4장. 호스트된 컨트롤 플레인 배포

프로세스

1. 다음 명령을 실행하여 클러스터의 호스트 OIDC 검색 문서에 액세스할 수 있는 S3 버킷을 생성합니다.

   $ aws s3api create-bucket --bucket <bucket_name> \

   1

   
     --create-bucket-configuration LocationConstraint=<region> \

   2

   
     --region <region> 

   3

   Copy to Clipboard Toggle word wrap

   1

   & lt;bucket_name >을 생성 중인 S3 버킷의 이름으로 바꿉니다.

   2 3

   us-east-1 리전 이외의 리전에서 버킷을 생성하려면 이 행을 포함하고 < region >을 사용하려는 리전으로 교체합니다. us-east-1 리전에 버킷을 생성하려면 이 행을 생략합니다.

   $ aws s3api delete-public-access-block --bucket <bucket_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   & lt;bucket_name >을 생성 중인 S3 버킷의 이름으로 바꿉니다.

   $ echo '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": "*",
               "Action": "s3:GetObject",
               "Resource": "arn:aws:s3:::<bucket_name>/*" 

   1

   
           }
       ]
   }' | envsubst > policy.json

   Copy to Clipboard Toggle word wrap

   1

   & lt;bucket_name >을 생성 중인 S3 버킷의 이름으로 바꿉니다.

   $ aws s3api put-bucket-policy --bucket <bucket_name> \

   1

   
     --policy file://policy.json

   Copy to Clipboard Toggle word wrap

   1

   & lt;bucket_name >을 생성 중인 S3 버킷의 이름으로 바꿉니다.

   참고

   Mac 컴퓨터를 사용하는 경우 정책이 작동하려면 버킷 이름을 내보내야 합니다.

2. HyperShift Operator에 대해 hypershift-operator-oidc-provider-s3-credentials 라는 OIDC S3 시크릿을 생성합니다.
3. 로컬 클러스터 네임스페이스에 시크릿을 저장합니다.

4. 다음 표를 참조하여 보안에 다음 필드가 포함되어 있는지 확인합니다.

   Expand

   표 4.1. AWS 시크릿의 필수 필드

   필드 이름	설명
   bucket	호스팅된 클러스터에 대한 호스트 OIDC 검색 문서에 대한 공용 액세스 권한이 있는 S3 버킷이 포함되어 있습니다.
   credentials	버킷에 액세스할 수 있는 기본 프로필의 자격 증명이 포함된 파일에 대한 참조입니다. 기본적으로 HyperShift는 기본 프로필만 사용하여 버킷 을 작동합니다.
   region	S3 버킷의 리전을 지정합니다.

   Show more

5. AWS 시크릿을 생성하려면 다음 명령을 실행합니다.

   $ oc create secret generic <secret_name> \
     --from-file=credentials=<path>/.aws/credentials \
     --from-literal=bucket=<s3_bucket> \
     --from-literal=region=<region> \
     -n local-cluster

   Copy to Clipboard Toggle word wrap
   참고

   보안에 대한 재해 복구 백업은 자동으로 활성화되지 않습니다. 재해 복구를 위해 hypershift-operator-oidc-provider-s3-credentials 시크릿을 백업할 수 있는 레이블을 추가하려면 다음 명령을 실행합니다.

   $ oc label secret hypershift-operator-oidc-provider-s3-credentials \
     -n local-cluster cluster.open-cluster-management.io/backup=true

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 실행하여 사용자의 Amazon 리소스 이름(ARN)을 가져옵니다.

   $ aws sts get-caller-identity --query "Arn" --output text

   Copy to Clipboard Toggle word wrap

   출력 예

   arn:aws:iam::1234567890:user/<aws_username>

   Copy to Clipboard Toggle word wrap

   다음 단계에서 이 출력을 < arn&gt;의 값으로 사용합니다.

2. 역할에 대한 신뢰 관계 구성이 포함된 JSON 파일을 생성합니다. 다음 예제를 참조하십시오.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<arn>" 

   1

   
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

   1

   & lt;arn >을 이전 단계에서 언급한 사용자의 ARN으로 바꿉니다.

