4.8. 비 클러스터 관리자가 Operator를 설치하도록 허용

프로세스

1. 새 네임스페이스를 생성합니다.

   예 4.9. 네임스페이스 객체를 생성하는 예제 명령

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: Namespace
   metadata:
     name: scoped
   EOF

   Copy to Clipboard Toggle word wrap

2. Operator를 제한할 권한을 할당합니다. 여기에는 새로 생성된 지정된 네임스페이스에서 새 서비스 계정, 관련 역할 및 역할 바인딩을 만드는 작업이 포함됩니다.

   1. 다음 명령을 실행하여 서비스 계정을 만듭니다.

      예 4.10. ServiceAccount 객체를 생성하는 예제 명령

      $ cat <<EOF | oc create -f -
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: scoped
        namespace: scoped
      EOF

      Copy to Clipboard Toggle word wrap

   2. 다음 명령을 실행하여 비밀을 생성합니다.

      예 4.11. 장기 API 토큰 Secret 객체를 생성하는 예제 명령

      $ cat <<EOF | oc create -f -
      apiVersion: v1
      kind: Secret
      type: kubernetes.io/service-account-token 

      1

      
      metadata:
        name: scoped
        namespace: scoped
        annotations:
          kubernetes.io/service-account.name: scoped
      EOF

      Copy to Clipboard Toggle word wrap

      1

      비밀은 서비스 계정에서 사용되는 장기 API 토큰이어야 합니다.

   3. 다음 명령을 실행하여 역할을 만듭니다.

      주의

      이 예에서 역할은 데모 목적으로만 지정된 네임스페이스에서 모든 작업을 수행할 수 있는 권한을 서비스 계정에 부여합니다. 프로덕션 환경에서는 보다 세분화된 권한 집합을 만들어야 합니다. 자세한 내용은 "세분화된 권한"을 참조하세요.

      예 4.12. Role 및 RoleBinding 객체를 생성하는 예제 명령

      $ cat <<EOF | oc create -f -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: Role
      metadata:
        name: scoped
        namespace: scoped
      rules:
      - apiGroups: ["*"]
        resources: ["*"]
        verbs: ["*"]
      ---
      apiVersion: rbac.authorization.k8s.io/v1
      kind: RoleBinding
      metadata:
        name: scoped-bindings
        namespace: scoped
      roleRef:
        apiGroup: rbac.authorization.k8s.io
        kind: Role
        name: scoped
      subjects:
      - kind: ServiceAccount
        name: scoped
        namespace: scoped
      EOF

      Copy to Clipboard Toggle word wrap

3. 다음 명령을 실행하여 지정된 네임스페이스에 OperatorGroup 객체를 만듭니다. 이 Operator group은 지정된 네임스페이스를 대상으로 하여 테넌시가 제한되도록 합니다. 또한 Operator group에서는 사용자가 서비스 계정을 지정할 수 있습니다.

   예 4.13. OperatorGroup 객체를 생성하는 예제 명령

   $ cat <<EOF | oc create -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: scoped
     namespace: scoped
   spec:
     serviceAccountName: scoped 

   1

   
     targetNamespaces:
     - scoped
   EOF

   Copy to Clipboard Toggle word wrap

   1

   이전 단계에서 만든 서비스 계정을 지정합니다. 지정된 네임스페이스에 설치된 Operator는 모두 이 Operator group 및 지정된 서비스 계정에 연결됩니다.

4. 지정된 네임스페이스에 Subscription 오브젝트를 생성하여 Operator를 설치합니다.

   예 4.14. 구독 객체를 생성하는 예제 명령

   $ cat <<EOF | oc create -f -
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: openshift-cert-manager-operator
     namespace: scoped
   spec:
     channel: stable-v1
     name: openshift-cert-manager-operator
     source: <catalog_source_name> 

   1

   
     sourceNamespace: <catalog_source_namespace> 

   2

   
   EOF

   Copy to Clipboard Toggle word wrap

   1

   지정된 네임스페이스에 이미 존재하는 카탈로그 소스나 글로벌 카탈로그 네임스페이스에 있는 카탈로그 소스(예: redhat-operators ) 를 지정합니다.

   2

   예를 들어, redhat-operators 카탈로그의 경우 openshift-marketplace 와 같이 카탈로그 소스가 생성된 네임스페이스를 지정합니다.

   Operator group에 연결된 모든 Operator의 권한이 지정된 서비스 계정에 부여된 권한으로 제한됩니다. Operator에서 서비스 계정 외부에 있는 권한을 요청하는 경우 설치가 실패하고 관련 오류가 표시됩니다.

1. 모든 기본 글로벌 카탈로그를 비활성화합니다.
2. 관련 운영자 그룹이 사전 설치된 동일한 네임스페이스에서 사용자 정의되고 큐레이팅된 카탈로그를 활성화합니다.

프로세스

1. Subscription 오브젝트를 검토합니다. 해당 상태에는 Operator에 필요한 [Cluster]Role[Binding] 오브젝트를 생성하는 InstallPlan 오브젝트를 가리키는 오브젝트 참조 installPlanRef가 있습니다.

   apiVersion: operators.coreos.com/v1
   kind: Subscription
   metadata:
     name: etcd
     namespace: scoped
   status:
     installPlanRef:
       apiVersion: operators.coreos.com/v1
       kind: InstallPlan
       name: install-4plp8
       namespace: scoped
       resourceVersion: "117359"
       uid: 2c1df80e-afea-11e9-bce3-5254009c9c23

   Copy to Clipboard Toggle word wrap

2. InstallPlan 오브젝트의 상태에 오류가 있는지 확인합니다.

   apiVersion: operators.coreos.com/v1
   kind: InstallPlan
   status:
     conditions:
     - lastTransitionTime: "2019-07-26T21:13:10Z"
       lastUpdateTime: "2019-07-26T21:13:10Z"
       message: 'error creating clusterrole etcdoperator.v0.9.4-clusterwide-dsfx4: clusterroles.rbac.authorization.k8s.io
         is forbidden: User "system:serviceaccount:scoped:scoped" cannot create resource
         "clusterroles" in API group "rbac.authorization.k8s.io" at the cluster scope'
       reason: InstallComponentFailed
       status: "False"
       type: Installed
     phase: Failed

   Copy to Clipboard Toggle word wrap

   오류 메시지에는 다음이 표시됩니다.

   • 리소스의 API 그룹을 포함하여 생성할 수 없는 리소스 유형. 이 경우 rbac.authorization.k8s.io 그룹의 clusterroles입니다.
   • 리소스의 이름.
   • 오류 유형 is forbidden은 사용자에게 작업을 수행할 수 있는 권한이 충분하지 않음을 나타냅니다.
   • 리소스를 생성하거나 업데이트하려고 시도한 사용자의 이름. 이 경우 Operator group에 지정된 서비스 계정을 나타냅니다.

   • 작업 범위: cluster scope 여부

     사용자는 서비스 계정에 누락된 권한을 추가한 다음 다시 수행할 수 있습니다.

     참고

     OLM(Operator Lifecycle Manager)은 현재 첫 번째 시도에서 전체 오류 목록을 제공하지 않습니다.