4.12. 轮转或删除云供应商凭证

流程

1. 在 web 控制台的 Administrator 视角中，导航到 Workloads Secrets。

2. 在 Secrets 页面的表中，找到您的云供应商的 root secret。

   平台	Secret 名称
   AWS	aws-creds
   Azure	azure-credentials
   GCP	gcp-credentials
   RHOSP	openstack-credentials
   RHV	ovirt-credentials
   VMware vSphere	vsphere-creds

3. 点击与 secret 相同的行 中的 Options 菜单，然后选择 Edit Secret。
4. 记录 Value 字段的内容。您可以使用这些信息验证在更新凭证后该值是否不同。
5. 使用云供应商的新身份验证信息更新 Value 字段的文本，然后点 Save。

6. 如果您要为没有启用 vSphere CSI Driver Operator 的 vSphere 集群更新凭证，您必须强制推出 Kubernetes 控制器管理器以应用更新的凭证。

   注意

   如果启用了 vSphere CSI Driver Operator，则不需要这一步。

   要应用更新的 vSphere 凭证，请以具有 cluster-admin 角色的用户身份登录到 OpenShift Container Platform CLI，并运行以下命令：

   $ oc patch kubecontrollermanager cluster \
     -p='{"spec": {"forceRedeploymentReason": "recovery-'"$( date )"'"}}' \
     --type=merge

   当凭证被推出时，Kubernetes Controller Manager Operator 的状态会报告 Progressing=true。要查看状态，请运行以下命令：

   $ oc get co kube-controller-manager

7. 如果集群的 CCO 配置为使用 mint 模式，请删除各个 CredentialsRequest 对象引用的每个组件 secret。

   1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI。

   2. 获取所有引用的组件 secret 的名称和命名空间：

      $ oc -n openshift-cloud-credential-operator get CredentialsRequest \
        -o json | jq -r '.items[] | select (.spec.providerSpec.kind=="<provider_spec>") | .spec.secretRef'

      其中 <provider_spec> 是您的云供应商的对应值：

      • AWS: AWSProviderSpec
      • GCP: GCPProviderSpec

      AWS 输出的部分示例

      {
        "name": "ebs-cloud-credentials",
        "namespace": "openshift-cluster-csi-drivers"
      }
      {
        "name": "cloud-credential-operator-iam-ro-creds",
        "namespace": "openshift-cloud-credential-operator"
      }

   3. 删除每个引用的组件 secret：

      $ oc delete secret <secret_name> \1
        -n <secret_namespace> 2

      1

      指定 secret 的名称。

      2

      指定包含 secret 的命名空间。

      删除 AWS secret 示例

      $ oc delete secret ebs-cloud-credentials -n openshift-cluster-csi-drivers

      您不需要从供应商控制台手动删除凭证。删除引用的组件 secret 将导致 CCO 从平台中删除现有凭证并创建新凭证。

1. 在 web 控制台的 Administrator 视角中，导航到 Workloads Secrets。
2. 验证 Value 字段的内容已改变。

流程

1. 在 web 控制台的 Administrator 视角中，导航到 Workloads Secrets。

2. 在 Secrets 页面的表中，找到您的云供应商的 root secret。

   平台	Secret 名称
   AWS	aws-creds
   GCP	gcp-credentials

3. 点击与 secret 相同的行 中的 Options 菜单，然后选择 Delete Secret。