4장. AWS Load Balancer Operator

절차

1. 다음 명령을 실행하여 클러스터 인프라 ID와 클러스터 OpenID Connect(OIDC) DNS를 식별합니다.

   1. ROSA 클러스터 INFRA ID를 식별합니다.

      $ rosa describe cluster --cluster=<cluster_name> | grep -i 'Infra ID'

      또는

      $ oc get infrastructure cluster -o json | jq -r '.status.infrastructureName'

   2. ROSA 클러스터 OIDC DNS를 식별합니다.

      $ rosa describe cluster --cluster=<cluster_name> | grep -i 'OIDC'

      명령의 출력을 저장합니다. 이 정보는 이 절차의 향후 단계에서 사용됩니다.

2. ALBO에 필요한 AWS IAM 정책을 생성합니다.

   1. dedicated-admin 역할의 사용자로 ROSA 클러스터에 로그인하고 다음 명령을 사용하여 새 프로젝트를 생성합니다.

      $ oc new-project aws-load-balancer-operator

   2. 새로 생성된 AWS IAM 역할에 다음 신뢰 정책을 할당합니다.

      $ IDP='{Cluster_OIDC_Endpoint}'
      $ IDP_ARN="arn:aws:iam::{AWS_AccountNo}:oidc-provider/${IDP}" 1
      $ cat <<EOF > albo-operator-trusted-policy.json
      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "Federated": "${IDP_ARN}"
                  },
                  "Action": "sts:AssumeRoleWithWebIdentity",
                  "Condition": {
                      "StringEquals": {
                          "${IDP}:sub": "system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-operator-controller-manager"
                      }
                  }
              }
          ]
      }
      EOF

      1

      '{AWS_AccountNo}'를 AWS 계정 번호로 바꾸고 '{Cluster_OIDC_Endpoint}'를 이 절차의 앞부분에서 확인된 OIDC DNS로 바꿉니다.

      중요

      {Cluster_OIDC_Endpoint} 를 이전에 확인한 OIDC DNS로 교체할 때 OIDC DNS의 https 부분을 포함하지 마십시오. URL 내에서 / 를 따르는 영숫자 정보만 필요합니다.

      AWS IAM 역할에 신뢰 정책을 할당하는 방법에 대한 자세한 내용은 IAM 역할과 함께 신뢰 정책을 사용하는 방법을 참조하십시오.

   3. 생성된 신뢰 정책을 사용하여 역할을 생성하고 확인합니다.

      $ aws iam create-role --role-name albo-operator --assume-role-policy-document file://albo-operator-trusted-policy.json
      $ OPERATOR_ROLE_ARN=$(aws iam get-role --role-name albo-operator --output json | jq -r '.Role.Arn')
      $ echo $OPERATOR_ROLE_ARN

      AWS IAM 역할 생성에 대한 자세한 내용은 IAM 역할 생성 을 참조하십시오.

   4. Operator의 권한 정책을 역할에 연결합니다.

      $ curl -o albo-operator-permission-policy.json https://raw.githubusercontent.com/openshift/aws-load-balancer-operator/release-1.1/hack/operator-permission-policy.json
      $ aws iam put-role-policy --role-name albo-operator --policy-name perms-policy-albo-operator --policy-document file://albo-operator-permission-policy.json

      AWS IAM 역할에 AWS IAM 권한을 추가하는 방법에 대한 자세한 내용은 IAM ID 권한 추가 및 제거를 참조하십시오.

   5. Operator의 AWS 인증 정보를 생성합니다.

      $ cat <<EOF> albo-operator-aws-credentials.cfg
      [default]
      sts_regional_endpoints = regional
      role_arn = ${OPERATOR_ROLE_ARN}
      web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token
      EOF

      인증 정보 파일 포맷에 대한 자세한 내용은 Amazon Web Services 보안 토큰 서비스에서 수동 모드 사용을 참조하십시오.

   6. 생성된 AWS 인증 정보를 사용하여 Operator의 인증 정보 시크릿을 생성합니다.

