第 19 章 管理云供应商凭证

流程

1. 以具有 cluster-admin 角色的用户身份登录到 OpenShift Container Platform web 控制台。
2. 导航至 Administration Cluster Settings。
3. 在 Cluster Settings 页面中，选择 Configuration 选项卡。
4. 在 Configuration resource 下，选择 CloudCredential。
5. 在 CloudCredential 详情页中，选择 YAML 选项卡。

6. 在 YAML 块中，检查 spec.credentialsMode 的值。以下是可能的值，但它们可能并不会在所有平台上都被支持：

   • '' ：CCO 在默认模式下运行。在这个配置中，CCO 以 mint 或 passthrough 模式运行，具体取决于安装期间提供的凭证。
   • Mint ：CCO 在 mint 模式中运行。
   • Passthrough ：CCO 在 passthrough 模式运行。
   • Manual ：CCO 以手动模式运行。
   重要

   要确定 AWS 或 GCP 集群的特定配置，其 spec.credentialsMode 为 '', Mint, 或 Manual，您必须进一步调查。

   AWS 和 GCP 集群支持使用删除了 root secret 的 mint 模式。

   使用手动模式的 AWS 或 GCP 集群可能会被配置为使用 AWS 安全令牌服务 (STS) 或 GCP Workload Identity 从集群外部创建和管理云凭证。您可以通过检查集群 Authentication 对象来确定集群是否使用了此策略。

7. 仅使用默认 ('') 的 AWS 或 GCP 集群 ：要确定集群是否处于 mint 还是 passthrough 模式运行，请检查集群 root secret 上的注解：

   1. 进入到 Workloads Secrets，再查找云供应商的 root secret。

      注意

      确保将 项目 下拉菜单设置为 All Projects。

      平台	Secret 名称
      AWS	aws-creds
      GCP	gcp-credentials

   2. 要查看集群正在使用的 CCO 模式，请点 Annotations 下的 1 注解，并检查 value 字段。可能会有以下值：

      • Mint ：CCO 在 mint 模式中运行。
      • Passthrough ：CCO 在 passthrough 模式运行。

      如果您的集群使用 mint 模式，您也可以确定集群是否在没有 root secret 的情况下运行。

8. 只使用 mint 模式的 AWS 或 GCP 集群：要确定集群是否在没有 root secret 的情况下运行，请进入到 Workloads Secrets 并为您的云供应商查找 root secret。

   注意

   确保将 项目 下拉菜单设置为 All Projects。

   平台	Secret 名称
   AWS	aws-creds
   GCP	gcp-credentials

   • 如果您看到这些值之一，您的集群将使用 mint 或 passthrough 模式，并带有 root secret。
   • 如果没有看到这些值，您的集群将以 mint 模式使用 CCO，并删除 root secret。

9. 只使用手动模式的 AWS 或 GCP 集群 ：要确定集群是否被配置为从集群外创建和管理云凭证，您必须检查 cluster Authentication 对象 YAML 值。

   1. 导航至 Administration Cluster Settings。
   2. 在 Cluster Settings 页面中，选择 Configuration 选项卡。
   3. 在 Configuration resource 下，选择 Authentication。
   4. 在 Authentication details 页面中，选择 YAML 选项卡。

   5. 在 YAML 块中，检查 .spec.serviceAccountIssuer 参数的值。

      • 包含与云供应商关联的 URL 的值表示 CCO 在 AWS STS 或 GCP Workload Identity 中使用手动模式从集群外部创建和管理云凭证。这些集群使用 ccoctl 工具进行配置。
      • 空值 ('') 表示集群在手动模式中使用 CCO，但没有使用 ccoctl 工具进行配置。

流程

1. 以具有 cluster-admin 角色的用户身份登录到集群中的 oc。

2. 要确定 CCO 被配置为使用的模式，请输入以下命令：

   $ oc get cloudcredentials cluster \
     -o=jsonpath={.spec.credentialsMode}

   以下输出值可能，但并非所有平台上都不支持所有值：

   • '' ：CCO 在默认模式下运行。在这个配置中，CCO 以 mint 或 passthrough 模式运行，具体取决于安装期间提供的凭证。
   • Mint ：CCO 在 mint 模式中运行。
   • Passthrough ：CCO 在 passthrough 模式运行。
   • Manual ：CCO 以手动模式运行。
   重要

   要确定 AWS 或 GCP 集群的特定配置，其 spec.credentialsMode 为 '', Mint, 或 Manual，您必须进一步调查。

   AWS 和 GCP 集群支持使用删除了 root secret 的 mint 模式。

   使用手动模式的 AWS 或 GCP 集群可能会被配置为使用 AWS 安全令牌服务 (STS) 或 GCP Workload Identity 从集群外部创建和管理云凭证。您可以通过检查集群 Authentication 对象来确定集群是否使用了此策略。

3. 仅使用默认 ('') 的 AWS 或 GCP 集群 ：要确定集群是否以 mint 还是 passthrough 模式运行，请运行以下命令：

   $ oc get secret <secret_name> \
     -n kube-system \
     -o jsonpath \
     --template '{ .metadata.annotations }'

   其中 <secret_name> 是 AWS 的 aws-creds 或 GCP 的 gcp-credentials。

   此命令显示集群 root secret 对象中 .metadata.annotations 参数的值。可能会有以下输出值：

   • Mint ：CCO 在 mint 模式中运行。
   • Passthrough ：CCO 在 passthrough 模式运行。

   如果您的集群使用 mint 模式，您也可以确定集群是否在没有 root secret 的情况下运行。

4. 仅使用 mint 模式的 AWS 或 GCP 集群：要确定集群是否在没有 root secret 的情况下运行，请运行以下命令：

   $ oc get secret <secret_name> \
     -n=kube-system

   其中 <secret_name> 是 AWS 的 aws-creds 或 GCP 的 gcp-credentials。

   如果存在 root secret，这个命令的输出会返回有关 secret 的信息。错误表示集群中不存在 root secret。

5. 仅使用手动模式的 AWS 或 GCP 集群 ：要确定集群是否被配置为从集群外部创建和管理云凭证，请运行以下命令：

   $ oc get authentication cluster \
     -o jsonpath \
     --template='{ .spec.serviceAccountIssuer }'

   此命令显示集群 Authentication 对象中 .spec.serviceAccountIssuer 参数的值。

   • 包含与云供应商关联的 URL 的输出表示 CCO 在 AWS STS 或 GCP Workload Identity 中使用手动模式从集群外部创建和管理云凭证。这些集群使用 ccoctl 工具进行配置。
   • 空输出表示集群以手动模式使用 CCO，但没有使用 ccoctl 工具进行配置。