HCP 클러스터를 사용하여 ROSA 설치

절차

1. 다음 명령을 실행하여 기본 CloudFormations 템플릿을 사용하여 AWS VPC를 생성합니다.

   $ rosa create network

   Copy to Clipboard Toggle word wrap

2. 선택 사항: 추가 매개변수를 지정하여 VPC를 사용자 지정합니다.

   --param 플래그를 사용하여 기본 VPC 템플릿의 변경 사항을 지정할 수 있습니다. 다음 예제 명령은 리전,Name,AvailabilityZoneCount 및 VpcCidr 에 대한 사용자 지정 값을 지정합니다.

   $ rosa create network --param Region=us-east-2 --param Name=quickstart-stack --param AvailabilityZoneCount=3 --param VpcCidr=10.0.0.0/16

   Copy to Clipboard Toggle word wrap

   명령을 실행하는 데 약 5분이 걸리며 리소스가 생성될 때 AWS에서 정기적인 상태 업데이트를 제공합니다. CloudFormation에 문제가 있는 경우 롤백이 시도됩니다. 다른 모든 오류가 발생하면 오류 메시지 지침을 따르거나 AWS 지원에 문의하십시오.

절차

1. 쉘 프롬프트를 열고 다음 명령을 실행하여 Terraform VPC 리포지토리를 복제합니다.

   $ git clone https://github.com/openshift-cs/terraform-vpc-example

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 생성된 디렉터리로 이동합니다.

   $ cd terraform-vpc-example

   Copy to Clipboard Toggle word wrap

3. 다음 명령을 실행하여 Terraform 파일을 시작합니다.

   $ terraform init

   Copy to Clipboard Toggle word wrap

   이 프로세스가 완료되면 초기화를 확인하는 메시지가 표시됩니다.

4. 기존 Terraform 템플릿을 기반으로 VPC Terraform 계획을 빌드하려면 plan 명령을 실행합니다. AWS 리전을 포함해야 합니다. 클러스터 이름을 지정하도록 선택할 수 있습니다. rosa.tfplan 파일은 테라폼 계획이 완료된 후 hypershift-tf 디렉토리에 추가됩니다. 자세한 옵션은 Terraform VPC 리포지토리의 README 파일을 참조하십시오.

   $ terraform plan -out rosa.tfplan -var region=<region>

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 VPC를 빌드하려면 이 계획 파일을 적용합니다.

   $ terraform apply rosa.tfplan

   Copy to Clipboard Toggle word wrap

   1. 선택 사항: 다음 명령을 실행하여 HCP 클러스터로 ROSA를 생성할 때 사용할 Terraform-provisioned 개인, 공용 및 머신 풀 서브넷 ID 값을 환경 변수로 캡처할 수 있습니다.

      $ export SUBNET_IDS=$(terraform output -raw cluster-subnets-string)

      Copy to Clipboard Toggle word wrap

   2. 다음 명령을 사용하여 변수가 올바르게 설정되었는지 확인합니다.

      $ echo $SUBNET_IDS

      Copy to Clipboard Toggle word wrap

      출력 예

      $ subnet-0a6a57e0f784171aa,subnet-078e84e5b10ecf5b0

      Copy to Clipboard Toggle word wrap

절차

1. 다음 명령을 실행하여 터미널에서 리소스를 태그합니다.

   1. 퍼블릭 서브넷의 경우 다음을 실행합니다.

      $ aws ec2 create-tags --resources <public-subnet-id> --region <aws_region> --tags Key=kubernetes.io/role/elb,Value=1

      Copy to Clipboard Toggle word wrap

   2. 프라이빗 서브넷의 경우 다음을 실행합니다.

      $ aws ec2 create-tags --resources <private-subnet-id> --region <aws_region> --tags Key=kubernetes.io/role/internal-elb,Value=1

      Copy to Clipboard Toggle word wrap

절차

1. AWS 계정에 없는 경우 필요한 계정 전체 STS 역할을 생성하고 다음 명령을 실행하여 정책을 연결합니다.

   $ rosa create account-roles --hosted-cp

   Copy to Clipboard Toggle word wrap

2. 선택 사항: 다음 명령을 실행하여 접두사를 환경 변수로 설정합니다.

