18.13. チュートリアル: AWS サービスとの統合

フィルターボックスに "S3" と入力し、AWS Controller for Kubernetes - Amazon S3 を選択します。

"Update approval" で Manual を選択します。

Install をクリックします。

設定は以下の画像のようになるはずです。

次のいずれかのスクリプトを実行して、ACK コントローラー用の AWS IAM ロールを作成し、S3 ポリシーを割り当てます。

次のコマンドを実行して、環境変数が設定されていることを確認します。

$ oc describe pod ack-s3-controller -n ack-system | grep "^\s*AWS_"

AWS_ROLE_ARN:                 arn:aws:iam::000000000000:role/ack-s3-controller
AWS_WEB_IDENTITY_TOKEN_FILE:  /var/run/secrets/eks.amazonaws.com/serviceaccount/token

Web コンソールで Operator、Installed Operators の順にクリックして、ACK コントローラーが正常にセットアップされたことを確認します。

Operator のインストールと環境変数が正常に表示されない場合は、次のコマンドを実行して手動でデプロイメントを再起動します。

$ oc rollout restart deployment ack-s3-controller -n ack-system

次のコマンドを実行して、OSToy 用の新しい一意のプロジェクトを作成します。

$ oc new-project ostoy-$(uuidgen | cut -d - -f 2 | tr '[:upper:]' '[:lower:]')

次のコマンドを実行して、namespace とプロジェクトの名前を環境変数に保存します。

$ export OSTOY_NAMESPACE=$(oc config view --minify -o 'jsonpath={..namespace}')

次のコマンドを実行して AWS アカウント ID を取得します。

$ export AWS_ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)

次のコマンドを実行して OIDC プロバイダーを取得します (<cluster-name> はクラスターの名前に置き換えます)。

$ export OIDC_PROVIDER=$(rosa describe cluster -c <cluster-name> -o yaml | awk '/oidc_endpoint_url/ {print $2}' | cut -d '/' -f 3,4)

次のコマンドを実行して、信頼ポリシーファイルを作成します。

$ cat <<EOF > ./ostoy-sa-trust.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::${AWS_ACCOUNT_ID}:oidc-provider/${OIDC_PROVIDER}"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "${OIDC_PROVIDER}:sub": "system:serviceaccount:${OSTOY_NAMESPACE}:ostoy-sa"
        }
      }
    }
  ]
}
EOF

次のコマンドを実行して、サービスアカウントで使用する AWS IAM ロールを作成します。

$ aws iam create-role --role-name "ostoy-sa-role" --assume-role-policy-document file://ostoy-sa-trust.json

次のコマンドを実行して、S3 フルアクセスポリシー ARN を取得します。

$ export POLICY_ARN=$(aws iam list-policies --query 'Policies[?PolicyName==`AmazonS3FullAccess`].Arn' --output text)

次のコマンドを実行して、ポリシーを AWS IAM ロールに割り当てます。

$ aws iam attach-role-policy --role-name "ostoy-sa-role" --policy-arn "${POLICY_ARN}"

次のコマンドを実行して、作成した AWS IAM ロールの ARN を取得し、サービスアカウントを作成するときにアノテーションとして追加されるようにします。

$ export APP_IAM_ROLE_ARN=$(aws iam get-role --role-name=ostoy-sa-role --query Role.Arn --output text)

次のコマンドを実行してサービスアカウントを作成します。

$ cat <<EOF | oc apply -f -
apiVersion: v1
kind: ServiceAccount
metadata:
  name: ostoy-sa
  namespace: ${OSTOY_NAMESPACE}
  annotations:
    eks.amazonaws.com/role-arn: "$APP_IAM_ROLE_ARN"
EOF

次のコマンドを実行して、サービスアカウントに restricted ロールを付与します。

$ oc adm policy add-scc-to-user restricted system:serviceaccount:${OSTOY_NAMESPACE}:ostoy-sa

次のコマンドを実行して、アノテーションが正常に追加されていることを確認します。

$ oc describe serviceaccount ostoy-sa -n ${OSTOY_NAMESPACE}

Name:                ostoy-sa
Namespace:           ostoy
Labels:              <none>
Annotations:         eks.amazonaws.com/role-arn: arn:aws:iam::000000000000:role/ostoy-sa-role
Image pull secrets:  ostoy-sa-dockercfg-b2l94
Mountable secrets:   ostoy-sa-dockercfg-b2l94
Tokens:              ostoy-sa-token-jlc6d
Events:              <none>

次のコマンドを実行して、マニフェストファイルを使用して S3 バケットを作成します。

$ cat <<EOF | oc apply -f -
apiVersion: s3.services.k8s.aws/v1alpha1
kind: Bucket
metadata:
  name: ${OSTOY_NAMESPACE}-bucket
  namespace: ${OSTOY_NAMESPACE}
spec:
  name: ${OSTOY_NAMESPACE}-bucket
EOF

次のコマンドを実行して、バケットが作成されたことを確認します。

$ aws s3 ls | grep ${OSTOY_NAMESPACE}-bucket

次のコマンドを実行してマイクロサービスをデプロイします。

$ - oc apply -f https://raw.githubusercontent.com/openshift-cs/rosaworkshop/master/rosa-workshop/ostoy/yaml/ostoy-microservice-deployment.yaml

次のコマンドを実行して ostoy-frontend をデプロイします。

$ - oc apply -f https://raw.githubusercontent.com/openshift-cs/rosaworkshop/master/rosa-workshop/ostoy/yaml/ostoy-frontend-deployment.yaml

次のコマンドを実行して、ostoy-frontend デプロイメントにパッチを適用します。

$ oc patch deploy ostoy-frontend -n ${OSTOY_NAMESPACE} --type=merge --patch '{"spec": {"template": {"spec":{"serviceAccount":"ostoy-sa"}}}}'

spec:
  # Uncomment to use with ACK portion of the workshop
  # If you chose a different service account name please replace it.
  serviceAccount: ostoy-sa
  containers:
  - name: ostoy-frontend
    image: quay.io/ostoylab/ostoy-frontend:1.6.0
    imagePullPolicy: IfNotPresent
[...]

次のコマンドを実行して、新しくデプロイされたアプリケーションのルートを取得します。

$ oc get route ostoy-route -n ${OSTOY_NAMESPACE} -o jsonpath='{.spec.host}{"\n"}'

新しいブラウザータブを開き、前のステップで取得したルートを入力します。

新しいバケットであるため、バケットは空であるはずです。

Create file をクリックします。

ファイル名をクリックしてファイルを表示します。

AWS CLI で次のコマンドを実行して、バケットの内容をリスト表示して確認します。

$ aws s3 ls s3://${OSTOY_NAMESPACE}-bucket

$ aws s3 ls s3://ostoy-bucket
2023-05-04 22:20:51         51 OSToy.txt