環境の準備

1. AWS コマンドラインインターフェイス をインストールします。
2. AWS CLI を使用して AWS アカウントにログインします (Sign in through the AWS CLI)。

3. アカウントのアイデンティティーを確認します。

    $ aws sts get-caller-identity

   Copy to Clipboard Toggle word wrap

4. ELB (Elastic Load Balancing) のサービスロールが存在するかどうかを確認します。

   $ aws iam get-role --role-name "AWSServiceRoleForElasticLoadBalancing"

   Copy to Clipboard Toggle word wrap

   ロールが存在しない場合は、次のコマンドを実行して作成します。

   $ aws iam create-service-linked-role --aws-service-name "elasticloadbalancing.amazonaws.com"

   Copy to Clipboard Toggle word wrap

1. Web コンソール から ROSA CLI をインストールします。

2. rosa login を実行し、コマンド出力の指示に従って Red Hat アカウントにログインします。

   $ rosa login
   To login to your Red{nbsp}Hat account, get an offline access token at https://console.redhat.com/openshift/token/rosa
   ? Copy the token and paste it here:

   Copy to Clipboard Toggle word wrap

   または、$ rosa login --token=abc…​ コマンド全体をコピーして、ターミナルに貼り付けることもできます。

   $ rosa login --token=<abc..>

   Copy to Clipboard Toggle word wrap

3. 正しいアカウントと認証情報を使用してログインしていることを確認します。

   $ rosa whoami

   Copy to Clipboard Toggle word wrap

1. OpenShift Cluster Manager の Command-line interface (CLI) tools ページから oc をダウンロードしてインストールするか、OpenShift CLI のスタートガイド の手順を実行します。

2. 次のコマンドを実行して、OpenShift CLI が正しくインストールされていることを確認します。

   $ rosa verify openshift-client

   Copy to Clipboard Toggle word wrap

手順

1. ROSA CLI で、Amazon Resource Name (ARN) を使用して ocm-role リソースを Red Hat 組織にリンクします。

   注記

   rosa link コマンドを実行するには、Red Hat Organization Administrator (組織管理者権限) が必要です。ocm-role リソースを AWS アカウントにリンクすると、それが有効になり、組織内のすべてのユーザーに表示されるようになります。

   $ rosa link ocm-role --role-arn <arn>

   Copy to Clipboard Toggle word wrap

   出力例

   I: Linking OCM role
   ? Link the '<AWS ACCOUNT ID>` role with organization '<ORG ID>'? Yes
   I: Successfully linked role-arn '<AWS ACCOUNT ID>' with organization account '<ORG ID>'

   Copy to Clipboard Toggle word wrap

2. ROSA CLI で、Amazon Resource Name (ARN) を使用して、user-role リソースを Red Hat ユーザーアカウントにリンクします。

   $ rosa link user-role --role-arn <arn>

   Copy to Clipboard Toggle word wrap

   出力例

   I: Linking User role
   ? Link the 'arn:aws:iam::<ARN>:role/ManagedOpenShift-User-Role-125' role with organization '<AWS ID>'? Yes
   I: Successfully linked role-arn 'arn:aws:iam::<ARN>:role/ManagedOpenShift-User-Role-125' with organization account '<AWS ID>'

   Copy to Clipboard Toggle word wrap

手順

1. AWS CLI の設定で定義されている AWS アカウントの ID をリスト表示します。

   $ aws sts get-caller-identity --query Account --output json

   Copy to Clipboard Toggle word wrap

   出力が該当する AWS アカウントの ID と一致していることを確認します。

2. AWS アカウントに設定されているセキュリティートークンのバージョンを記載します。

   $ aws iam get-account-summary --query SummaryMap.GlobalEndpointTokenVersion --output json

   Copy to Clipboard Toggle word wrap

   出力例

   1

   Copy to Clipboard Toggle word wrap

3. AWS アカウントの全リージョンのセキュリティートークンのバージョンをバージョン 2 に更新するには、以下のコマンドを実行します。

   $ aws iam set-security-token-service-preferences --global-endpoint-token-version v2Token

   Copy to Clipboard Toggle word wrap
   重要

   セキュリティートークンのバージョン 2 に更新すると、トークンが長くなるため、トークンを保管するシステムに影響が出ることがあります。詳細は、the AWS documentation on setting STS preferences を参照してください。