   $ export ACCOUNT_ROLES_PREFIX=<account_role_prefix>

   Copy to Clipboard Toggle word wrap

   • 다음 명령을 실행하여 변수 값을 확인합니다.

     $ echo $ACCOUNT_ROLES_PREFIX

     Copy to Clipboard Toggle word wrap

     출력 예

     ManagedOpenShift

     Copy to Clipboard Toggle word wrap

절차

1. AWS 리소스와 함께 OIDC 구성을 생성하려면 다음 명령을 실행합니다.

   $ rosa create oidc-config --mode=auto --yes

   Copy to Clipboard Toggle word wrap

   이 명령은 다음 정보를 반환합니다.

   출력 예

   ? Would you like to create a Managed (Red Hat hosted) OIDC Configuration Yes
   I: Setting up managed OIDC configuration
   I: To create Operator Roles for this OIDC Configuration, run the following command and remember to replace <user-defined> with a prefix of your choice:
   	rosa create operator-roles --prefix <user-defined> --oidc-config-id 13cdr6b
   If you are going to create a Hosted Control Plane cluster please include '--hosted-cp'
   I: Creating OIDC provider using 'arn:aws:iam::4540112244:user/userName'
   ? Create the OIDC provider? Yes
   I: Created OIDC provider with ARN 'arn:aws:iam::4540112244:oidc-provider/dvbwgdztaeq9o.cloudfront.net/13cdr6b'

   Copy to Clipboard Toggle word wrap

   클러스터를 생성할 때 OIDC 구성 ID를 제공해야 합니다. CLI 출력은 --mode auto 에 대해 이 값을 제공합니다. 그렇지 않으면 --mode 수동 에 대한 aws CLI 출력에 따라 이러한 값을 결정해야합니다.

2. 선택 사항: 나중에 사용할 수 있도록 OIDC 구성 ID를 변수로 저장할 수 있습니다. 다음 명령을 실행하여 변수를 저장합니다.

   $ export OIDC_ID=<oidc_config_id>

   1

   Copy to Clipboard Toggle word wrap

   1

   위의 출력 예에서 OIDC 구성 ID는 13cdr6b입니다.

   • 다음 명령을 실행하여 변수 값을 확인합니다.

     $ echo $OIDC_ID

     Copy to Clipboard Toggle word wrap

     출력 예

     13cdr6b

     Copy to Clipboard Toggle word wrap

절차

1. 다음 명령을 사용하여 접두사 이름을 환경 변수로 설정합니다.

   $ export OPERATOR_ROLES_PREFIX=<prefix_name>

   Copy to Clipboard Toggle word wrap

2. Operator 역할을 생성하려면 다음 명령을 실행합니다.

   $ rosa create operator-roles --hosted-cp --prefix=$OPERATOR_ROLES_PREFIX --oidc-config-id=$OIDC_ID --installer-role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role

   Copy to Clipboard Toggle word wrap

   다음 분석에서는 Operator 역할 생성에 대한 옵션을 제공합니다.

   $ rosa create operator-roles --hosted-cp
   	--prefix=$OPERATOR_ROLES_PREFIX 

   1

   
   	--oidc-config-id=$OIDC_ID 

   2

   
   	--installer-role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role 

   3

   Copy to Clipboard Toggle word wrap

   1

   이러한 Operator 역할을 생성할 때 접두사를 제공해야 합니다. 이렇게 하지 않으면 오류가 발생합니다. Operator 접두사에 대한 자세한 내용은 이 섹션의 추가 리소스를 참조하십시오.

   2

   이 값은 HCP 클러스터를 사용하여 ROSA용으로 생성한 OIDC 구성 ID입니다.

   3

   이 값은 ROSA 계정 역할을 생성할 때 생성한 설치 관리자 역할 ARN입니다.

   HCP 클러스터의 ROSA에 올바른 역할을 생성하려면 --hosted-cp 매개변수를 포함해야 합니다. 이 명령은 다음 정보를 반환합니다.

