19.6. GCP 워크로드 ID로 수동 모드 사용

절차

1. 다음 명령을 실행하여 OpenShift Container Platform 릴리스 이미지를 가져옵니다.

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

2. 다음 명령을 실행하여 OpenShift Container Platform 릴리스 이미지에서 CCO 컨테이너 이미지를 가져옵니다.

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)

   참고

   $RELEASE_IMAGE 의 아키텍처가 ccoctl 툴을 사용할 환경의 아키텍처와 일치하는지 확인합니다.

3. 다음 명령을 실행하여 OpenShift Container Platform 릴리스 이미지 내의 CCO 컨테이너 이미지에서 ccoctl 바이너리를 추출합니다.

   $ oc image extract $CCO_IMAGE --file="/usr/bin/ccoctl" -a ~/.pull-secret

4. 다음 명령을 실행하여 ccoctl 을 실행 가능하게 만들 수 있도록 권한을 변경합니다.

   $ chmod 775 ccoctl

절차

1. 다음 명령을 실행하여 OpenShift Container Platform 릴리스 이미지에서 CredentialsRequest 오브젝트 목록을 추출합니다.

   $ oc adm release extract \
   --credentials-requests \
   --cloud=gcp \
   --to=<path_to_directory_with_list_of_credentials_requests>/credrequests \ 1
   quay.io/<path_to>/ocp-release:<version>

   1

   credrequests 는 CredentialsRequest 오브젝트 목록이 저장되는 디렉터리입니다. 이 명령은 디렉터리가 없는 경우 해당 디렉터리를 생성합니다.

   참고

   이 명령을 실행하는 데 시간이 다소 걸릴 수 있습니다.

2. 클러스터에서 클러스터 기능을 사용하여 하나 이상의 선택적 구성 요소를 비활성화하는 경우 비활성화된 구성 요소에 대한 CredentialsRequest 사용자 정의 리소스를 삭제합니다.

   GCP의 OpenShift Container Platform 4.12의 credrequests 디렉터리 내용 예

   0000_26_cloud-controller-manager-operator_16_credentialsrequest-gcp.yaml 1
   0000_30_machine-api-operator_00_credentials-request.yaml 2
   0000_50_cloud-credential-operator_05-gcp-ro-credentialsrequest.yaml 3
   0000_50_cluster-image-registry-operator_01-registry-credentials-request-gcs.yaml 4
   0000_50_cluster-ingress-operator_00-ingress-credentials-request.yaml 5
   0000_50_cluster-network-operator_02-cncc-credentials.yaml 6
   0000_50_cluster-storage-operator_03_credentials_request_gcp.yaml 7

   1

   Cloud Controller Manager Operator CR이 필요합니다.

   2

   Machine API Operator CR이 필요합니다.

   3

   Cloud Credential Operator CR이 필요합니다.

   4

   Image Registry Operator CR이 필요합니다.

   5

   Ingress Operator CR이 필요합니다.

   6

   Network Operator CR이 필요합니다.

   7

   Storage Operator CR은 선택적 구성 요소이며 클러스터에서 비활성화될 수 있습니다.

3. ccoctl 툴을 사용하여 redrequests 디렉터리의 모든 CredentialsRequest 오브젝트를 처리합니다.

   $ ccoctl gcp create-all \
   --name=<name> \
   --region=<gcp_region> \
   --project=<gcp_project_id> \
   --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests

   다음과 같습니다.

   • <name >은 추적에 사용되는 모든 생성된 모든 GCP 리소스의 사용자 정의 이름입니다.
   • 클라우드 리소스 <gcp_region> 가 생성될 GCP 리전입니다.
   • 클라우드 리소스 <gcp_project_id> 가 생성될 GCP 프로젝트 ID입니다.
   • < path_to_directory_with_list_of_credentials_requests>/credrequests 는 GCP 서비스 계정을 생성하기 위한 CredentialsRequest 매니페스트 파일을 포함하는 디렉터리입니다.
   참고

   클러스터에서 TechPreviewNoUpgrade 기능 세트에서 활성화한 기술 프리뷰 기능을 사용하는 경우 --enable-tech-preview 매개변수를 포함해야 합니다.

절차

1. 설치 프로그램이 포함된 디렉터리로 변경하고 install-config.yaml 파일을 생성합니다.

   $ openshift-install create install-config --dir <installation_directory>

   여기서 <installation_directory>는 설치 프로그램이 파일을 생성하는 디렉터리입니다.

2. install-config.yaml 구성 파일을 편집하여 credentialsMode 매개 변수가 Manual로 설정되도록 합니다.

   install-config.yaml 설정 파일 예

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 1
   compute:
   - architecture: amd64
     hyperthreading: Enabled

   1

   이 행은 credentialsMode 매개변수를 Manual로 설정하기 위해 추가됩니다.

3. 필요한 OpenShift Container Platform 설치 매니페스트를 생성합니다.

   $ openshift-install create manifests

4. ccoctl이 생성한 매니페스트를 설치 프로그램이 생성한 매니페스트 디렉터리에 복사합니다.

   $ cp /<path_to_ccoctl_output_dir>/manifests/* ./manifests/

5. ccoctl이 tls 디렉터리에 생성된 개인 키를 설치 디렉터리에 복사합니다.

   $ cp -a /<path_to_ccoctl_output_dir>/tls .

6. OpenShift Container Platform 설치 프로그램을 실행합니다.

   $ ./openshift-install create cluster

1. OpenShift Container Platform 클러스터에 연결합니다.

2. 클러스터에 root 인증 정보가 없는지 확인합니다.

   $ oc get secrets -n kube-system gcp-credentials

   출력은 다음과 유사해야 합니다.

   Error from server (NotFound): secrets "gcp-credentials" not found

3. 구성 요소가 CCO에서 생성한 인증 정보를 사용하는 대신 시크릿 매니페스트에 지정된 서비스 계정을 가정하는지 확인합니다.

   이미지 레지스트리 Operator가 있는 명령 예

   $ oc get secrets -n openshift-image-registry installer-cloud-credentials -o json | jq -r '.data."service_account.json"' | base64 -d

   출력에 구성 요소에서 사용하는 역할 및 웹 ID 토큰이 표시되고 다음과 유사해야 합니다.

   이미지 레지스트리 Operator가 있는 출력 예

   {
      "type": "external_account", 1
      "audience": "//iam.googleapis.com/projects/123456789/locations/global/workloadIdentityPools/test-pool/providers/test-provider",
      "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
      "token_url": "https://sts.googleapis.com/v1/token",
      "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/<client-email-address>:generateAccessToken", 2
      "credential_source": {
         "file": "/var/run/secrets/openshift/serviceaccount/token",
         "format": {
            "type": "text"
         }
      }
   }

   1

   자격 증명 유형은 external_account 입니다.

   2

   Image Registry Operator에서 사용하는 서비스 계정의 리소스 URL입니다.