      $ oc -n aws-load-balancer-operator create secret generic aws-load-balancer-operator --from-file=credentials=albo-operator-aws-credentials.cfg

3. AWS Load Balancer 컨트롤러에 필요한 AWS IAM 정책을 생성합니다.

   1. ID 공급자에 대한 신뢰 정책 파일을 생성합니다. 다음 예제에서는 OpenID Connect를 사용합니다.

      $ IDP='{Cluster_OIDC_Endpoint}'
      $ IDP_ARN="arn:aws:iam::{AWS_AccountNo}:oidc-provider/${IDP}"
      $ cat <<EOF > albo-controller-trusted-policy.json
      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "Federated": "${IDP_ARN}"
                  },
                  "Action": "sts:AssumeRoleWithWebIdentity",
                  "Condition": {
                      "StringEquals": {
                          "${IDP}:sub": "system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-controller-cluster"
                      }
                  }
              }
          ]
      }
      EOF

   2. 생성된 신뢰 정책을 사용하여 역할을 생성하고 확인합니다.

      $ aws iam create-role --role-name albo-controller --assume-role-policy-document file://albo-controller-trusted-policy.json
      $ CONTROLLER_ROLE_ARN=$(aws iam get-role --role-name albo-controller --output json | jq -r '.Role.Arn')
      $ echo $CONTROLLER_ROLE_ARN

   3. 컨트롤러의 권한 정책을 역할에 연결합니다.

      $ curl -o albo-controller-permission-policy.json https://raw.githubusercontent.com/kubernetes-sigs/aws-load-balancer-controller/v2.4.7/docs/install/iam_policy.json
      $ aws iam put-role-policy --role-name albo-controller --policy-name perms-policy-albo-controller --policy-document file://albo-controller-permission-policy.json

   4. 컨트롤러의 AWS 인증 정보를 생성합니다.

      $ cat <<EOF > albo-controller-aws-credentials.cfg
      [default]
      sts_regional_endpoints = regional
      role_arn = ${CONTROLLER_ROLE_ARN}
      web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token
      EOF

   5. 생성된 AWS 인증 정보를 사용하여 컨트롤러의 인증 정보 시크릿을 생성합니다.

      $ oc -n aws-load-balancer-operator create secret generic aws-load-balancer-controller-cluster --from-file=credentials=albo-controller-aws-credentials.cfg

4. 서브넷 검색에 필요한 태그를 추가합니다.

   1. ROSA 클러스터를 호스팅하는 VPC 및 모든 서브넷에 다음 {Key: Value} 태그를 추가합니다. {Cluster Infra ID} 를 이전에 지정한 Infra ID로 바꿉니다.

      * kubernetes.io/cluster/${Cluster Infra ID}:owned

   2. 다음 ELBv2 {Key: Value} 태그를 프라이빗 서브넷에 추가하고 필요한 경우 퍼블릭 서브넷에 추가합니다.

      • 프라이빗 서브넷: kubernetes.io/role/internal-elb:1

      • 퍼블릭 서브넷: kubernetes.io/role/elb:1

        참고

        인터넷 및 내부 로드 밸런서는 이러한 서브넷이 속한 AZ 내에 생성됩니다.

        VPC 및 서브넷을 포함한 AWS 리소스에 태그를 추가하는 방법에 대한 자세한 내용은 Amazon EC2 리소스 태그를 참조하십시오.

        중요

        ALBO에서 생성한 ELBv2 리소스(예: ALB 및 NLB)는 ROSA 클러스터에 설정된 사용자 정의 태그를 상속하지 않습니다. 이러한 리소스에 대해 태그를 별도로 설정해야 합니다.

5. ALBO를 생성합니다.

   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     upgradeStrategy: Default
   ---
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     channel: stable-v1.0
     installPlanApproval: Automatic
     name: aws-load-balancer-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: aws-load-balancer-operator.v1.0.0

6. AWS ALBC를 생성합니다.

   apiVersion: networking.olm.openshift.io/v1
   kind: AWSLoadBalancerController
   metadata:
     name: cluster
   spec:
     subnetTagging: Manual
     credentials:
       name: aws-load-balancer-controller-cluster

   중요

   AWS ALBCs는 AZ 및 AWS LZ와 관련된 ALB 생성을 지원하지 않으므로 ROSA 클러스터는 AWS LZ 또는 AZ와 독점적으로 연결된 ALB를 가질 수 있지만 동시에 둘 다 사용할 수 없습니다.

   AWS ALBC 구성에 대한 자세한 내용은 다음 항목을 참조하십시오.

   • 여러 수신 생성
   • TLS 종료 추가