   출력 예

   ? Role creation mode: auto
   ? Operator roles prefix: <pre-filled_prefix> 

   1

   
   ? OIDC Configuration ID: 23soa2bgvpek9kmes9s7os0a39i13qm4 | https://dvbwgdztaeq9o.cloudfront.net/23soa2bgvpek9kmes9s7os0a39i13qm4 

   2

   
   ? Create hosted control plane operator roles: Yes
   W: More than one Installer role found
   ? Installer role ARN: arn:aws:iam::4540112244:role/<prefix>-HCP-ROSA-Installer-Role
   ? Permissions boundary ARN (optional):
   I: Reusable OIDC Configuration detected. Validating trusted relationships to operator roles:
   I: Creating roles using 'arn:aws:iam::4540112244:user/<userName>'
   I: Created role '<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials'
   I: Created role '<prefix>-openshift-cloud-network-config-controller-cloud-credenti' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cloud-network-config-controller-cloud-credenti'
   I: Created role '<prefix>-kube-system-kube-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kube-controller-manager'
   I: Created role '<prefix>-kube-system-capa-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-capa-controller-manager'
   I: Created role '<prefix>-kube-system-control-plane-operator' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-control-plane-operator'
   I: Created role '<prefix>-kube-system-kms-provider' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kms-provider'
   I: Created role '<prefix>-openshift-image-registry-installer-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-image-registry-installer-cloud-credentials'
   I: Created role '<prefix>-openshift-ingress-operator-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-ingress-operator-cloud-credentials'
   I: To create a cluster with these roles, run the following command:
   	rosa create cluster --sts --oidc-config-id 23soa2bgvpek9kmes9s7os0a39i13qm4 --operator-roles-prefix <prefix> --hosted-cp

   Copy to Clipboard Toggle word wrap

   1

   이 필드는 초기 생성 명령에서 설정한 접두사로 미리 채워집니다.

   2

   이 필드를 사용하려면 HCP 클러스터를 사용하여 ROSA에 대해 생성한 OIDC 구성을 선택해야 합니다.

   이제 Operator 역할이 생성되어 HCP 클러스터를 사용하여 ROSA를 생성할 준비가 되었습니다.

절차

1. 다음 명령을 실행하여 터미널에서 리소스를 태그합니다.

   1. 퍼블릭 서브넷의 경우 다음을 실행합니다.

      $ aws ec2 create-tags --resources <public-subnet-id> --region <aws_region> --tags Key=kubernetes.io/role/elb,Value=1

      Copy to Clipboard Toggle word wrap

   2. 프라이빗 서브넷의 경우 다음을 실행합니다.

      $ aws ec2 create-tags --resources <private-subnet-id> --region <aws_region> --tags Key=kubernetes.io/role/internal-elb,Value=1

      Copy to Clipboard Toggle word wrap

절차

1. AWS 계정에 없는 경우 필요한 계정 전체 STS 역할을 생성하고 다음 명령을 실행하여 정책을 연결합니다.

   $ rosa create account-roles --hosted-cp

   Copy to Clipboard Toggle word wrap

2. 선택 사항: 다음 명령을 실행하여 접두사를 환경 변수로 설정합니다.

   $ export ACCOUNT_ROLES_PREFIX=<account_role_prefix>

   Copy to Clipboard Toggle word wrap

   • 다음 명령을 실행하여 변수 값을 확인합니다.

     $ echo $ACCOUNT_ROLES_PREFIX

     Copy to Clipboard Toggle word wrap

     출력 예

     ManagedOpenShift

     Copy to Clipboard Toggle word wrap

절차

1. AWS 리소스와 함께 OIDC 구성을 생성하려면 다음 명령을 실행합니다.

   $ rosa create oidc-config --mode=auto --yes

   Copy to Clipboard Toggle word wrap

   이 명령은 다음 정보를 반환합니다.

