカウントを見つけます。

   1. Workloads → Pods に移動します。
   2. Project リストから、ユーザー定義のクラスタースコープのインスタンスがインストールされているプロジェクトを選択します。
   3. コントロールプレーンコンポーネントの Pod をクリックし、YAML タブに移動します。
   4. spec.ServiceAccount フィールドを見つけ、サービスアカウントをメモします。
5. User Management → RoleBindings → Create binding に移動します。
6. Create binding をクリックします。
7. Binding type を Cluster-wide role binding (ClusterRoleBinding) として選択します。
8. <argocd_name>-<argocd_namespace>-<control_plane_component> 命名規則に従って、RoleBinding name の一意の値を入力します。
9. Role name のドロップダウンリストから新たに作成されたクラスターロールを選択します。

10. Subject を ServiceAccount として選択し、サブジェクトの namespace と 名前 を指定します。

    1. Subject namespace: spring-petclinic

    2. Subject name: example-argocd-application-controller

       注記

       Subject name は、設定する値が、権限をカスタマイズするコントロールプレーンコンポーネントの spec.ServiceAccount フィールドの値と同じであることを確認します。

11. Create をクリックします。

    コントロールプレーンコンポーネントのサービスアカウントと namespace に必要な権限が作成されました。ClusterRoleBinding オブジェクトの YAML ファイルは以下の例のようになります。

    クラスターロールバインディングの YAML ファイルの例

    kind: ClusterRoleBinding
    apiVersion: rbac.authorization.k8s.io/v1
    metadata:
      name: example-spring-petclinic-argocd-application-controller
    subjects:
      - kind: ServiceAccount
        name: example-argocd-application-controller
        namespace: spring-petclinic
    roleRef:
      apiGroup: rbac.authorization.k8s.io
      kind: ClusterRole
      name: example-spring-petclinic-argocd-application-controller

1. 集約されたクラスターロールの作成を有効にする
2. ユーザー定義のクラスターロールを作成し、Application Controller のユーザー定義の権限を設定する

手順

1. Argo CD CR で、.spec.aggregatedClusterRoles フィールドの値を true に設定します。

   Argo CD CR の例

   apiVersion: argoproj.io/v1beta1
   kind: ArgoCD
   metadata:
     name: example 1
     namespace: spring-petclinic 2
   # ...
   spec:
     aggregatedClusterRoles: true 3
   # ...

   1

   クラスタースコープのインスタンスの名前。

   2

   クラスタースコープのインスタンスを実行する namespace。

   3

   値を true に設定すると、集約されたクラスターロールの作成が有効になります。集約されたクラスターロールの作成を有効にしない場合は、この行を含めないか、値を false に設定します。

   出力例

   argocd.argoproj.io/example configured

2. 次のコマンドを実行して、クラスタースコープの Argo CD インスタンスの Status フィールドに Phase: Available と表示されていることを確認します。

   $ oc describe argocd.argoproj.io/example -n spring-petclinic

   出力例

   Name:         example
   Namespace:    spring-petclinic
   Labels:       <none>
   Annotations:  <none>
   API Version:  argoproj.io/v1beta1
   Kind:         ArgoCD
   Metadata:
     Creation Timestamp:  2024-08-14T08:20:53Z
     Finalizers:
       argoproj.io/finalizer
     Generation:        3
     Resource Version:  60437
     UID:               57940e54-d60b-4c1a-bc4a-85c81c63ab69
   Spec:
     Aggregated Cluster Roles:  true
   ...
   Status:
     Application Controller:      Running
     Application Set Controller:  Unknown
     Phase:                       Available 1
     Redis:                       Running
     Repo:                        Running
     Server:                      Running
     Sso:                         Unknown
   Events:                        <none>

   1

   Available ステータスは、クラスタースコープの Argo CD インスタンスが正常で使用可能であることを示します。

   注記

   Red Hat OpenShift GitOps Operator は、次のデフォルトのクラスターロールを作成し、管理します。

   • <argocd_name>-<argocd_namespace>-argocd-application-controller 集約クラスターロール
   • <argocd_name>-<argocd_namespace>-argocd-application-controller-view
   • <argocd_name>-<argocd_namespace>-argocd-application-controller-admin

3. 次のコマンドを実行して、Operator が Argo CD Application Controller と Argo CD サーバーコンポーネントのデフォルトのクラスターロールとクラスターロールバインディングを作成したことを確認します。

