10.4. 启用基于令牌的身份验证

流程

1. 运行以下命令，为 OpenShift Container Platform 发行镜像设置变量：

   $ RELEASE_IMAGE=$(oc get clusterversion -o jsonpath={..desired.image})

2. 运行以下命令，从 OpenShift Container Platform 发行镜像获取 CCO 容器镜像：

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)

   注意

   确保 $RELEASE_IMAGE 的架构与将使用 ccoctl 工具的环境架构相匹配。

3. 运行以下命令，将 CCO 容器镜像中的 ccoctl 二进制文件提取到 OpenShift Container Platform 发行镜像中：

   $ oc image extract $CCO_IMAGE \
     --file="/usr/bin/ccoctl.<rhel_version>" \

   1

   
     -a ~/.pull-secret

   1

   对于 <rhel_version>，请指定与主机使用的 Red Hat Enterprise Linux (RHEL) 版本对应的值。如果没有指定值，则默认使用 ccoctl.rhel8。以下值有效：

   • rhel8: 为使用 RHEL 8 的主机指定这个值。
   • rhel9 ：为使用 RHEL 9 的主机指定这个值。

   注意

   ccoctl 二进制文件在您执行此命令的目录中创建，而不是在 /usr/bin/ 中创建。您必须重命名目录或将 ccoctl.<rhel_version> 二进制文件移到 ccoctl。

4. 运行以下命令更改权限以使 ccoctl 可执行：

   $ chmod 775 ccoctl

流程

1. 为 ccoctl 工具生成的清单创建一个输出目录。此流程使用 ./output_dir 作为示例。

2. 运行以下命令，将集群的服务帐户公钥密钥提取到输出目录中：

   $ oc get secret/next-bound-service-account-signing-key \
     -n openshift-kube-apiserver-operator \
     -ojsonpath='{ .data.service-account\.pub }' | base64 -d \
     > output_dir/serviceaccount-signer.public 

   1

   1

   此流程使用名为 serviceaccount-signer.public 的文件作为示例。

3. 运行以下命令，使用提取的服务帐户公钥创建 OpenID Connect (OIDC) 签发者和 Azure blob 存储容器：

   $ ./ccoctl azure create-oidc-issuer \
     --name <azure_infra_name> \

   1

   
     --output-dir ./output_dir \
     --region <azure_region> \

   2

   
     --subscription-id <azure_subscription_id> \

   3

   
     --tenant-id <azure_tenant_id> \
     --public-key-file ./output_dir/serviceaccount-signer.public 

   4

   1

   name 参数的值用于创建 Azure 资源组。要使用现有的 Azure 资源组而不是创建新 Azure 资源组，请使用现有组名称指定 --oidc-resource-group-name 参数作为其值。

   2

   指定现有集群的区域。

   3

   指定现有集群的订阅 ID。

   4

   指定包含集群服务帐户公钥的文件。

4. 运行以下命令，验证 Azure pod 身份 Webhook 的配置文件是否已创建：

   $ ll ./output_dir/manifests

   输出示例

   total 8
   -rw-------. 1 cloud-user cloud-user 193 May 22 02:29 azure-ad-pod-identity-webhook-config.yaml 

   1

   
   -rw-------. 1 cloud-user cloud-user 165 May 22 02:29 cluster-authentication-02-config.yaml

   1

   文件 azure-ad-pod-identity-webhook-config.yaml 包含 Azure pod 身份 Webhook 配置。

5. 运行以下命令，使用输出目录中生成的清单中的 OIDC_ISSUER_URL 变量设置 OIDC_ISSUER_URL 变量：

   $ OIDC_ISSUER_URL=`awk '/serviceAccountIssuer/ { print $2 }' ./output_dir/manifests/cluster-authentication-02-config.yaml`

6. 运行以下命令，更新集群 身份验证 配置的 spec.serviceAccountIssuer 参数：

   $ oc patch authentication cluster \
     --type=merge \
     -p "{\"spec\":{\"serviceAccountIssuer\":\"${OIDC_ISSUER_URL}\"}}"