手順

1. パッケージとツールのインストールおよびダウンロードに使用される以下の URL を許可リストに指定します。

   Expand

   ドメイン	ポート	機能
   registry.redhat.io	443	コアコンテナーイメージを指定します。
   quay.io	443	コアコンテナーイメージを指定します。
   cdn01.quay.io	443	コアコンテナーイメージを指定します。
   cdn02.quay.io	443	コアコンテナーイメージを指定します。
   cdn03.quay.io	443	コアコンテナーイメージを指定します。
   cdn04.quay.io	443	コアコンテナーイメージを指定します。
   cdn05.quay.io	443	コアコンテナーイメージを指定します。
   cdn06.quay.io	443	コアコンテナーイメージを指定します。
   sso.redhat.com	443	必須。https://console.redhat.com/openshift サイトでは、sso.redhat.com からの認証を使用してプルシークレットをダウンロードし、Red Hat SaaS ソリューションを使用してサブスクリプション、クラスターインベントリー、チャージバックレポートなどのモニタリングを行います。
   quay-registry.s3.amazonaws.com	443	コアコンテナーイメージを指定します。
   quayio-production-s3.s3.amazonaws.com	443	コアコンテナーイメージを指定します。
   registry.access.redhat.com	443	Red Hat Ecosytem Catalog に保存されているすべてのコンテナーイメージをホストします。さらに、レジストリーは、開発者が OpenShift および Kubernetes 上で構築するのに役立つ odo CLI ツールへのアクセスを提供します。
   access.redhat.com	443	必須。コンテナークライアントが registry.access.redhat.com からイメージを取得するときにイメージを検証するために必要な署名ストアをホストします。
   registry.connect.redhat.com	443	すべてのサードパーティーのイメージと認定 Operator に必要です。
   console.redhat.com	443	必須。クラスターと OpenShift Cluster Manager 間の対話を可能にし、アップグレードのスケジューリングなどの機能を有効にします。
   sso.redhat.com	443	https://console.redhat.com/openshift サイトは、sso.redhat.com からの認証を使用します。
   pull.q1w2.quay.rhcloud.com	443	quay.io が利用できない場合のフォールバックとして、コアコンテナーイメージを提供します。
   catalog.redhat.com	443	registry.access.redhat.com および https://registry.redhat.io サイトは catalog.redhat.com にリダイレクトされます。
   oidc.op1.openshiftapps.com	443	マネージド OIDC 設定で STS を実装するために、Red Hat OpenShift Service on AWS によって使用されます。

   Show more

2. 次のテレメトリー URL を許可リストに追加します。

   Expand

   ドメイン	ポート	機能
   cert-api.access.redhat.com	443	テレメトリーに必要です。
   api.access.redhat.com	443	テレメトリーに必要です。
   infogw.api.openshift.com	443	テレメトリーに必要です。
   console.redhat.com	443	テレメトリーと Red Hat Insights に必要です。
   observatorium-mst.api.openshift.com	443	マネージド OpenShift 固有のテレメトリーに使用されます。
   observatorium.api.openshift.com	443	マネージド OpenShift 固有のテレメトリーに使用されます。

   Show more

   マネージドクラスターでは、テレメトリーを有効にする必要があります。これは、Red Hat が問題に迅速に対応し、お客様をより適切にサポートし、製品のアップグレードがクラスターに与える影響をよりよく理解できるようにするためです。Red Hat によるリモートヘルスモニタリングデータの使用方法の詳細は 関連情報 セクションの リモートヘルスモニタリングについて を参照してください。

3. 次の Amazon Web Services (AWS) API の URL を許可リストに追加します。

   Expand

   ドメイン	ポート	機能
   .amazonaws.com	443	AWS サービスおよびリソースへのアクセスに必要です。

   Show more

   または、Amazon Web Services (AWS) API にワイルドカードを使用しない場合は、次の URL を許可リストに追加する必要があります。

   Expand

   ドメイン	ポート	機能
   ec2.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   events.<aws_region>.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   iam.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   route53.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   sts.amazonaws.com	443	AWS STS のグローバルエンドポイントを使用するように設定されたクラスターの場合は、AWS 環境にクラスターをインストールおよび管理するために使用されます。
   sts.<aws_region>.amazonaws.com	443	AWS STS の地域化されたエンドポイントを使用するように設定されたクラスターの場合は、AWS 環境にクラスターをインストールおよび管理するために使用されます。詳細は、AWS STS の地域化されたエンドポイント を参照してください。
   tagging.us-east-1.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。このエンドポイントは、クラスターがデプロイメントされているリージョンに関係なく、常に us-east-1 です。
   ec2.<aws_region>.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   elasticloadbalancing.<aws_region>.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   tagging.<aws_region>.amazonaws.com	443	タグの形式で AWS リソースに関するメタデータを割り当てることができます。

