10.4. 部署 Zero Trust Workload Identity Manager 操作对象

流程

1. 创建 SpireServer CR：

   1. 创建一个 YAML 文件来定义 SpireServer CR，如 SpireServer.yaml ：

      SpireServer.yaml 示例

      apiVersion: operator.openshift.io/v1alpha1
      kind: SpireServer
      metadata:
        name: cluster
      spec:
        trustDomain: <trust_domain> 

      1

      
        clusterName: <cluster_name> 

      2

      
        caSubject:
          commonName: example.org 

      3

      
          country: "US" 

      4

      
          organization: "RH" 

      5

      
        persistence:
          type: pvc 

      6

      
          size: "5Gi" 

      7

      
          accessMode: ReadWriteOnce 

      8

      
        datastore:
          databaseType: sqlite3
          connectionString: "/run/spire/data/datastore.sqlite3"
          maxOpenConns: 100 

      9

      
          maxIdleConns: 2 

      10

      
          connMaxLifetime: 3600 

      11

      
        jwtIssuer: <jwt_issuer_domain> 

      12

      Copy to Clipboard Toggle word wrap

      1

      用于 SPIFFE 标识符的信任域。

      2

      集群的名称。

      3

      SPIRE 服务器 CA 的通用名称。

      4

      SPIRE 服务器 CA 的国家。

      5

      SPIRE 服务器 CA 的机构。

      6

      用于持久性的卷类型。有效选项为 pvc 和 hostPath。

      7

      用于持久性的卷大小

      8

      用于持久性的访问模式。有效选项有 ReadWriteOnce,ReadWriteOncePod, 和 ReadWriteMany。

      9

      开放数据库连接的最大数量。

      10

      池中的最大闲置连接数。

      11

      可重复使用连接的最大时间量。要指定无限时间，您可以将值设为 0。

      12

      JSON Web Token (JWT) 签发者域。该值必须是有效的 URL。

   2. 运行以下命令来应用配置：

      $ oc apply -f SpireServer.yaml

      Copy to Clipboard Toggle word wrap

流程

1. 创建 SpireAgent CR：

   1. 创建一个定义 SpireAgent CR 的 YAML 文件，如 SpireAgent.yaml ：

      SpireAgent.yaml 示例

      apiVersion: operator.openshift.io/v1alpha1
      kind: SpireAgent
      metadata:
        name: cluster
      spec:
        trustDomain: <trust_domain> 

      1

      
        clusterName: <cluster_name> 

      2

      
        nodeAttestor:
          k8sPSATEnabled: "true" 

      3

      
        workloadAttestors:
          k8sEnabled: "true" 

      4

      
          workloadAttestorsVerification:
            type: "auto" 

      5

      Copy to Clipboard Toggle word wrap

      1

      用于 SPIFFE 标识符的信任域。

      2

      集群的名称。

      3

      在测试时启用或禁用投射服务帐户令牌 (PSAT) Kubernetes 节点。有效选项为 true 和 false。

      4

      在测试时启用或禁用 Kubernetes 工作负载。有效选项为 true 和 false。

      5

      针对 kubelet 完成的验证类型。有效选项为 auto,hostCert,apiServerCA,skip.auto 选项最初尝试使用 hostCert，然后回退到 apiServerCA。

   2. 运行以下命令来应用配置：

      $ oc apply -f SpireAgent.yaml

      Copy to Clipboard Toggle word wrap

流程

1. 创建 SpiffeCSIDriver CR：

   1. 创建一个定义 SpiffeCSIDriver CR 对象的 YAML 文件，如 SpiffeCSIDriver.yaml ：

      SpiffeCSIDriver.yaml示例

      apiVersion: operator.openshift.io/v1alpha1
      kind: SpiffeCSIDriver
      metadata:
        name: cluster
      spec:
        agentSocketPath: '/run/spire/agent-sockets/spire-agent.sock' 

      1

      Copy to Clipboard Toggle word wrap

      1

      到 SPIRE 代理的 UNIX 套接字路径。

   2. 运行以下命令来应用配置：

      $ oc apply -f SpiffeCSIDriver.yaml

      Copy to Clipboard Toggle word wrap

流程

1. 创建 SpireOIDCDiscoveryProvider CR：

   1. 创建一个 YAML 文件来定义 SpireOIDCDiscoveryProvider CR，例如 SpireOIDCDiscoveryProvider.yaml:

      SpireOIDCDiscoveryProvider.yaml 示例

      apiVersion: operator.openshift.io/v1alpha1
      kind: SpireOIDCDiscoveryProvider
      metadata:
        name: cluster
      spec:
        trustDomain: <trust_domain> 

      1

      
        agentSocketName: 'spire-agent.sock' 

      2

      
        jwtIssuer: <jwt_issuer_domain> 

      3

      Copy to Clipboard Toggle word wrap

      1

      用于 SPIFFE 标识符的信任域。

      2

      SPIRE Agent UNIX 套接字的名称。

      3

      JSON Web Token (JWT) 签发者域。该值必须是有效的 URL。

   2. 运行以下命令来应用配置：

      $ oc apply -f SpireOIDCDiscoveryProvider.yaml

      Copy to Clipboard Toggle word wrap

验证

1. 运行以下命令，验证 OIDC Discovery Provider 的部署是否已就绪并可用：

   $ oc get deployment -l app.kubernetes.io/name=spiffe-oidc-discovery-provider -n zero-trust-workload-identity-manager

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                                    READY  UP-TO-DATE  AVAILABLE  AGE
   spire-spiffe-oidc-discovery-provider    1/1    1           1          2m58s

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，验证 OIDC Discovery Provider pod 的状态是否为 Running ：

   $ oc get po -l app.kubernetes.io/name=spiffe-oidc-discovery-provider -n zero-trust-workload-identity-manager

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                                                    READY   STATUS    RESTARTS   AGE
   spire-spiffe-oidc-discovery-provider-64586d599f-lcc94   2/2     Running   0          7m15s

   Copy to Clipboard Toggle word wrap