7. 运行以下命令监控配置更新进度：

   $ oc adm wait-for-stable-cluster

   这个过程可能需要 15 分钟或更长时间。以下输出表示进程已完成：

   All clusteroperators are stable

8. 运行以下命令重启集群中的所有 pod：

   $ oc adm reboot-machine-config-pool mcp/worker mcp/master

   重启 pod 会更新 serviceAccountIssuer 字段，并刷新服务帐户公钥。

9. 运行以下命令监控重启和更新进程：

   $ oc adm wait-for-node-reboot nodes --all

   这个过程可能需要 15 分钟或更长时间。以下输出表示进程已完成：

   All nodes rebooted

10. 运行以下命令，将 Cloud Credential Operator spec.credentialsMode 参数更新为 Manual ：

    $ oc patch cloudcredential cluster \
      --type=merge \
      --patch '{"spec":{"credentialsMode":"Manual"}}'

11. 运行以下命令，从 OpenShift Container Platform 发行镜像中提取 CredentialsRequest 对象列表：

    $ oc adm release extract \
      --credentials-requests \
      --included \
      --to <path_to_directory_for_credentials_requests> \
      --registry-config ~/.pull-secret

    注意

    此命令可能需要一些时间才能运行。

12. 运行以下命令，使用 Azure 资源组名称设置 AZURE_INSTALL_RG 变量：

    $ AZURE_INSTALL_RG=`oc get infrastructure cluster -o jsonpath --template '{ .status.platformStatus.azure.resourceGroupName }'`

13. 运行以下命令，使用 ccoctl 工具为所有 CredentialsRequest 对象创建受管身份：

    注意

    以下命令没有显示所有可用的选项。如需完整的选项列表，包括可能需要特定用例的选项列表，请运行 $ ccoctl azure create-managed-identities --help。

    $ ccoctl azure create-managed-identities \
      --name <azure_infra_name> \
      --output-dir ./output_dir \
      --region <azure_region> \
      --subscription-id <azure_subscription_id> \
      --credentials-requests-dir <path_to_directory_for_credentials_requests> \
      --issuer-url "${OIDC_ISSUER_URL}" \
      --dnszone-resource-group-name <azure_dns_zone_resourcegroup_name> \

    1

    
      --installation-resource-group-name "${AZURE_INSTALL_RG}" \
      --network-resource-group-name <azure_resource_group> 

    2

    1

    指定包含 DNS 区的资源组的名称。

    2

    可选：如果虚拟网络资源组与 cluster 资源组不同，则指定它。

14. 运行以下命令，为 Workload ID 应用 Azure pod 身份 Webhook 配置：

    $ oc apply -f ./output_dir/manifests/azure-ad-pod-identity-webhook-config.yaml

15. 运行以下命令应用 ccoctl 工具生成的 secret：

    $ find ./output_dir/manifests -iname "openshift*yaml" -print0 | xargs -I {} -0 -t oc replace -f {}

    这可能需要几分钟。

16. 运行以下命令重启集群中的所有 pod：

    $ oc adm reboot-machine-config-pool mcp/worker mcp/master

    重启 pod 会更新 serviceAccountIssuer 字段，并刷新服务帐户公钥。

17. 运行以下命令监控重启和更新进程：

    $ oc adm wait-for-node-reboot nodes --all

    这个过程可能需要 15 分钟或更长时间。以下输出表示进程已完成：

    All nodes rebooted

18. 运行以下命令监控配置更新进度：

    $ oc adm wait-for-stable-cluster

    这个过程可能需要 15 分钟或更长时间。以下输出表示进程已完成：

    All clusteroperators are stable

19. 可选：运行以下命令来删除 Azure root 凭证 secret：

    $ oc delete secret -n kube-system azure-credentials

流程

1. 为 ccoctl 生成的清单创建一个输出目录。

   $ mkdir ./output_dir

2. 创建 AWS Identity and Access Management (IAM) OpenID Connect (OIDC)供应商。

   1. 运行以下命令，为集群提取服务帐户公钥：

      $ oc get secret/next-bound-service-account-signing-key \
        -n openshift-kube-apiserver-operator \
        -ojsonpath='{ .data.service-account\.pub }' | base64 -d \
        > output_dir/serviceaccount-signer.public 

