12.2. 启用基于令牌的身份验证

流程

1. 运行以下命令，为 OpenShift Container Platform 发行镜像设置变量：

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

2. 运行以下命令，从 OpenShift Container Platform 发行镜像获取 CCO 容器镜像：

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)

   注意

   确保 $RELEASE_IMAGE 的架构与将使用 ccoctl 工具的环境架构相匹配。

3. 运行以下命令，将 CCO 容器镜像中的 ccoctl 二进制文件提取到 OpenShift Container Platform 发行镜像中：

   $ oc image extract $CCO_IMAGE \
     --file="/usr/bin/ccoctl.<rhel_version>" \1
     -a ~/.pull-secret

   1

   对于 <rhel_version>，请指定与主机使用的 Red Hat Enterprise Linux (RHEL) 版本对应的值。如果没有指定值，则默认使用 ccoctl.rhel8。以下值有效：

   • rhel8: 为使用 RHEL 8 的主机指定这个值。
   • rhel9 ：为使用 RHEL 9 的主机指定这个值。

4. 运行以下命令更改权限以使 ccoctl 可执行：

   $ chmod 775 ccoctl.<rhel_version>

流程

1. 为 ccoctl 工具生成的清单创建一个输出目录。此流程使用 ./output_dir 作为示例。

2. 运行以下命令，将集群的服务帐户公钥密钥提取到输出目录中：

   $ oc get configmap \
     --namespace openshift-kube-apiserver bound-sa-token-signing-certs \
     --output 'go-template={{index .data "service-account-001.pub"}}' > ./output_dir/serviceaccount-signer.public 1

   1

   此流程使用名为 serviceaccount-signer.public 的文件作为示例。

3. 运行以下命令，使用提取的服务帐户公钥创建 OpenID Connect (OIDC) 签发者和 Azure blob 存储容器：

   $ ./ccoctl azure create-oidc-issuer \
     --name <azure_infra_name> \1
     --output-dir ./output_dir \
     --region <azure_region> \2
     --subscription-id <azure_subscription_id> \3
     --tenant-id <azure_tenant_id> \
     --public-key-file ./output_dir/serviceaccount-signer.public 4

   1

   name 参数的值用于创建 Azure 资源组。要使用现有的 Azure 资源组而不是创建新 Azure 资源组，请使用现有组名称指定 --oidc-resource-group-name 参数作为其值。

   2

   指定现有集群的区域。

   3

   指定现有集群的订阅 ID。

   4

   指定包含集群服务帐户公钥的文件。

4. 运行以下命令，验证 Azure pod 身份 Webhook 的配置文件是否已创建：

   $ ll ./output_dir/manifests

   输出示例

   total 8
   -rw-------. 1 cloud-user cloud-user 193 May 22 02:29 azure-ad-pod-identity-webhook-config.yaml 1
   -rw-------. 1 cloud-user cloud-user 165 May 22 02:29 cluster-authentication-02-config.yaml

   1

   文件 azure-ad-pod-identity-webhook-config.yaml 包含 Azure pod 身份 Webhook 配置。

5. 运行以下命令，使用输出目录中生成的清单中的 OIDC_ISSUER_URL 变量设置 OIDC_ISSUER_URL 变量：

   $ OIDC_ISSUER_URL=`awk '/serviceAccountIssuer/ { print $2 }' ./output_dir/manifests/cluster-authentication-02-config.yaml`

6. 运行以下命令，更新集群 身份验证 配置的 spec.serviceAccountIssuer 参数：

   $ oc patch authentication cluster \
     --type=merge \
     -p "{\"spec\":{\"serviceAccountIssuer\":\"${OIDC_ISSUER_URL}\"}}"

7. 运行以下命令监控配置更新进度：

   $ oc adm wait-for-stable-cluster

   这个过程可能需要 15 分钟或更长时间。以下输出表示进程已完成：

   All clusteroperators are stable

8. 运行以下命令重启集群中的所有 pod：

   $ oc adm reboot-machine-config-pool mcp/worker mcp/master

   重启 pod 会更新 serviceAccountIssuer 字段，并刷新服务帐户公钥。

9. 运行以下命令监控重启和更新进程：

   $ oc adm wait-for-node-reboot nodes --all

   这个过程可能需要 15 分钟或更长时间。以下输出表示进程已完成：

   All nodes rebooted

10. 运行以下命令，将 Cloud Credential Operator spec.credentialsMode 参数更新为 Manual ：

    $ oc patch cloudcredential cluster \
      --type=merge \
      --patch '{"spec":{"credentialsMode":"Manual"}}'

11. 运行以下命令，从 OpenShift Container Platform 发行镜像中提取 CredentialsRequest 对象列表：

    $ oc adm release extract \
      --credentials-requests \
      --included \
      --to <path_to_directory_for_credentials_requests> \
      --registry-config ~/.pull-secret

    注意

    此命令可能需要一些时间才能运行。

12. 运行以下命令，使用 Azure 资源组名称设置 AZURE_INSTALL_RG 变量：

    $ AZURE_INSTALL_RG=`oc get infrastructure cluster -o jsonpath --template '{ .status.platformStatus.azure.resourceGroupName }'`

13. 运行以下命令，使用 ccoctl 工具为所有 CredentialsRequest 对象创建受管身份：

    $ ccoctl azure create-managed-identities \
      --name <azure_infra_name> \
      --output-dir ./output_dir \
      --region <azure_region> \
      --subscription-id <azure_subscription_id> \
      --credentials-requests-dir <path_to_directory_for_credentials_requests> \
      --issuer-url "${OIDC_ISSUER_URL}" \
      --dnszone-resource-group-name <azure_dns_zone_resourcegroup_name> \1
      --installation-resource-group-name "${AZURE_INSTALL_RG}"

    1

    指定包含 DNS 区的资源组的名称。

14. 运行以下命令，为 Workload ID 应用 Azure pod 身份 Webhook 配置：

    $ oc apply -f ./output_dir/manifests/azure-ad-pod-identity-webhook-config.yaml

15. 运行以下命令应用 ccoctl 工具生成的 secret：

    $ find ./output_dir/manifests -iname "openshift*yaml" -print0 | xargs -I {} -0 -t oc replace -f {}

    这可能需要几分钟。

16. 运行以下命令重启集群中的所有 pod：

    $ oc adm reboot-machine-config-pool mcp/worker mcp/master

    重启 pod 会更新 serviceAccountIssuer 字段，并刷新服务帐户公钥。

17. 运行以下命令监控重启和更新进程：

    $ oc adm wait-for-node-reboot nodes --all

    这个过程可能需要 15 分钟或更长时间。以下输出表示进程已完成：

    All nodes rebooted

18. 运行以下命令监控配置更新进度：

    $ oc adm wait-for-stable-cluster

    这个过程可能需要 15 分钟或更长时间。以下输出表示进程已完成：

    All clusteroperators are stable

19. 可选：运行以下命令来删除 Azure root 凭证 secret：

    $ oc delete secret -n kube-system azure-credentials