   $ oc get ClusterRoles -l app.kubernetes.io/part-of=argocd

   出力例

   NAME                                                           CREATED AT
   example-spring-petclinic-argocd-application-controller         2024-08-14T08:20:58Z
   example-spring-petclinic-argocd-application-controller-admin   2024-08-14T09:08:38Z
   example-spring-petclinic-argocd-application-controller-view    2024-08-14T09:08:38Z
   example-spring-petclinic-argocd-server                         2024-08-14T08:20:59Z

   $ oc get ClusterRoleBindings -l app.kubernetes.io/part-of=argocd

   出力例

   NAME                                                     ROLE                                                                 AGE
   example-spring-petclinic-argocd-application-controller   ClusterRole/example-spring-petclinic-argocd-application-controller   54m
   example-spring-petclinic-argocd-server                   ClusterRole/example-spring-petclinic-argocd-server                   54m

   view および admin クラスターロールのクラスターロールバインディングは作成されません。これは、view および admin クラスターロールは集約されたクラスターロールに権限を追加するだけで、Argo CD Application Controller への権限を直接設定しないためです。

   ヒント

   または、OpenShift Container Platform Web コンソールを使用して、Administrator パースペクティブから確認することもできます。User Management → Roles および User Management → RoleBindings に移動します。app.kubernetes.io/part-of:argocd ラベルの付いたクラスターロールとクラスターロールバインディングを検索できます。

4. 次のコマンドを実行して、作成されたロールの出力の権限をチェックして、集約されたクラスターロールが作成されたことを確認します。

   $ oc get ClusterRole/<cluster_role_name> -o yaml 1

   1

   <cluster_role_name> は、作成したロールの名前に置き換えます。

   集約されたクラスターロールの出力例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     annotations:
       argocds.argoproj.io/name: example
       argocds.argoproj.io/namespace: spring-petclinic
       kubectl.kubernetes.io/last-applied-configuration: |
         {"apiVersion":"argoproj.io/v1beta1","kind":"ArgoCD","metadata":{"annotations":{},"name":"example","namespace":"spring-petclinic"},"spec":{"aggregatedClusterRoles":true}}
       rbac.authorization.kubernetes.io/autoupdate: "true"
     creationTimestamp: "2024-08-14T08:20:58Z"
     labels:
       app.kubernetes.io/managed-by: spring-petclinic
       app.kubernetes.io/name: example
       app.kubernetes.io/part-of: argocd
     name: example-spring-petclinic-argocd-application-controller 1
     resourceVersion: "78640"
     uid: aeeb2ef5-b531-4fe3-a61a-b5ad8dd8ca6e
   aggregationRule: 2
     clusterRoleSelectors:
     - matchLabels:
         app.kubernetes.io/managed-by: spring-petclinic
         argocd/aggregate-to-controller: "true"
   rules: [] 3

   1

   集約されたクラスターロールの名前。

   2

   定義済みのラベルのリストは、集約されたクラスターロールが他のユーザー定義のクラスターロールから権限を継承できることを示します。

   3

   事前定義された権限は設定されません。ただし、Operator が <argocd_name>-<argocd_namespace>-argocd-application-controller-view クラスターロールをすぐに作成すると、対応する定義済み view 権限が集約されたクラスターロールに追加されます。

   view クラスターロールの出力例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     annotations:
       argocds.argoproj.io/name: example
       argocds.argoproj.io/namespace: spring-petclinic
       kubectl.kubernetes.io/last-applied-configuration: |
         {"apiVersion":"argoproj.io/v1beta1","kind":"ArgoCD","metadata":{"annotations":{},"name":"example","namespace":"spring-petclinic"},"spec":{"aggregatedClusterRoles":true}}
     creationTimestamp: "2024-08-14T09:59:14Z"
     labels: 1
       app.kubernetes.io/managed-by: spring-petclinic
       app.kubernetes.io/name: example
       app.kubernetes.io/part-of: argocd
       argocd/aggregate-to-controller: "true"
     name: example-spring-petclinic-argocd-application-controller-view 2
     resourceVersion: "78639"
     uid: 068b8867-7a0c-4af3-a17a-0560a00eba41
   rules: 3
   - apiGroups:
     - '*'
     resources:
     - '*'
     verbs:
     - get
     - list
     - watch
   - nonResourceURLs:
     - '*'
     verbs:
     - get
     - list

