18.13. 튜토리얼: AWS 서비스와 통합

필터 상자에 "S3"를 입력하고 AWS Controller for Kubernetes - Amazon S3 를 선택합니다.

"업데이트 승인"에서 수동 을 선택합니다.

설치를 클릭합니다.

설정은 아래 이미지와 같아야 합니다.

다음 스크립트 중 하나를 실행하여 ACK 컨트롤러에 대한 AWS IAM 역할을 생성하고 S3 정책을 할당합니다.

다음 명령을 실행하여 환경 변수가 설정되었는지 확인합니다.

$ oc describe pod ack-s3-controller -n ack-system | grep "^\s*AWS_"

AWS_ROLE_ARN:                 arn:aws:iam::000000000000:role/ack-s3-controller
AWS_WEB_IDENTITY_TOKEN_FILE:  /var/run/secrets/eks.amazonaws.com/serviceaccount/token

Operator 및 설치된 Operator를 클릭하여 웹 콘솔에서 ACK 컨트롤러의 설치를 성공적으로 확인합니다.

Operator 설치 및 환경 변수가 표시되지 않는 경우 다음 명령을 실행하여 배포를 수동으로 다시 시작합니다.

$ oc rollout restart deployment ack-s3-controller -n ack-system

다음 명령을 실행하여 OSToy에 대한 새 고유 프로젝트를 생성합니다.

$ oc new-project ostoy-$(uuidgen | cut -d - -f 2 | tr '[:upper:]' '[:lower:]')

다음 명령을 실행하여 네임스페이스 및 프로젝트의 이름을 환경 변수에 저장합니다.

$ export OSTOY_NAMESPACE=$(oc config view --minify -o 'jsonpath={..namespace}')

다음 명령을 실행하여 AWS 계정 ID를 가져옵니다.

$ export AWS_ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)

다음 명령을 실행하여 OIDC 공급자를 가져와서 < cluster-name >을 클러스터 이름으로 교체합니다.

$ export OIDC_PROVIDER=$(rosa describe cluster -c <cluster-name> -o yaml | awk '/oidc_endpoint_url/ {print $2}' | cut -d '/' -f 3,4)

다음 명령을 실행하여 신뢰 정책 파일을 생성합니다.

$ cat <<EOF > ./ostoy-sa-trust.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::${AWS_ACCOUNT_ID}:oidc-provider/${OIDC_PROVIDER}"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "${OIDC_PROVIDER}:sub": "system:serviceaccount:${OSTOY_NAMESPACE}:ostoy-sa"
        }
      }
    }
  ]
}
EOF

다음 명령을 실행하여 서비스 계정과 함께 사용할 AWS IAM 역할을 생성합니다.

$ aws iam create-role --role-name "ostoy-sa-role" --assume-role-policy-document file://ostoy-sa-trust.json

다음 명령을 실행하여 S3 전체 액세스 정책 ARN을 가져옵니다.

$ export POLICY_ARN=$(aws iam list-policies --query 'Policies[?PolicyName==`AmazonS3FullAccess`].Arn' --output text)

다음 명령을 실행하여 AWS IAM 역할에 정책을 연결합니다.

$ aws iam attach-role-policy --role-name "ostoy-sa-role" --policy-arn "${POLICY_ARN}"

다음 명령을 실행하여 서비스 계정을 생성할 때 주석으로 포함되도록 생성한 AWS IAM 역할에 대한 ARN을 가져옵니다.

$ export APP_IAM_ROLE_ARN=$(aws iam get-role --role-name=ostoy-sa-role --query Role.Arn --output text)

다음 명령을 실행하여 서비스 계정을 생성합니다.

$ cat <<EOF | oc apply -f -
apiVersion: v1
kind: ServiceAccount
metadata:
  name: ostoy-sa
  namespace: ${OSTOY_NAMESPACE}
  annotations:
    eks.amazonaws.com/role-arn: "$APP_IAM_ROLE_ARN"
EOF

다음 명령을 실행하여 서비스 계정에 restricted 역할을 부여합니다.

$ oc adm policy add-scc-to-user restricted system:serviceaccount:${OSTOY_NAMESPACE}:ostoy-sa

다음 명령을 실행하여 주석이 성공했는지 확인합니다.

$ oc describe serviceaccount ostoy-sa -n ${OSTOY_NAMESPACE}

Name:                ostoy-sa
Namespace:           ostoy
Labels:              <none>
Annotations:         eks.amazonaws.com/role-arn: arn:aws:iam::000000000000:role/ostoy-sa-role
Image pull secrets:  ostoy-sa-dockercfg-b2l94
Mountable secrets:   ostoy-sa-dockercfg-b2l94
Tokens:              ostoy-sa-token-jlc6d
Events:              <none>

다음 명령을 실행하여 매니페스트 파일을 사용하여 S3 버킷을 생성합니다.

$ cat <<EOF | oc apply -f -
apiVersion: s3.services.k8s.aws/v1alpha1
kind: Bucket
metadata:
  name: ${OSTOY_NAMESPACE}-bucket
  namespace: ${OSTOY_NAMESPACE}
spec:
  name: ${OSTOY_NAMESPACE}-bucket
EOF

다음 명령을 실행하여 버킷이 생성되었는지 확인합니다.

$ aws s3 ls | grep ${OSTOY_NAMESPACE}-bucket

다음 명령을 실행하여 마이크로 서비스를 배포합니다.

$ - oc apply -f https://raw.githubusercontent.com/openshift-cs/rosaworkshop/master/rosa-workshop/ostoy/yaml/ostoy-microservice-deployment.yaml

다음 명령을 실행하여 ostoy-frontend 를 배포합니다.

$ - oc apply -f https://raw.githubusercontent.com/openshift-cs/rosaworkshop/master/rosa-workshop/ostoy/yaml/ostoy-frontend-deployment.yaml

다음 명령을 실행하여 ostoy-frontend 배포를 패치합니다.

$ oc patch deploy ostoy-frontend -n ${OSTOY_NAMESPACE} --type=merge --patch '{"spec": {"template": {"spec":{"serviceAccount":"ostoy-sa"}}}}'

spec:
  # Uncomment to use with ACK portion of the workshop
  # If you chose a different service account name please replace it.
  serviceAccount: ostoy-sa
  containers:
  - name: ostoy-frontend
    image: quay.io/ostoylab/ostoy-frontend:1.6.0
    imagePullPolicy: IfNotPresent
[...]

다음 명령을 실행하여 새로 배포된 애플리케이션의 경로를 가져옵니다.

$ oc get route ostoy-route -n ${OSTOY_NAMESPACE} -o jsonpath='{.spec.host}{"\n"}'

새 브라우저 탭을 열고 이전 단계에서 가져온 경로를 입력합니다.

새 버킷이므로 버킷이 비어 있어야 합니다.

파일 생성을 클릭합니다.

파일 이름을 클릭하여 파일을 확인합니다.

다음 명령을 실행하여 버킷의 콘텐츠를 나열하여 AWS CLI로 확인합니다.

$ aws s3 ls s3://${OSTOY_NAMESPACE}-bucket

$ aws s3 ls s3://ostoy-bucket
2023-05-04 22:20:51         51 OSToy.txt