18.6. 在 GCP Workload Identity 中使用手动模式

流程

1. 获取 OpenShift Container Platform 发行镜像：

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

2. 从 OpenShift Container Platform 发行镜像获取 CCO 容器镜像：

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE)

   注意

   确保 $RELEASE_IMAGE 的架构与将使用 ccoctl 工具的环境架构相匹配。

3. 将 CCO 容器镜像中的 ccoctl 二进制文件提取到 OpenShift Container Platform 发行镜像中：

   $ oc image extract $CCO_IMAGE --file="/usr/bin/ccoctl" -a ~/.pull-secret

4. 更改权限以使 ccoctl 可执行：

   $ chmod 775 ccoctl

流程

1. 运行以下命令，从 OpenShift Container Platform 发行镜像中提取 CredentialsRequest 对象列表：

   $ oc adm release extract \
   --credentials-requests \
   --cloud=gcp \
   --to=<path_to_directory_with_list_of_credentials_requests>/credrequests \ 1
   --quay.io/<path_to>/ocp-release:<version>

   1

   credrequests 是存储 CredentialsRequest 对象列表的目录。如果该目录不存在，此命令就会创建该目录。

   注意

   运行此命令可能需要一些时间。

2. 如果您的集群使用集群功能禁用一个或多个可选组件，请删除任何禁用组件的 CredentialsRequest 自定义资源。

   GCP 上的 OpenShift Container Platform 4.12 的 credrequests 目录的内容示例

   0000_26_cloud-controller-manager-operator_16_credentialsrequest-gcp.yaml 1
   0000_30_machine-api-operator_00_credentials-request.yaml 2
   0000_50_cloud-credential-operator_05-gcp-ro-credentialsrequest.yaml 3
   0000_50_cluster-image-registry-operator_01-registry-credentials-request-gcs.yaml 4
   0000_50_cluster-ingress-operator_00-ingress-credentials-request.yaml 5
   0000_50_cluster-network-operator_02-cncc-credentials.yaml 6
   0000_50_cluster-storage-operator_03_credentials_request_gcp.yaml 7

   1

   需要 Cloud Controller Manager Operator CR。

   2

   Machine API Operator CR 是必需的。

   3

   需要 Cloud Credential Operator CR。

   4

   Image Registry Operator CR 是必需的。

   5

   Ingress Operator CR 是必需的。

   6

   Network Operator CR 是必需的。

   7

   Storage Operator CR 是一个可选组件，可能会在集群中禁用。

3. 使用 ccoctl 工具处理 credrequests 目录中的所有 CredentialsRequest 对象：

   $ ccoctl gcp create-all \
   --name=<name> \
   --region=<gcp_region> \
   --project=<gcp_project_id> \
   --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests

   其中：

   • <gcp_region> 是所有用于跟踪的 GCP 资源的用户定义名称。
   • <gcp_region> 是要在其中创建云资源的 GCP 区域。
   • <gcp_project_id> 是将要在其中创建云资源的 GCP 项目 ID。
   • <path_to_directory_with_list_of_credentials_requests>/credrequests 是包含 CredentialsRequest 清单文件的目录，以创建 GCP 服务帐户。
   注意

   如果您的集群使用 TechPreviewNoUpgrade 功能集启用的技术预览功能，则必须包含 --enable-tech-preview 参数。

流程

1. 进入包含安装程序的目录并创建 install-config.yaml 文件：

   $ openshift-install create install-config --dir <installation_directory>

   其中 <installation_directory> 是安装程序在其中创建文件的目录。

2. 编辑 install-config.yaml 配置文件，使其包含将 credentialsMode 参数设置为 Manual。

   install-config.yaml 配置文件示例

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 1
   compute:
   - architecture: amd64
     hyperthreading: Enabled

   1

   添加这一行将 credentialsMode 参数设置为 Manual。

3. 创建所需的 OpenShift Container Platform 安装清单：

   $ openshift-install create manifests

4. 将 ccoctl 生成的清单复制到安装程序创建的 manifests 目录中：

   $ cp /<path_to_ccoctl_output_dir>/manifests/* ./manifests/

5. 将 ccoctl 在 tls 目录中生成的私钥复制到安装目录中：

   $ cp -a /<path_to_ccoctl_output_dir>/tls .

6. 运行 OpenShift Container Platform 安装程序：

   $ ./openshift-install create cluster

1. 连接到 OpenShift Container Platform 集群。

2. 验证集群没有 root 凭证：

   $ oc get secrets -n kube-system gcp-credentials

   输出应类似于：

   Error from server (NotFound): secrets "gcp-credentials" not found

3. 验证组件是否假设 secret 清单中指定的服务帐户，而不是使用由 CCO 创建的凭证：

   带有 Image Registry Operator 的命令示例

   $ oc get secrets -n openshift-image-registry installer-cloud-credentials -o json | jq -r '.data."service_account.json"' | base64 -d

   输出应显示组件使用的角色和 Web 身份令牌，如下所示：

   带有 Image Registry Operator 的输出示例

   {
      "type": "external_account", 1
      "audience": "//iam.googleapis.com/projects/123456789/locations/global/workloadIdentityPools/test-pool/providers/test-provider",
      "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
      "token_url": "https://sts.googleapis.com/v1/token",
      "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/<client-email-address>:generateAccessToken", 2
      "credential_source": {
         "file": "/var/run/secrets/openshift/serviceaccount/token",
         "format": {
            "type": "text"
         }
      }
   }

   1

   凭证类型是 external_account。

   2

   Image Registry Operator 使用的服务帐户的资源 URL。