   출력 예

   ? Would you like to create a Managed (Red Hat hosted) OIDC Configuration Yes
   I: Setting up managed OIDC configuration
   I: To create Operator Roles for this OIDC Configuration, run the following command and remember to replace <user-defined> with a prefix of your choice:
   	rosa create operator-roles --prefix <user-defined> --oidc-config-id 13cdr6b
   If you are going to create a Hosted Control Plane cluster please include '--hosted-cp'
   I: Creating OIDC provider using 'arn:aws:iam::4540112244:user/userName'
   ? Create the OIDC provider? Yes
   I: Created OIDC provider with ARN 'arn:aws:iam::4540112244:oidc-provider/dvbwgdztaeq9o.cloudfront.net/13cdr6b'

   Copy to Clipboard Toggle word wrap

   클러스터를 생성할 때 OIDC 구성 ID를 제공해야 합니다. CLI 출력은 --mode auto 에 대해 이 값을 제공합니다. 그렇지 않으면 --mode 수동 에 대한 aws CLI 출력에 따라 이러한 값을 결정해야합니다.

2. 선택 사항: 나중에 사용할 수 있도록 OIDC 구성 ID를 변수로 저장할 수 있습니다. 다음 명령을 실행하여 변수를 저장합니다.

   $ export OIDC_ID=<oidc_config_id>

   1

   Copy to Clipboard Toggle word wrap

   1

   위의 출력 예에서 OIDC 구성 ID는 13cdr6b입니다.

   • 다음 명령을 실행하여 변수 값을 확인합니다.

     $ echo $OIDC_ID

     Copy to Clipboard Toggle word wrap

     출력 예

     13cdr6b

     Copy to Clipboard Toggle word wrap

절차

1. 다음 명령을 사용하여 접두사 이름을 환경 변수로 설정합니다.

   $ export OPERATOR_ROLES_PREFIX=<prefix_name>

   Copy to Clipboard Toggle word wrap

2. Operator 역할을 생성하려면 다음 명령을 실행합니다.

   $ rosa create operator-roles --hosted-cp --prefix=$OPERATOR_ROLES_PREFIX --oidc-config-id=$OIDC_ID --installer-role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role

   Copy to Clipboard Toggle word wrap

   다음 분석에서는 Operator 역할 생성에 대한 옵션을 제공합니다.

   $ rosa create operator-roles --hosted-cp
   	--prefix=$OPERATOR_ROLES_PREFIX 

   1

   
   	--oidc-config-id=$OIDC_ID 

   2

   
   	--installer-role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role 

   3

   Copy to Clipboard Toggle word wrap

   1

   이러한 Operator 역할을 생성할 때 접두사를 제공해야 합니다. 이렇게 하지 않으면 오류가 발생합니다. Operator 접두사에 대한 자세한 내용은 이 섹션의 추가 리소스를 참조하십시오.

   2

   이 값은 HCP 클러스터를 사용하여 ROSA용으로 생성한 OIDC 구성 ID입니다.

   3

   이 값은 ROSA 계정 역할을 생성할 때 생성한 설치 관리자 역할 ARN입니다.

   HCP 클러스터의 ROSA에 올바른 역할을 생성하려면 --hosted-cp 매개변수를 포함해야 합니다. 이 명령은 다음 정보를 반환합니다.

   출력 예

   ? Role creation mode: auto
   ? Operator roles prefix: <pre-filled_prefix> 

   1

   
   ? OIDC Configuration ID: 23soa2bgvpek9kmes9s7os0a39i13qm4 | https://dvbwgdztaeq9o.cloudfront.net/23soa2bgvpek9kmes9s7os0a39i13qm4 

   2

   
   ? Create hosted control plane operator roles: Yes
   W: More than one Installer role found
   ? Installer role ARN: arn:aws:iam::4540112244:role/<prefix>-HCP-ROSA-Installer-Role
   ? Permissions boundary ARN (optional):
   I: Reusable OIDC Configuration detected. Validating trusted relationships to operator roles:
   I: Creating roles using 'arn:aws:iam::4540112244:user/<userName>'
   I: Created role '<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials'
   I: Created role '<prefix>-openshift-cloud-network-config-controller-cloud-credenti' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cloud-network-config-controller-cloud-credenti'
   I: Created role '<prefix>-kube-system-kube-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kube-controller-manager'
   I: Created role '<prefix>-kube-system-capa-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-capa-controller-manager'
   I: Created role '<prefix>-kube-system-control-plane-operator' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-control-plane-operator'
   I: Created role '<prefix>-kube-system-kms-provider' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kms-provider'
   I: Created role '<prefix>-openshift-image-registry-installer-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-image-registry-installer-cloud-credentials'
   I: Created role '<prefix>-openshift-ingress-operator-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-ingress-operator-cloud-credentials'
   I: To create a cluster with these roles, run the following command:
   	rosa create cluster --sts --oidc-config-id 23soa2bgvpek9kmes9s7os0a39i13qm4 --operator-roles-prefix <prefix> --hosted-cp

   Copy to Clipboard Toggle word wrap

   1

   이 필드는 초기 생성 명령에서 설정한 접두사로 미리 채워집니다.