   Show more

4. 次の OpenShift URL を許可リストに追加します。

   Expand

   ドメイン	ポート	機能
   mirror.openshift.com	443	ミラーリングされたインストールのコンテンツおよびイメージへのアクセスに使用されます。このサイトはリリースイメージ署名のソースでもあります。
   api.openshift.com	443	クラスターに更新が利用可能かどうかを確認するのに使用されます。

   Show more

5. 次の Site Reliability Engineering (SRE) および管理 URL を許可リストに追加します。

   Expand

   ドメイン	ポート	機能
   api.pagerduty.com	443	このアラートサービスは、クラスター内の alertmanager が使用します。これにより、Red Hat SRE に対してイベントの SRE 通知に関するアラートが送信されます。
   events.pagerduty.com	443	このアラートサービスは、クラスター内の alertmanager が使用します。これにより、Red Hat SRE に対してイベントの SRE 通知に関するアラートが送信されます。
   api.deadmanssnitch.com	443	Red Hat OpenShift Service on AWS がクラスターが使用可能で実行中であるかどうかを示す定期的な ping を送信するために使用するアラートサービス。
   nosnch.in	443	Red Hat OpenShift Service on AWS がクラスターが使用可能で実行中であるかどうかを示す定期的な ping を送信するために使用するアラートサービス。
   http-inputs-osdsecuritylogs.splunkcloud.com	443	必須。splunk-forwarder-operator によって使用され、ログベースのアラートに Red Hat SRE が使用するロギング転送エンドポイントとして使用されます。
   sftp.access.redhat.com (推奨)	22	must-gather-operator が、クラスターに関する問題のトラブルシューティングに役立つ診断ログをアップロードするのに使用される SFTP サーバー。

   Show more

手順

1. AWS アカウントに存在しない場合は、次のコマンドを実行して、必要なアカウント全体の STS ロールを作成し、ポリシーをアタッチします。

   $ rosa create account-roles --hosted-cp

   Copy to Clipboard Toggle word wrap

2. オプション: 次のコマンドを実行して、接頭辞を環境変数として設定します。

   $ export ACCOUNT_ROLES_PREFIX=<account_role_prefix>

   Copy to Clipboard Toggle word wrap

   • 次のコマンドを実行して、変数の値を表示します。

     $ echo $ACCOUNT_ROLES_PREFIX

     Copy to Clipboard Toggle word wrap

     出力例

     ManagedOpenShift

     Copy to Clipboard Toggle word wrap

手順

1. AWS リソースと一緒に OIDC 設定を作成するには、次のコマンドを実行します。

   $ rosa create oidc-config --mode=auto --yes

   Copy to Clipboard Toggle word wrap

   このコマンドは次の情報を返します。

   出力例

   ? Would you like to create a Managed (Red Hat hosted) OIDC Configuration Yes
   I: Setting up managed OIDC configuration
   I: To create Operator Roles for this OIDC Configuration, run the following command and remember to replace <user-defined> with a prefix of your choice:
   	rosa create operator-roles --prefix <user-defined> --oidc-config-id 13cdr6b
   If you are going to create a Hosted Control Plane cluster please include '--hosted-cp'
   I: Creating OIDC provider using 'arn:aws:iam::4540112244:user/userName'
   ? Create the OIDC provider? Yes
   I: Created OIDC provider with ARN 'arn:aws:iam::4540112244:oidc-provider/dvbwgdztaeq9o.cloudfront.net/13cdr6b'

   Copy to Clipboard Toggle word wrap

   クラスターを作成するときは、OIDC 設定 ID を指定する必要があります。CLI 出力では、--mode auto のこの値が提供されます。それ以外の場合は、--mode manual の aws CLI 出力に基づいてこれらの値を決定する必要があります。