3. 다음 명령을 실행하여 IAM(Identity and Access Management) 역할을 생성합니다.

   $ aws iam create-role \
     --role-name <name> \

   1

   
     --assume-role-policy-document file://<file_name>.json \

   2

   
     --query "Role.Arn"

   Copy to Clipboard Toggle word wrap

   1

   &lt ;name& gt;을 역할 이름(예: hcp-cli-role )으로 바꿉니다.

   2

   & lt;file_name >을 이전 단계에서 생성한 JSON 파일의 이름으로 바꿉니다.

   출력 예

   arn:aws:iam::820196288204:role/myrole

   Copy to Clipboard Toggle word wrap

4. 역할에 대한 다음 권한 정책이 포함된 policy.json 이라는 JSON 파일을 생성합니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "EC2",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateDhcpOptions",
                   "ec2:DeleteSubnet",
                   "ec2:ReplaceRouteTableAssociation",
                   "ec2:DescribeAddresses",
                   "ec2:DescribeInstances",
                   "ec2:DeleteVpcEndpoints",
                   "ec2:CreateNatGateway",
                   "ec2:CreateVpc",
                   "ec2:DescribeDhcpOptions",
                   "ec2:AttachInternetGateway",
                   "ec2:DeleteVpcEndpointServiceConfigurations",
                   "ec2:DeleteRouteTable",
                   "ec2:AssociateRouteTable",
                   "ec2:DescribeInternetGateways",
                   "ec2:DescribeAvailabilityZones",
                   "ec2:CreateRoute",
                   "ec2:CreateInternetGateway",
                   "ec2:RevokeSecurityGroupEgress",
                   "ec2:ModifyVpcAttribute",
                   "ec2:DeleteInternetGateway",
                   "ec2:DescribeVpcEndpointConnections",
                   "ec2:RejectVpcEndpointConnections",
                   "ec2:DescribeRouteTables",
                   "ec2:ReleaseAddress",
                   "ec2:AssociateDhcpOptions",
                   "ec2:TerminateInstances",
                   "ec2:CreateTags",
                   "ec2:DeleteRoute",
                   "ec2:CreateRouteTable",
                   "ec2:DetachInternetGateway",
                   "ec2:DescribeVpcEndpointServiceConfigurations",
                   "ec2:DescribeNatGateways",
                   "ec2:DisassociateRouteTable",
                   "ec2:AllocateAddress",
                   "ec2:DescribeSecurityGroups",
                   "ec2:RevokeSecurityGroupIngress",
                   "ec2:CreateVpcEndpoint",
                   "ec2:DescribeVpcs",
                   "ec2:DeleteSecurityGroup",
                   "ec2:DeleteDhcpOptions",
                   "ec2:DeleteNatGateway",
                   "ec2:DescribeVpcEndpoints",
                   "ec2:DeleteVpc",
                   "ec2:CreateSubnet",
                   "ec2:DescribeSubnets"
               ],
               "Resource": "*"
           },
           {
               "Sid": "ELB",
               "Effect": "Allow",
               "Action": [
                   "elasticloadbalancing:DeleteLoadBalancer",
                   "elasticloadbalancing:DescribeLoadBalancers",
                   "elasticloadbalancing:DescribeTargetGroups",
                   "elasticloadbalancing:DeleteTargetGroup"
               ],
               "Resource": "*"
           },
           {
               "Sid": "IAMPassRole",
               "Effect": "Allow",
               "Action": "iam:PassRole",
               "Resource": "arn:*:iam::*:role/*-worker-role",
               "Condition": {
                   "ForAnyValue:StringEqualsIfExists": {
                       "iam:PassedToService": "ec2.amazonaws.com"
                   }
               }
           },
           {
               "Sid": "IAM",
               "Effect": "Allow",
               "Action": [
                   "iam:CreateInstanceProfile",
                   "iam:DeleteInstanceProfile",
                   "iam:GetRole",
                   "iam:UpdateAssumeRolePolicy",
                   "iam:GetInstanceProfile",
                   "iam:TagRole",
                   "iam:RemoveRoleFromInstanceProfile",
                   "iam:CreateRole",
                   "iam:DeleteRole",
                   "iam:PutRolePolicy",
                   "iam:AddRoleToInstanceProfile",
                   "iam:CreateOpenIDConnectProvider",
                   "iam:ListOpenIDConnectProviders",
                   "iam:DeleteRolePolicy",
                   "iam:UpdateRole",
                   "iam:DeleteOpenIDConnectProvider",
                   "iam:GetRolePolicy"
               ],
               "Resource": "*"
           },
           {
               "Sid": "Route53",
               "Effect": "Allow",
               "Action": [
                   "route53:ListHostedZonesByVPC",
                   "route53:CreateHostedZone",
                   "route53:ListHostedZones",
                   "route53:ChangeResourceRecordSets",
                   "route53:ListResourceRecordSets",
                   "route53:DeleteHostedZone",
                   "route53:AssociateVPCWithHostedZone",
                   "route53:ListHostedZonesByName"
               ],
               "Resource": "*"
           },
           {
               "Sid": "S3",
               "Effect": "Allow",
               "Action": [
                   "s3:ListAllMyBuckets",
                   "s3:ListBucket",
                   "s3:DeleteObject",
                   "s3:DeleteBucket"
               ],
               "Resource": "*"
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 policy.json 파일을 역할에 연결합니다.