   2

   이 필드를 사용하려면 HCP 클러스터를 사용하여 ROSA에 대해 생성한 OIDC 구성을 선택해야 합니다.

   이제 Operator 역할이 생성되어 HCP 클러스터를 사용하여 ROSA를 생성할 준비가 되었습니다.

절차

1. 다음 명령을 실행하여 사용자 정의 AWS 고객 관리 KMS 키를 생성합니다.

   $ KMS_ARN=$(aws kms create-key --region $AWS_REGION --description 'Custom ROSA Encryption Key' --tags TagKey=red-hat,TagValue=true --query KeyMetadata.Arn --output text)

   Copy to Clipboard Toggle word wrap

   이 명령은 추가 단계를 위해 이 사용자 지정 키의 Amazon 리소스 이름(ARN) 출력을 저장합니다.

   참고

   고객은 고객 KMS 키에 필요한 --tags TagKey=red-hat,TagValue=true 인수를 제공해야 합니다.

2. 다음 명령을 실행하여 KMS 키가 생성되었는지 확인합니다.

   $ echo $KMS_ARN

   Copy to Clipboard Toggle word wrap

3. AWS 계정 ID를 환경 변수로 설정합니다.

   $ AWS_ACCOUNT_ID=<aws_account_id>

   Copy to Clipboard Toggle word wrap

4. 이전 단계에서 생성한 계정 전체 설치 관리자 역할 및 Operator 역할의 ARN을 파일의 Statement.Principal.AWS 섹션에 추가합니다. 다음 예에서는 기본 ManagedOpenShift-HCP-ROSA-Installer-Role 역할에 대한 ARN이 추가되었습니다.

   {
     "Version": "2012-10-17",
     "Id": "key-rosa-policy-1",
     "Statement": [
     {
                 "Sid": "Enable IAM User Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:root"
                 },
                 "Action": "kms:*",
                 "Resource": "*"
             },
           {
                 "Sid": "Installer Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/ManagedOpenShift-HCP-ROSA-Installer-Role"
                 },
                 "Action": [
                     "kms:CreateGrant",
                     "kms:DescribeKey",
                     "kms:GenerateDataKeyWithoutPlaintext"
                 ],
                 "Resource": "*"
             },
             {
                 "Sid": "ROSA KubeControllerManager Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/<operator_role_prefix>-kube-system-kube-controller-manager"
   
                 },
                 "Action": "kms:DescribeKey",
                 "Resource": "*"
             },
             {
                 "Sid": "ROSA KMS Provider Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/<operator_role_prefix>-kube-system-kms-provider"
                 },
                 "Action": [
                     "kms:Encrypt",
                     "kms:Decrypt",
                     "kms:DescribeKey"
                 ],
                 "Resource": "*"
             },
             {
                 "Sid": "ROSA NodeManager Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/<operator_role_prefix>-kube-system-capa-controller-manager"
                 },
                 "Action": [
                     "kms:DescribeKey",
                     "kms:GenerateDataKeyWithoutPlaintext",
                     "kms:CreateGrant"
                 ],
                 "Resource": "*"
             }
         ]
     }

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 생성된 정책 파일의 세부 정보를 확인합니다.

   $ cat rosa-key-policy.json

   Copy to Clipboard Toggle word wrap

6. 다음 명령을 실행하여 새로 생성된 키 정책을 사용자 정의 KMS 키에 적용합니다.

   $ aws kms put-key-policy --key-id $KMS_ARN \
   --policy file://rosa-key-policy.json \
   --policy-name default

   Copy to Clipboard Toggle word wrap

7. 다음 명령을 실행하여 클러스터를 생성합니다.