      1

      1

      此流程使用名为 serviceaccount-signer.public 的文件作为示例。

   2. 运行以下命令来创建 AWS IAM 身份提供程序和 S3 存储桶：

      $ ./ccoctl aws create-identity-provider \
        --output-dir output_dir \ 

      1

      
        --name <name_you_choose> \ 

      2

      
        --region us-east-2 \ 

      3

      
        --public-key-file output_dir/serviceaccount-signer.public 

      4

      1

      指定您之前创建的输出目录。

      2

      指定全局唯一名称。此名称功能作为此命令创建的 AWS 资源的前缀。

      3

      指定集群的 AWS 区域。

      4

      指定到之前创建的 serviceaccount-signer.public 文件的相对路径。

   3. 保存或记下 IAM 身份提供程序的 Amazon 资源名称(ARN)。您可以在上一命令输出的最后一行中找到此信息。

3. 更新集群身份验证配置。

   1. 运行以下命令提取 OIDC 签发者 URL 并更新集群的身份验证配置：

      $ OIDC_ISSUER_URL=`awk '/serviceAccountIssuer/ { print $2 }' output_dir/manifests/cluster-authentication-02-config.yaml`
      $ oc patch authentication cluster --type=merge -p "{\"spec\":{\"serviceAccountIssuer\":\"${OIDC_ISSUER_URL}\"}}"

   2. 运行以下命令监控配置更新进度：

      $ oc adm wait-for-stable-cluster

      这个过程可能需要 15 分钟或更长时间。以下输出表示进程已完成：

      All clusteroperators are stable

4. 重启 pod 以应用签发者更新。

   1. 运行以下命令重启集群中的所有 pod：

      $ oc adm reboot-machine-config-pool mcp/worker mcp/master

      重启 pod 会更新 serviceAccountIssuer 字段，并刷新服务帐户公钥。

   2. 运行以下命令监控重启和更新进程：

      $ oc adm wait-for-node-reboot nodes --all

      这个过程可能需要 15 分钟或更长时间。以下输出表示进程已完成：

      All nodes rebooted

5. 运行以下命令，将 Cloud Credential Operator spec.credentialsMode 参数更新为 Manual ：

   $ oc patch cloudcredential cluster \
     --type=merge \
     --patch '{"spec":{"credentialsMode":"Manual"}}'

6. 提取 CredentialsRequests 对象。

   1. 运行以下命令来创建 CLUSTER_VERSION 环境变量：

      $ CLUSTER_VERSION=$(oc get clusterversion version -o json | jq -r '.status.desired.version')

   2. 运行以下命令来创建 CLUSTER_IMAGE 环境变量：

      $ CLUSTER_IMAGE=$(oc get clusterversion version -o json | jq -r ".status.history[] | select(.version == \"${CLUSTER_VERSION}\") | .image")

   3. 运行以下命令，从发行镜像中提取 CredentialsRequests 对象：

      $ oc adm release extract \
        --credentials-requests \
        --cloud=aws \
        --from ${CLUSTER_IMAGE} \
        --to output_dir/cred-reqs

7. 创建 AWS IAM 角色并应用 secret。

   1. 运行以下命令，为每个 CredentialsRequests 对象创建一个 IAM 角色：

      $ ./ccoctl aws create-iam-roles \
        --output-dir ./output_dir/ \ 

      1

      
        --name <name_you_choose> \ 

      2

      
        --identity-provider-arn <identity_provider_arn> \ 

      3

      
        --region us-east-2 \ 

      4

      
        --credentials-requests-dir ./output_dir/cred-reqs/ 

      5

      1

      指定您之前创建的输出目录。

      2

      指定全局唯一名称。此名称功能作为此命令创建的 AWS 资源的前缀。

      3

      指定 IAM 身份提供程序的 ARN。

      4

      指定集群的 AWS 区域。

      5

      指定到您使用 oc adm release extract 命令提取 CredentialsRequest 文件的文件夹的相对路径。

   2. 运行以下命令来应用生成的 secret：

      $ find ./output_dir/manifests -iname "openshift*yaml" -print0 | xargs -I {} -0 -t oc replace -f {}

8. 通过重启集群来完成配置过程。

   1. 运行以下命令重启集群中的所有 pod：

      $ oc adm reboot-machine-config-pool mcp/worker mcp/master

   2. 运行以下命令监控重启和更新进程：

      $ oc adm wait-for-node-reboot nodes --all

      这个过程可能需要 15 分钟或更长时间。以下输出表示进程已完成：

      All nodes rebooted

   3. 运行以下命令监控配置更新进度：

      $ oc adm wait-for-stable-cluster

      这个过程可能需要 15 分钟或更长时间。以下输出表示进程已完成：

      All clusteroperators are stable

9. 可选：运行以下命令来删除 AWS 根凭证 secret：

   $ oc delete secret -n kube-system aws-creds