19.5. 在 Amazon Web Services Security Token Service 中使用手动模式

流程

1. 生成用于为集群设置 OpenID Connect 供应商的公共和私有 RSA 密钥文件：

   $ ccoctl aws create-key-pair

   输出示例：

   2021/04/13 11:01:02 Generating RSA keypair
   2021/04/13 11:01:03 Writing private key to /<path_to_ccoctl_output_dir>/serviceaccount-signer.private
   2021/04/13 11:01:03 Writing public key to /<path_to_ccoctl_output_dir>/serviceaccount-signer.public
   2021/04/13 11:01:03 Copying signing key for use by installer

   其中 serviceaccount-signer.private 和 serviceaccount-signer.public 是生成的密钥文件。

   此命令还会在 /<path_to_ccoctl_output_dir>/tls/bound-service-account-signing-key.key 中创建集群在安装过程中所需的私钥。

2. 在 AWS 上创建 OpenID Connect 身份提供程序和 S3 存储桶：

   $ ccoctl aws create-identity-provider \
     --name=<name> \
     --region=<aws_region> \
     --public-key-file=<path_to_ccoctl_output_dir>/serviceaccount-signer.public

   其中：

   • <name> 是用于标记为跟踪而创建的云资源的名称。
   • <aws-region> 是将要在其中创建云资源的 AWS 区域。
   • <path_to_ccoctl_output_dir> 是 ccoctl aws create-key-pair 命令生成的公钥文件的路径。

   输出示例：

   2021/04/13 11:16:09 Bucket <name>-oidc created
   2021/04/13 11:16:10 OpenID Connect discovery document in the S3 bucket <name>-oidc at .well-known/openid-configuration updated
   2021/04/13 11:16:10 Reading public key
   2021/04/13 11:16:10 JSON web key set (JWKS) in the S3 bucket <name>-oidc at keys.json updated
   2021/04/13 11:16:18 Identity Provider created with ARN: arn:aws:iam::<aws_account_id>:oidc-provider/<name>-oidc.s3.<aws_region>.amazonaws.com

   其中 openid-configuration 是发现文档和 key.json 是一个 JSON Web 密钥集文件。

   此命令还会在 /<path_to_ccoctl_output_dir>/manifests/cluster-authentication-02-config.yaml 中创建 YAML 配置文件。此文件为集群生成的服务帐户令牌设置签发者 URL 字段，以便 AWS IAM 身份提供程序信任令牌。

3. 为集群中的每个组件创建 IAM 角色。

   1. 从 OpenShift Container Platform 发行镜像中提取 CredentialsRequest 对象列表：

      $ oc adm release extract \
        --from=$RELEASE_IMAGE \
        --credentials-requests \
        --cloud=aws \
        --to=<path_to_directory_with_list_of_credentials_requests>/credrequests 1

      1

      credrequests 是存储 CredentialsRequest 对象列表的目录。如果该目录不存在，此命令就会创建该目录。

   2. 如果您的集群使用集群功能禁用一个或多个可选组件，请删除任何禁用组件的 CredentialsRequest 自定义资源。

      AWS 上 OpenShift Container Platform 4.13 的 credrequests 目录的内容示例

      0000_30_cluster-api_00_credentials-request.yaml 1
      0000_30_machine-api-operator_00_credentials-request.yaml 2
      0000_50_cloud-credential-operator_05-iam-ro-credentialsrequest.yaml 3
      0000_50_cluster-image-registry-operator_01-registry-credentials-request.yaml 4
      0000_50_cluster-ingress-operator_00-ingress-credentials-request.yaml 5
      0000_50_cluster-network-operator_02-cncc-credentials.yaml 6
      0000_50_cluster-storage-operator_03_credentials_request_aws.yaml 7