2. オプション: OIDC 設定 ID を変数として保存して、後で使用できます。次のコマンドを実行して変数を保存します。

   $ export OIDC_ID=<oidc_config_id>

   1

   Copy to Clipboard Toggle word wrap

   1

   上記の出力例では、OIDC 設定 ID は 13cdr6b です。

   • 次のコマンドを実行して、変数の値を表示します。

     $ echo $OIDC_ID

     Copy to Clipboard Toggle word wrap

     出力例

     13cdr6b

     Copy to Clipboard Toggle word wrap

手順

1. Operator ロールを作成するには、次のコマンドを実行します。

   $ rosa create operator-roles --hosted-cp --prefix=$OPERATOR_ROLES_PREFIX --oidc-config-id=$OIDC_ID --installer-role-arn arn:aws:iam::$AWS_ACCOUNT_ID:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role

   Copy to Clipboard Toggle word wrap

   次の内訳は、Operator ロール作成のオプションを示しています。

   $ rosa create operator-roles --hosted-cp
   	--prefix=$OPERATOR_ROLES_PREFIX 

   1

   
   	--oidc-config-id=$OIDC_ID 

   2

   
   	--installer-role-arn arn:aws:iam::$AWS_ACCOUNT_ID:role/$ACCOUNT_ROLES_PREFIX-HCP-ROSA-Installer-Role 

   3

   Copy to Clipboard Toggle word wrap

   1

   これらの Operator ロールを作成するときは、接頭辞を指定する必要があります。そうしないとエラーが発生します。演算子接頭辞は、このセクションの関連情報を参照してください。

   2

   この値は、Red Hat OpenShift Service on AWS クラスター用に作成した OIDC 設定 ID です。

   3

   この値は、Red Hat OpenShift Service on AWS アカウントロールの作成時に作成したインストーラーロールの ARN です。

   Red Hat OpenShift Service on AWS クラスター用の正しいロールを作成するには、--hosted-cp パラメーターを含める必要があります。このコマンドは次の情報を返します。

   出力例

   ? Role creation mode: auto
   ? Operator roles prefix: <pre-filled_prefix> 

   1

   
   ? OIDC Configuration ID: 23soa2bgvpek9kmes9s7os0a39i13qm4 | https://dvbwgdztaeq9o.cloudfront.net/23soa2bgvpek9kmes9s7os0a39i13qm4 

   2

   
   ? Create hosted control plane operator roles: Yes
   W: More than one Installer role found
   ? Installer role ARN: arn:aws:iam::4540112244:role/<prefix>-HCP-ROSA-Installer-Role
   ? Permissions boundary ARN (optional):
   I: Reusable OIDC Configuration detected. Validating trusted relationships to operator roles:
   I: Creating roles using 'arn:aws:iam::4540112244:user/<userName>'
   I: Created role '<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials'
   I: Created role '<prefix>-openshift-cloud-network-config-controller-cloud-credenti' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cloud-network-config-controller-cloud-credenti'
   I: Created role '<prefix>-kube-system-kube-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kube-controller-manager'
   I: Created role '<prefix>-kube-system-capa-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-capa-controller-manager'
   I: Created role '<prefix>-kube-system-control-plane-operator' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-control-plane-operator'
   I: Created role '<prefix>-kube-system-kms-provider' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kms-provider'
   I: Created role '<prefix>-openshift-image-registry-installer-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-image-registry-installer-cloud-credentials'
   I: Created role '<prefix>-openshift-ingress-operator-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-ingress-operator-cloud-credentials'
   I: To create a cluster with these roles, run the following command:
   	rosa create cluster --sts --oidc-config-id 23soa2bgvpek9kmes9s7os0a39i13qm4 --operator-roles-prefix <prefix> --hosted-cp

   Copy to Clipboard Toggle word wrap

   1

   このフィールドには、最初の作成コマンドで設定した接頭辞が事前に入力されます。

   2

   このフィールドでは、Red Hat OpenShift Service on AWS クラスター用に作成した OIDC 設定を選択する必要があります。

   これで、Operator ロールが作成され、Red Hat OpenShift Service on AWS クラスターの作成に使用できるようになりました。