   1

   ラベルは、既存の集約されたクラスターロールの定義済みリストと一致します。

   2

   view クラスターロールの名前。

   3

   事前定義された view 権限。これらの権限は、既存の集約されたクラスターロールに追加されます。

   admin クラスターロールの出力例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     annotations:
       argocds.argoproj.io/name: example
       argocds.argoproj.io/namespace: spring-petclinic
       kubectl.kubernetes.io/last-applied-configuration: |
         {"apiVersion":"argoproj.io/v1beta1","kind":"ArgoCD","metadata":{"annotations":{},"name":"example","namespace":"spring-petclinic"},"spec":{"aggregatedClusterRoles":true}}
       rbac.authorization.kubernetes.io/autoupdate: "true"
     creationTimestamp: "2024-08-14T09:59:15Z"
     labels: 1
       app.kubernetes.io/managed-by: spring-petclinic
       app.kubernetes.io/name: example
       app.kubernetes.io/part-of: argocd
       argocd/aggregate-to-controller: "true"
     name: example-spring-petclinic-argocd-application-controller-admin 2
     resourceVersion: "78642"
     uid: e2d35b6f-0832-4993-8b24-915a725454f9
   aggregationRule: 3
     clusterRoleSelectors:
     - matchLabels:
         app.kubernetes.io/managed-by: spring-petclinic
         argocd/aggregate-to-admin: "true"
   rules: null 4

   1

   ラベルは、既存の集約されたクラスターロールの定義済みリストと一致します。

   2

   admin クラスターロールの名前。

   3

   定義済みのラベルリストは、既存の <argocd_name>-<argocd_namespace>-argocd-application-controller-admin クラスターロールが他のユーザー定義のクラスターロールから権限を継承できることを示しています。

   4

   1 つ以上のユーザー定義のクラスターロールにまだ権限が定義されていないことを指定します。

   ヒント

   または、OpenShift Container Platform Web コンソールを使用して、Administrator パースペクティブから確認することもできます。User Management → Roles に移動し、Filter オプションを使用して Cluster-wide Roles を選択し、集約されたクラスターロール、view、および admin クラスターロールを検索できます。詳細と設定を確認するには、クラスターロールを作成する必要があります。

   クラスター管理者は、1 つ以上のユーザー定義のクラスターロールを作成し、Argo CD Application Controller のユーザー定義のアクセス許可を設定できるようになりました。

手順

1. 次のコマンドを使用して、必要なラベルと権限を持つ新しいクラスターロールを作成します。

   $ oc apply -n <namespace> -f <cluster_role_name>.yaml

   ここでは

   <namespace>

   定義した namespace の名前を指定します。

   <cluster_role_name>

   定義済みのクラスターロール YAML ファイルの名前を指定します。

   ユーザー定義のクラスターロール YAML の例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: user-application-controller 1
     labels: 2
       app.kubernetes.io/managed-by: spring-petclinic
       app.kubernetes.io/name: example
       app.kubernetes.io/part-of: argocd
       argocd/aggregate-to-admin: 'true'
   rules: 3
     - verbs:
         - '*'
       apiGroups:
         - ''
       resources:
         - namespaces
         - persistentvolumeclaims
         - persistentvolumes
         - configmaps
     - verbs:
         - '*'
       apiGroups:
         - compliance.openshift.io
       resources:
         - scansettingbindings

   1

   ユーザー定義のクラスターロールの名前。

   2

   ラベルは、既存の <argocd_name>-<argocd_namespace>-argocd-application-controller-admin クラスターロールの定義済みリストと一致します。

   3

   <argocd_name>-<argocd_namespace>-argocd-application-controller-admin クラスターロールは、ユーザー定義のクラスターロールから権限を継承します。

   ヒント

   または、Web コンソールを使用して、Administrator パースペクティブからユーザー定義のクラスターロールを作成することもできます。User Management → Roles → Create Role にアクセスし、前述の YAML テンプレートを使用して権限を追加し、Create をクリックします。

   出力例

   clusterrole.rbac.authorization.k8s.io/user-application-controller created

   ユーザー定義のクラスターロールが作成されます。

2. 次のコマンドを実行して、<argocd_name>-<argocd_namespace>-argocd-application-controller-admin クラスターロールがユーザー定義のクラスターロールから権限を継承していることを確認します。

   $ oc get ClusterRole/<argocd_name>-<argocd_namespace>-argocd-application-controller-admin -o yaml