   $ aws iam put-role-policy \
     --role-name <role_name> \

   1

   
     --policy-name <policy_name> \

   2

   
     --policy-document file://policy.json 

   3

   Copy to Clipboard Toggle word wrap

   1

   & lt;role_name >을 역할 이름으로 바꿉니다.

   2

   &lt ;policy_name&gt;을 정책 이름으로 바꿉니다.

   3

   policy.json 파일에는 역할에 대한 권한 정책이 포함되어 있습니다.

6. 다음 명령을 실행하여 sts-creds.json 이라는 JSON 파일에서 STS 자격 증명을 검색합니다.

   $ aws sts get-session-token --output json > sts-creds.json

   Copy to Clipboard Toggle word wrap

   sts-creds.json 파일의 예

   {
       "Credentials": {
           "AccessKeyId": "<access_key_id",
           "SecretAccessKey": "<secret_access_key>”,
           "SessionToken": "<session_token>",
           "Expiration": "<time_stamp>"
       }
   }

   Copy to Clipboard Toggle word wrap

프로세스

1. HyperShift Operator에 대한 AWS 인증 정보 시크릿을 생성하고 hypershift-operator-private-link-credentials 로 이름을 지정합니다. 보안은 관리 클러스터로 사용 중인 관리 클러스터의 네임스페이스인 관리 클러스터 네임스페이스에 있어야 합니다. local-cluster 를 사용한 경우 local-cluster 네임스페이스에 시크릿을 생성합니다.
2. 다음 표를 참조하여 보안에 필수 필드가 포함되어 있는지 확인합니다.

프로세스

1. AWS에서 호스팅 클러스터를 만들려면 다음 명령을 실행하세요.

   $ hcp create cluster aws \
       --name <hosted_cluster_name> \

   1

   
       --infra-id <infra_id> \

   2

   
       --base-domain <basedomain> \

   3

   
       --sts-creds <path_to_sts_credential_file> \

   4

   
       --pull-secret <path_to_pull_secret> \

   5

   
       --region <region> \

   6

   
       --generate-ssh \
       --node-pool-replicas <node_pool_replica_count> \

   7

   
       --namespace <hosted_cluster_namespace> \

   8

   
       --role-arn <role_name> \

   9

   
       --render-into <file_name>.yaml 

   10

   Copy to Clipboard Toggle word wrap

   1

   호스팅된 클러스터의 이름을 지정합니다(예: ) .