      1

      对于使用 TechPreviewNoUpgrade 功能集的集群，需要 Cluster API Operator CR。

      2

      Machine API Operator CR 是必需的。

      3

      需要 Cloud Credential Operator CR。

      4

      Image Registry Operator CR 是必需的。

      5

      Ingress Operator CR 是必需的。

      6

      Network Operator CR 是必需的。

      7

      Storage Operator CR 是一个可选组件，可能会在集群中禁用。

   3. 使用 ccoctl 工具处理 credrequests 目录中的所有 CredentialsRequest 对象：

      $ ccoctl aws create-iam-roles \
        --name=<name> \
        --region=<aws_region> \
        --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests \
        --identity-provider-arn=arn:aws:iam::<aws_account_id>:oidc-provider/<name>-oidc.s3.<aws_region>.amazonaws.com

      注意

      对于使用其他 IAM API 端点的 AWS 环境（如 GovCloud），还必须使用 --region 参数指定您的区域。

      如果您的集群使用 TechPreviewNoUpgrade 功能集启用的技术预览功能，则必须包含 --enable-tech-preview 参数。

      对于每个 CredentialsRequest 对象，ccoctl 创建一个带有信任策略的 IAM 角色，该角色与指定的 OIDC 身份提供程序相关联，以及来自 OpenShift Container Platform 发行镜像的每个 CredentialsRequest 对象中定义的权限策略。

流程

1. 运行以下命令设置 $RELEASE_IMAGE 变量：

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

2. 运行以下命令，从 OpenShift Container Platform 发行镜像中提取 CredentialsRequest 对象列表：

   $ oc adm release extract \
     --from=$RELEASE_IMAGE \
     --credentials-requests \
     --cloud=aws \
     --to=<path_to_directory_with_list_of_credentials_requests>/credrequests 1

   1

   credrequests 是存储 CredentialsRequest 对象列表的目录。如果该目录不存在，此命令就会创建该目录。

   注意

   运行此命令可能需要一些时间。

3. 如果您的集群使用集群功能禁用一个或多个可选组件，请删除任何禁用组件的 CredentialsRequest 自定义资源。

   AWS 上 OpenShift Container Platform 4.13 的 credrequests 目录的内容示例

   0000_30_cluster-api_00_credentials-request.yaml 1
   0000_30_machine-api-operator_00_credentials-request.yaml 2
   0000_50_cloud-credential-operator_05-iam-ro-credentialsrequest.yaml 3
   0000_50_cluster-image-registry-operator_01-registry-credentials-request.yaml 4
   0000_50_cluster-ingress-operator_00-ingress-credentials-request.yaml 5
   0000_50_cluster-network-operator_02-cncc-credentials.yaml 6
   0000_50_cluster-storage-operator_03_credentials_request_aws.yaml 7

   1

   对于使用 TechPreviewNoUpgrade 功能集的集群，需要 Cluster API Operator CR。

   2

   Machine API Operator CR 是必需的。

   3

   需要 Cloud Credential Operator CR。

   4

   Image Registry Operator CR 是必需的。

   5

   Ingress Operator CR 是必需的。

   6

   Network Operator CR 是必需的。

   7

   Storage Operator CR 是一个可选组件，可能会在集群中禁用。

4. 使用 ccoctl 工具处理 credrequests 目录中的所有 CredentialsRequest 对象：

   $ ccoctl aws create-all \
     --name=<name> \1
     --region=<aws_region> \2
     --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests \3
     --output-dir=<path_to_ccoctl_output_dir> \4
     --create-private-s3-bucket 5

   1

   指定用于标记创建用于跟踪的任何云资源的名称。

   2

   指定在其中创建云资源的 AWS 区域。

   3

   指定包含组件 CredentialsRequest 对象文件的目录。

   4

   可选：指定您希望 ccoctl 实用程序在其中创建对象的目录。默认情况下，实用程序在运行命令的目录中创建对象。

   5

   可选：默认情况下，ccoctl 实用程序将 OpenID Connect (OIDC) 配置文件存储在公共 S3 存储桶中，并使用 S3 URL 作为公共 OIDC 端点。要将 OIDC 配置存储在 IAM 身份提供程序通过公共 CloudFront 发行版 URL 访问的专用 S3 存储桶中，请使用 --create-private-s3-bucket 参数。

   注意

   如果您的集群使用 TechPreviewNoUpgrade 功能集启用的技术预览功能，则必须包含 --enable-tech-preview 参数。