   ここでは

   <argocd_name>

   ユーザー定義のクラスタースコープ Argo CD インスタンスの名前を指定します。

   <argocd_namespace>

   Argo CD がインストールされている namespace を指定します。

   出力例

   aggregationRule:
     clusterRoleSelectors:
     - matchLabels:
         app.kubernetes.io/managed-by: spring-petclinic
         argocd/aggregate-to-admin: "true"
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     annotations:
       argocds.argoproj.io/name: example
       argocds.argoproj.io/namespace: spring-petclinic
       kubectl.kubernetes.io/last-applied-configuration: |
         {"apiVersion":"argoproj.io/v1beta1","kind":"ArgoCD","metadata":{"annotations":{},"name":"example","namespace":"spring-petclinic"},"spec":{"aggregatedClusterRoles":true}}
     creationTimestamp: "2024-08-14T09:59:15Z"
     labels:
       app.kubernetes.io/managed-by: spring-petclinic
       app.kubernetes.io/name: example
       app.kubernetes.io/part-of: argocd
       argocd/aggregate-to-controller: "true"
     name: example-spring-petclinic-argocd-application-controller-admin
     resourceVersion: "79202"
     uid: e2d35b6f-0832-4993-8b24-915a725454f9
   rules:
   - apiGroups:
     - ""
     resources:
     - namespaces
     - persistentvolumeclaims
     - persistentvolumes
     - configmaps
     verbs:
     - '*'
   - apiGroups:
     - compliance.openshift.io
     resources:
     - scansettingbindings
     verbs:
     - '*'

   ヒント

   または、OpenShift Container Platform Web コンソールを使用して、Administrator パースペクティブから確認することもできます。User Management → Roles に移動し、Filter オプションを使用して Cluster-wide Roles を選択し、<argocd_name>-<argocd_namespace>-argocd-application-controller-admin クラスターロールを検索します。詳細と設定を確認するには、クラスターロールを作成する必要があります。

3. 次のコマンドを実行して、<argocd_name>-<argocd_namespace>-argocd-application-controller 集約クラスターロールが <argocd_name>-<argocd_namespace>-argocd-application-controller-admin および <argocd_name>-<argocd_namespace>-argocd-application-controller-view クラスターロールから権限を継承していることを確認します。

   $ oc get ClusterRole/<argocd_name>-<argocd_namespace>-argocd-application-controller -o yaml

   ここでは

   <argocd_name>

   ユーザー定義のクラスタースコープ Argo CD インスタンスの名前を指定します。

   <argocd_namespace>

   Argo CD がインストールされている namespace を指定します。

   集約されたクラスターロールの出力例

   aggregationRule:
     clusterRoleSelectors:
     - matchLabels:
         app.kubernetes.io/managed-by: spring-petclinic
         argocd/aggregate-to-controller: "true"
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     annotations:
       argocds.argoproj.io/name: example
       argocds.argoproj.io/namespace: spring-petclinic
       kubectl.kubernetes.io/last-applied-configuration: |
         {"apiVersion":"argoproj.io/v1beta1","kind":"ArgoCD","metadata":{"annotations":{},"name":"example","namespace":"spring-petclinic"},"spec":{"aggregatedClusterRoles":true}}
       rbac.authorization.kubernetes.io/autoupdate: "true"
     creationTimestamp: "2024-08-14T08:20:58Z"
     labels:
       app.kubernetes.io/managed-by: spring-petclinic
       app.kubernetes.io/name: example
       app.kubernetes.io/part-of: argocd
     name: example-spring-petclinic-argocd-application-controller
     resourceVersion: "79203"
     uid: aeeb2ef5-b531-4fe3-a61a-b5ad8dd8ca6e
   rules:
   - apiGroups:
     - ""
     resources:
     - namespaces
     - persistentvolumeclaims
     - persistentvolumes
     - configmaps
     verbs:
     - '*'
   - apiGroups:
     - compliance.openshift.io
     resources:
     - scansettingbindings
     verbs:
     - '*'
   - apiGroups:
     - '*'
     resources:
     - '*'
     verbs:
     - get
     - list
     - watch
   - nonResourceURLs:
     - '*'
     verbs:
     - get
     - list

   ヒント

   または、OpenShift Container Platform Web コンソールを使用して、Administrator パースペクティブから確認することもできます。User Management → Roles に移動し、Filter オプションを使用して Cluster-wide Roles を選択し、集約されたクラスターロールを検索できます。詳細と設定を確認するには、クラスターロールを作成する必要があります。