   2

   인프라 이름을 지정하세요. <hosted_cluster_name> 과 <infra_id> 에 동일한 값을 제공해야 합니다. 그렇지 않으면 클러스터가 Kubernetes Operator 콘솔의 멀티클러스터 엔진에 올바르게 나타나지 않을 수 있습니다.

   3

   기본 도메인을 지정하세요(예: example.com ).

   4

   AWS STS 자격 증명 파일의 경로를 지정합니다(예: /home/user/sts-creds/sts-creds.json ).

   5

   예를 들어 /user/name/pullsecret 과 같이 풀 시크릿의 경로를 지정합니다.

   6

   AWS 지역 이름을 지정합니다(예: us-east-1) .

   7

   노드 풀 복제본 수를 지정합니다(예: 3 ).

   8

   기본적으로 모든 HostedCluster 및 NodePool 사용자 정의 리소스는 클러스터 네임스페이스에 생성됩니다. --namespace <네임스페이스> 매개변수를 사용하면 특정 네임스페이스에 HostedCluster 및 NodePool 사용자 정의 리소스를 만들 수 있습니다.

   9

   Amazon 리소스 이름(ARN)을 지정합니다(예: arn:aws:iam::820196288204:role/myrole ).

   10

   EC2 인스턴스가 공유 또는 단일 테넌트 하드웨어에서 실행되는지 여부를 표시하려면 이 필드를 포함합니다. --render-into 플래그는 이 필드에 지정한 YAML 파일에 Kubernetes 리소스를 렌더링합니다. 그런 다음 다음 단계로 진행하여 YAML 파일을 편집합니다.

2. 이전 명령에 --render-into 플래그를 포함한 경우 지정된 YAML 파일을 편집합니다. 다음 예와 유사하게 EC2 인스턴스를 공유 또는 단일 테넌트 하드웨어에서 실행해야 하는지 여부를 나타내기 위해 YAML 파일에서 NodePool 사양을 편집합니다.

   YAML 파일 예시

   apiVersion: hypershift.openshift.io/v1beta1
   kind: NodePool
   metadata:
     name: <nodepool_name> 

   1

   
   spec:
     platform:
       aws:
         placement:
           tenancy: "default" 

   2

   Copy to Clipboard Toggle word wrap

   1

   NodePool 리소스의 이름을 지정합니다.

   2

   테넌시에 유효한 값을 지정하세요: "기본" , "전용" 또는 "호스트" . 노드 풀 인스턴스가 공유 하드웨어에서 실행되는 경우 "기본값"을 사용합니다. 각 노드 풀 인스턴스가 단일 테넌트 하드웨어에서 실행되는 경우 "전용"을 사용합니다. 노드 풀 인스턴스가 사전 할당된 전용 호스트에서 실행되는 경우 "호스트"를 사용합니다.

검증

1. 호스팅된 클러스터의 상태를 확인하여 AVAILABLE 값이 True 인지 확인하세요. 다음 명령을 실행합니다.

   $ oc get hostedclusters -n <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 노드 풀 목록을 가져옵니다.

   $ oc get nodepools --namespace <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 입력하여 사용자 지정 인증서로 비밀을 만듭니다.

   $ oc create secret tls sample-hosted-kas-custom-cert \
     --cert=path/to/cert.crt \
     --key=path/to/key.key \
     -n <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

2. 다음 예와 같이 사용자 지정 인증서 세부 정보로 HostedCluster 구성을 업데이트합니다.

   spec:
     configuration:
       apiServer:
         servingCerts:
           namedCertificates:
           - names: 

   1

   
             - api-custom-cert-sample-hosted.sample-hosted.example.com
             servingCertificate: 

   2

   
               name: sample-hosted-kas-custom-cert

   Copy to Clipboard Toggle word wrap

   1

   인증서가 유효한 DNS 이름 목록입니다.

   2

   사용자 지정 인증서가 포함된 비밀의 이름입니다.

3. 다음 명령을 입력하여 HostedCluster 구성에 변경 사항을 적용합니다.

   $ oc apply -f <hosted_cluster_config>.yaml

   Copy to Clipboard Toggle word wrap