   참고

   클러스터 이름이 15자보다 긴 경우 *.openshiftapps.com 에서 프로비저닝된 클러스터의 하위 도메인으로 자동 생성된 도메인 접두사가 포함됩니다.

   하위 도메인을 사용자 지정하려면 --domain-prefix 플래그를 사용합니다. 도메인 접두사는 15자를 초과할 수 없으며 고유해야 하며 클러스터 생성 후에는 변경할 수 없습니다.

   $ rosa create cluster --cluster-name <cluster_name> \
   --subnet-ids <private_subnet_id>,<public_subnet_id> \
   --sts \
   --mode auto \
   --machine-cidr 10.0.0.0/16 \
   --compute-machine-type m5.xlarge \
   --hosted-cp \
   --region <aws_region> \
   --oidc-config-id $OIDC_ID \
   --kms-key-arn $KMS_ARN \ 

   1

   
   --etcd-encryption-kms-arn $KMS_ARN \ 

   2

   
   --operator-roles-prefix $OPERATOR_ROLES_PREFIX

   Copy to Clipboard Toggle word wrap

   1

   이 KMS 키 ARN은 모든 작업자 노드 루트 볼륨을 암호화하는 데 사용됩니다. etcd 데이터베이스 암호화만 필요한 경우에는 필요하지 않습니다.

   2

   이 KMS 키 ARN은 etcd 데이터베이스를 암호화하는 데 사용됩니다. etcd 데이터베이스는 항상 AES 암호화 블록으로 암호화되지만 KMS 키를 사용하여 암호화할 수 있습니다. 노드 루트 볼륨 암호화만 필요한 경우에는 필요하지 않습니다.

1. OpenShift Cluster Manager 로 이동하여 인스턴스를 선택합니다.
2. 인스턴스를 선택합니다.
3. 스토리지 탭을 클릭합니다.
4. KMS 키 ID 를 복사합니다.
5. 키 관리 서비스를 검색하고 선택합니다.
6. 필터 필드에 복사된 KMS 키 ID 를 입력합니다.

절차

1. 다음과 같이 --additional-allowed-principals 인수를 rosa create cluster 명령에 추가합니다.

   $ rosa create cluster [...] --additional-allowed-principals <arn_string>

   Copy to Clipboard Toggle word wrap

   arn:aws:iam::account_id:role/role_name 을 사용하여 특정 역할을 승인할 수 있습니다.

2. 클러스터 생성 명령이 실행되면 --additional-allowed-principals 가 지정된 클러스터 요약이 표시됩니다.

   출력 예

   Name:                       mycluster
   Domain Prefix:              mycluster
   Display Name:               mycluster
   ID:                         <cluster-id>
   External ID:                <cluster-id>
   Control Plane:              ROSA Service Hosted
   OpenShift Version:          4.15.17
   Channel Group:              stable
   DNS:                        Not ready
   AWS Account:                <aws_id>
   AWS Billing Account:        <aws_id>
   API URL:
   Console URL:
   Region:                     us-east-2
   Availability:
    - Control Plane:           MultiAZ
    - Data Plane:              SingleAZ
   
