第1章 署名データの保護

手順

1. ワークステーションでターミナルを開き、OpenShift にログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   $ oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

2. 新しいバケットを作成します。

   構文

   export BUCKET=NEW_BUCKET_NAME
   export REGION=AWS_REGION_ID
   export USER=OADP_USER_NAME
   
   aws s3api create-bucket \
   --bucket $BUCKET \
   --region $REGION \
   --create-bucket-configuration LocationConstraint=$REGION

   例

   $ export BUCKET=example-bucket-name
   $ export REGION=us-east-1
   $ export USER=velero
   $
   $ aws s3api create-bucket \
   --bucket $BUCKET \
   --region $REGION \
   --create-bucket-configuration LocationConstraint=$REGION

3. 新しいユーザーを作成します。

   例

   $ aws iam create-user --user-name $USER

4. 新しいポリシーを作成します。

   例

   $ cat > velero-policy.json <<EOF
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:DescribeVolumes",
                   "ec2:DescribeSnapshots",
                   "ec2:CreateTags",
                   "ec2:CreateVolume",
                   "ec2:CreateSnapshot",
                   "ec2:DeleteSnapshot"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:DeleteObject",
                   "s3:PutObject",
                   "s3:AbortMultipartUpload",
                   "s3:ListMultipartUploadParts"
               ],
               "Resource": [
                   "arn:aws:s3:::${BUCKET}/*"
               ]
           },
           {
               "Effect": "Allow",
               "Action": [
                   "s3:ListBucket",
                   "s3:GetBucketLocation",
                   "s3:ListBucketMultipartUploads"
               ],
               "Resource": [
                   "arn:aws:s3:::${BUCKET}"
               ]
           }
       ]
   }
   EOF

5. このポリシーを新しいユーザーに関連付けます。

   例

   $ aws iam put-user-policy \
   --user-name $USER \
   --policy-name velero \
   --policy-document file://velero-policy.json

6. アクセスキーを作成します。

   例

   $ aws iam create-access-key --user-name $USER --output=json | jq -r '.AccessKey | [ "export AWS_ACCESS_KEY_ID=" + .AccessKeyId, "export AWS_SECRET_ACCESS_KEY=" + .SecretAccessKey ] | join("\n")'

7. AWS 秘密鍵情報を含む認証情報ファイルを作成します。

   構文

   cat << EOF > ./credentials-velero
   [default]
   aws_access_key_id=$AWS_ACCESS_KEY_ID
   aws_secret_access_key=$AWS_SECRET_ACCESS_KEY
   EOF

8. cluster-admin ロールを持つユーザーで OpenShift Web コンソールにログインします。
9. Administrator パースペクティブで、Operators ナビゲーションメニューを展開し、OperatorHub をクリックします。
10. 検索フィールドに oadp と入力し、Red Hat が提供する OADP Operator タイルをクリックします。
11. Install ボタンをクリックして、Operator の詳細を表示します。
12. デフォルト値を受け入れ、Install Operator ページで Install をクリックし、インストールが完了するまで待ちます。

13. Operator のインストールが完了したら、ワークステーションのターミナルから、AWS 認証情報を使用して OpenShift のシークレットリソースを作成します。

    例

    $ oc create secret generic cloud-credentials -n openshift-adp --from-file cloud=credentials-velero

14. OpenShift Web コンソールから、View Operator ボタンをクリックします。
15. DataProtectionApplication (DPA) タイルで Create instance をクリックします。
16. Create DataProtectionApplication ページで、YAML view を選択します。

17. リソースファイルで次の値を編集します。

    1. metadata セクションで、velero-sample を velero に置き換えます。
    2. spec.configuration.nodeAgent セクションで、restic を kopia に置き換えます。
    3. spec.configuration.velero セクションの下に、resourceTimeout: 10m を追加します。
    4. spec.configuration.velero.defaultPlugins セクションの下に -csi を追加します。
    5. spec.snapshotLocations セクションで、us-west-2 の値を AWS リージョンの値に置き換えます。
    6. spec.backupLocations セクションで、us-east-1 の値を AWS リージョンの値に置き換えます。
    7. spec.backupLocations.objectStorage セクションで、my-bucket-name をバケット名に置き換えます。別の接頭辞を使用する場合は、velero をバケット接頭辞名に置き換えます。
18. Create ボタンをクリックします。