4.8. 비 클러스터 관리자가 Operator를 설치하도록 허용

프로세스

1. 새 네임스페이스를 생성합니다.

   예 4.9. Namespace 오브젝트를 생성하는 명령의 예

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: Namespace
   metadata:
     name: scoped
   EOF

2. Operator를 제한할 권한을 할당합니다. 이를 위해서는 새로 생성된 지정된 네임스페이스에 새 서비스 계정, 관련 역할 및 역할 바인딩을 생성해야 합니다.

   1. 다음 명령을 실행하여 서비스 계정을 생성합니다.

      예 4.10. ServiceAccount 오브젝트를 생성하는 명령의 예

      $ cat <<EOF | oc create -f -
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: scoped
        namespace: scoped
      EOF

   2. 다음 명령을 실행하여 보안을 생성합니다.

      예 4.11. 장기 API 토큰 Secret 오브젝트를 생성하는 명령의 예

      $ cat <<EOF | oc create -f -
      apiVersion: v1
      kind: Secret
      type: kubernetes.io/service-account-token 1
      metadata:
        name: scoped
        namespace: scoped
        annotations:
          kubernetes.io/service-account.name: scoped
      EOF

      1

      시크릿은 서비스 계정에서 사용하는 수명이 긴 API 토큰이어야 합니다.

   3. 다음 명령을 실행하여 역할을 생성합니다.

      주의

      이 예에서 역할은 서비스 계정 권한을 부여하여 지정된 네임 스페이스에서 데모 목적으로만 모든 작업을 수행할 수 있습니다. 프로덕션 환경에서는 더 세분화된 권한 세트를 생성해야 합니다. 자세한 내용은 "Fine-grained permissions"를 참조하십시오.

      예 4.12. Role 및 RoleBinding 오브젝트를 생성하는 명령의 예

      $ cat <<EOF | oc create -f -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role
      metadata:
        name: scoped
        namespace: scoped
      rules:
      - apiGroups: ["*"]
        resources: ["*"]
        verbs: ["*"]
      ---
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding
      metadata:
        name: scoped-bindings
        namespace: scoped
      roleRef:
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: scoped
      subjects:
      - kind: ServiceAccount
        name: scoped
        namespace: scoped
      EOF

3. 다음 명령을 실행하여 지정된 네임스페이스에 OperatorGroup 오브젝트를 생성합니다. 이 Operator group은 지정된 네임스페이스를 대상으로 하여 테넌시가 제한되도록 합니다. 또한 Operator group에서는 사용자가 서비스 계정을 지정할 수 있습니다.

   예 4.13. OperatorGroup 오브젝트를 생성하는 명령의 예

   $ cat <<EOF | oc create -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: scoped
     namespace: scoped
   spec:
     serviceAccountName: scoped 1
     targetNamespaces:
     - scoped
   EOF

   1

   이전 단계에서 생성한 서비스 계정을 지정합니다. 지정된 네임스페이스에 설치된 Operator는 모두 이 Operator group 및 지정된 서비스 계정에 연결됩니다.

4. 지정된 네임스페이스에 Subscription 오브젝트를 생성하여 Operator를 설치합니다.

   예 4.14. Subscription 오브젝트를 생성하는 명령의 예

   $ cat <<EOF | oc create -f -
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: openshift-cert-manager-operator
     namespace: scoped
   spec:
     channel: stable-v1
     name: openshift-cert-manager-operator
     source: <catalog_source_name> 1
     sourceNamespace: <catalog_source_namespace> 2
   EOF

   1

   지정된 네임스페이스에 이미 존재하는 카탈로그 소스 또는 글로벌 카탈로그 네임스페이스에 있는 카탈로그 소스를 지정합니다(예: redhat-operators ).

   2

   카탈로그 소스가 생성된 네임스페이스를 지정합니다(예: redhat-operators 카탈로그의 openshift-marketplace ).

   Operator group에 연결된 모든 Operator의 권한이 지정된 서비스 계정에 부여된 권한으로 제한됩니다. Operator에서 서비스 계정 외부에 있는 권한을 요청하는 경우 설치가 실패하고 관련 오류가 표시됩니다.

1. 기본 글로벌 카탈로그를 모두 비활성화합니다.
2. 관련 Operator 그룹이 사전 설치된 동일한 네임스페이스에서 사용자 정의 큐레이션 카탈로그를 활성화합니다.

프로세스

1. Subscription 오브젝트를 검토합니다. 해당 상태에는 Operator에 필요한 [Cluster]Role[Binding] 오브젝트를 생성하는 InstallPlan 오브젝트를 가리키는 오브젝트 참조 installPlanRef가 있습니다.

   apiVersion: operators.coreos.com/v1
   kind: Subscription
   metadata:
     name: etcd
     namespace: scoped
   status:
     installPlanRef:
       apiVersion: operators.coreos.com/v1
       kind: InstallPlan
       name: install-4plp8
       namespace: scoped
       resourceVersion: "117359"
       uid: 2c1df80e-afea-11e9-bce3-5254009c9c23

2. InstallPlan 오브젝트의 상태에 오류가 있는지 확인합니다.

   apiVersion: operators.coreos.com/v1
   kind: InstallPlan
   status:
     conditions:
     - lastTransitionTime: "2019-07-26T21:13:10Z"
       lastUpdateTime: "2019-07-26T21:13:10Z"
       message: 'error creating clusterrole etcdoperator.v0.9.4-clusterwide-dsfx4: clusterroles.rbac.authorization.k8s.io
         is forbidden: User "system:serviceaccount:scoped:scoped" cannot create resource
         "clusterroles" in API group "rbac.authorization.k8s.io" at the cluster scope'
       reason: InstallComponentFailed
       status: "False"
       type: Installed
     phase: Failed

   오류 메시지에는 다음이 표시됩니다.

   • 리소스의 API 그룹을 포함하여 생성할 수 없는 리소스 유형. 이 경우 rbac.authorization.k8s.io 그룹의 clusterroles입니다.
   • 리소스의 이름.
   • 오류 유형 is forbidden은 사용자에게 작업을 수행할 수 있는 권한이 충분하지 않음을 나타냅니다.
   • 리소스를 생성하거나 업데이트하려고 시도한 사용자의 이름. 이 경우 Operator group에 지정된 서비스 계정을 나타냅니다.

   • 작업 범위: cluster scope 여부

     사용자는 서비스 계정에 누락된 권한을 추가한 다음 다시 수행할 수 있습니다.

     참고

     OLM(Operator Lifecycle Manager)은 현재 첫 번째 시도에서 전체 오류 목록을 제공하지 않습니다.