   Nodes:
    - Compute (desired):       2
    - Compute (current):       0
   Network:
    - Type:                    OVNKubernetes
    - Service CIDR:            172.30.0.0/16
    - Machine CIDR:            10.0.0.0/16
    - Pod CIDR:                10.128.0.0/14
    - Host Prefix:             /23
    - Subnets:                 subnet-453e99d40, subnet-666847ce827
   EC2 Metadata Http Tokens:   optional
   Role (STS) ARN:             arn:aws:iam::<aws_id>:role/mycluster-HCP-ROSA-Installer-Role
   Support Role ARN:           arn:aws:iam::<aws_id>:role/mycluster-HCP-ROSA-Support-Role
   Instance IAM Roles:
    - Worker:                  arn:aws:iam::<aws_id>:role/mycluster-HCP-ROSA-Worker-Role
   Operator IAM Roles:
    - arn:aws:iam::<aws_id>:role/mycluster-kube-system-control-plane-operator
    - arn:aws:iam::<aws_id>:role/mycluster-openshift-cloud-network-config-controller-cloud-creden
    - arn:aws:iam::<aws_id>:role/mycluster-openshift-image-registry-installer-cloud-credentials
    - arn:aws:iam::<aws_id>:role/mycluster-openshift-ingress-operator-cloud-credentials
    - arn:aws:iam::<aws_id>:role/mycluster-openshift-cluster-csi-drivers-ebs-cloud-credentials
    - arn:aws:iam::<aws_id>:role/mycluster-kube-system-kms-provider
    - arn:aws:iam::<aws_id>:role/mycluster-kube-system-kube-controller-manager
    - arn:aws:iam::<aws_id>:role/mycluster-kube-system-capa-controller-manager
   Managed Policies:           Yes
   State:                      waiting (Waiting for user action)
   Private:                    No
   Delete Protection:          Disabled
   Created:                    Jun 25 2024 13:36:37 UTC
   User Workload Monitoring:   Enabled
   Details Page:               https://console.redhat.com/openshift/details/s/Bvbok4O79q1Vg8
   OIDC Endpoint URL:          https://oidc.op1.openshiftapps.com/vhufi5lap6vbl3jlq20e (Managed)
   Audit Log Forwarding:       Disabled
   External Authentication:    Disabled
   Additional Principals:      arn:aws:iam::<aws_id>:role/additional-user-role

   Copy to Clipboard Toggle word wrap

절차

1. 다음 명령을 실행하여 터미널에서 리소스를 태그합니다.

   1. 퍼블릭 서브넷의 경우 다음을 실행합니다.

      $ aws ec2 create-tags --resources <public-subnet-id> --region <aws_region> --tags Key=kubernetes.io/role/elb,Value=1

      Copy to Clipboard Toggle word wrap

   2. 프라이빗 서브넷의 경우 다음을 실행합니다.

      $ aws ec2 create-tags --resources <private-subnet-id> --region <aws_region> --tags Key=kubernetes.io/role/internal-elb,Value=1

      Copy to Clipboard Toggle word wrap

절차

1. 다음 명령을 실행하여 AWS 보안 그룹을 생성합니다.

   $ aws ec2 create-security-group \
           --group-name allow-inbound-traffic \
           --description "allow inbound traffic" \
           --vpc-id <vpc_id> \ 

   1

   
           --region <aws_region> \ 

   2

   Copy to Clipboard Toggle word wrap

   1

   VPC ID를 입력합니다.

   2

   VPC가 설치된 AWS 리전을 입력합니다.

2. 다음 명령을 실행하여 보안 그룹의 수신에 대한 액세스 권한을 부여합니다.

   $ aws ec2 authorize-security-group-ingress \
           --group-id <group_id> \ 

   1

   
           --protocol -1 \
           --port 0-0 \
           --cidr <vpc_cidr> \ 

   2

   
           --region <aws_region> \ 

   3

   Copy to Clipboard Toggle word wrap

   1

   --group-id 는 이전 명령으로 생성된 보안 그룹의 ID를 사용합니다.

   2

   VPC의 CIDR을 입력합니다.

   3

   VPC를 설치한 AWS 리전

3. 다음 명령을 실행하여 STS VPC 끝점을 생성합니다.

   $ aws ec2 create-vpc-endpoint \
       --vpc-id <vpc_id> \ 

   1

   
       --service-name com.amazonaws.<aws_region>.sts \ 

   2

   
       --vpc-endpoint-type Interface

   Copy to Clipboard Toggle word wrap

   1

   VPC ID를 입력합니다.

   2

   VPC가 설치된 AWS 리전을 입력합니다.

4. 다음 명령을 실행하여 ECR VPC 끝점을 생성합니다.

   $ aws ec2 create-vpc-endpoint \
       --vpc-id <vpc_id> \
       --service-name com.amazonaws.<aws_region>.ecr.dkr \ 

   1

   
       --vpc-endpoint-type Interface

   Copy to Clipboard Toggle word wrap

   1

   VPC가 있는 AWS 리전을 입력합니다.

5. 다음 명령을 실행하여 S3 VPC 끝점을 생성합니다.

   $ aws ec2 create-vpc-endpoint \
       --vpc-id <vpc_id> \
       --service-name com.amazonaws.<aws_region>.s3

   Copy to Clipboard Toggle word wrap