18.5. Amazon Web Services Security Token Service での手動モードの使用

手順

1. クラスターの OpenID Connect プロバイダーを設定するために使用されるパブリックおよびプライベート RSA キーファイルを生成します。

   $ ccoctl aws create-key-pair

   出力例:

   2021/04/13 11:01:02 Generating RSA keypair
   2021/04/13 11:01:03 Writing private key to /<path_to_ccoctl_output_dir>/serviceaccount-signer.private
   2021/04/13 11:01:03 Writing public key to /<path_to_ccoctl_output_dir>/serviceaccount-signer.public
   2021/04/13 11:01:03 Copying signing key for use by installer

   serviceaccount-signer.private および serviceaccount-signer.public は、生成されるキーファイルです。

   このコマンドは、クラスターがインストール時に必要とするプライベートキーを /<path_to_ccoctl_output_dir>/tls/bound-service-account-signing-key.key に作成します。

2. AWS で OpenID Connect アイデンティティープロバイダーおよび S3 バケットを作成します。

   $ ccoctl aws create-identity-provider \
   --name=<name> \
   --region=<aws_region> \
   --public-key-file=<path_to_ccoctl_output_dir>/serviceaccount-signer.public

   ここでは、以下のようになります。

   • <name> は、追跡用に作成されたクラウドリソースにタグを付けるために使用される名前です。
   • <aws_region> は、クラウドリソースが作成される AWS リージョンです。
   • <path_to_ccoctl_output_dir> は、ccoctl aws create-key-pair コマンドが生成したパブリックキーファイルへのパスです。

   出力例:

   2021/04/13 11:16:09 Bucket <name>-oidc created
   2021/04/13 11:16:10 OpenID Connect discovery document in the S3 bucket <name>-oidc at .well-known/openid-configuration updated
   2021/04/13 11:16:10 Reading public key
   2021/04/13 11:16:10 JSON web key set (JWKS) in the S3 bucket <name>-oidc at keys.json updated
   2021/04/13 11:16:18 Identity Provider created with ARN: arn:aws:iam::<aws_account_id>:oidc-provider/<name>-oidc.s3.<aws_region>.amazonaws.com

   02-openid-configuration は検出ドキュメントであり、03-keys.json は JSON Web キーセットファイルです。

   このコマンドは、YAML 設定ファイルを /<path_to_ccoctl_output_dir>/manifests/cluster-authentication-02-config.yaml にも作成します。このファイルは、AWS IAM アイデンティティープロバイダーがトークンを信頼するように、クラスターが生成するサービスアカウントトークンの発行側の URL フィールドを設定します。

3. クラスターの各コンポーネントについて IAM ロールを作成します。

   1. OpenShift Container Platform リリースイメージから CredentialsRequest オブジェクトの一覧を抽出します。

      $ oc adm release extract --credentials-requests \
      --cloud=aws \
      --to=<path_to_directory_with_list_of_credentials_requests>/credrequests 1
      --from=quay.io/<path_to>/ocp-release:<version>

      1

      credrequests は、CredentialsRequest オブジェクトのリストが格納されるディレクトリーです。ディレクトリーが存在しない場合、このコマンドはディレクトリーを作成します。

   2. ccoctl ツールを使用して、credrequests ディレクトリーですべての CredentialsRequest オブジェクトを処理します。

      $ ccoctl aws create-iam-roles \
      --name=<name> \
      --region=<aws_region> \
      --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests \
      --identity-provider-arn=arn:aws:iam::<aws_account_id>:oidc-provider/<name>-oidc.s3.<aws_region>.amazonaws.com

      注記

      GovCloud などの代替の IAM API エンドポイントを使用する AWS 環境では、--region パラメーターでリージョンを指定する必要もあります。

      クラスターで TechPreviewNoUpgrade 機能セットによって有効化されたテクノロジープレビュー機能を使用している場合は、--enable-tech-preview パラメーターを含める必要があります。

      それぞれの CredentialsRequest オブジェクトについて、ccoctl は指定された OIDC アイデンティティープロバイダーに関連付けられた信頼ポリシーと、OpenShift Container Platform リリースイメージの各 CredentialsRequest オブジェクトに定義されるパーミッションポリシーを使用して IAM ロールを作成します。

手順

1. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CredentialsRequest オブジェクトのリストを抽出します。

   $ oc adm release extract \
   --credentials-requests \
   --cloud=aws \
   --to=<path_to_directory_with_list_of_credentials_requests>/credrequests \ 1
   --from=quay.io/<path_to>/ocp-release:<version>

   1

   credrequests は、CredentialsRequest オブジェクトのリストが格納されるディレクトリーです。ディレクトリーが存在しない場合、このコマンドはディレクトリーを作成します。

   注記

   このコマンドの実行には少し時間がかかる場合があります。

2. クラスターでクラスター機能を使用して 1 つ以上のオプションコンポーネントを無効にする場合は、無効なコンポーネントの CredentialsRequest カスタムリソースを削除します。

   AWS 上の OpenShift Container Platform 4.12 の credrequests ディレクトリーの内容の例

   0000_30_machine-api-operator_00_credentials-request.yaml 1
   0000_50_cloud-credential-operator_05-iam-ro-credentialsrequest.yaml 2
   0000_50_cluster-image-registry-operator_01-registry-credentials-request.yaml 3
   0000_50_cluster-ingress-operator_00-ingress-credentials-request.yaml 4
   0000_50_cluster-network-operator_02-cncc-credentials.yaml 5
   0000_50_cluster-storage-operator_03_credentials_request_aws.yaml 6

   1

   Machine API Operator CR が必要です。

   2

   Cloud Credential Operator CR が必要です。

   3

   Image Registry Operator CR が必要です。

   4

   Ingress Operator CR が必要です。

   5

   Network Operator CR が必要です。

   6

   Storage Operator CR はオプションのコンポーネントであり、クラスターで無効になっている場合があります。

3. ccoctl ツールを使用して、credrequests ディレクトリーですべての CredentialsRequest オブジェクトを処理します。

   $ ccoctl aws create-all \
     --name=<name> \1
     --region=<aws_region> \2
     --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests \3
     --output-dir=<path_to_ccoctl_output_dir> \4
     --create-private-s3-bucket 5

   1

   追跡用に作成されたクラウドリソースにタグを付けるために使用される名前です。

   2

   クラウドリソースが作成される AWS リージョンです。

   3

   コンポーネント CredentialsRequest オブジェクトのファイルを含むディレクトリーを指定します。

   4

   オプション: ccoctl ユーティリティーがオブジェクトを作成するディレクトリーを指定します。デフォルトでは、ユーティリティーは、コマンドが実行されるディレクトリーにオブジェクトを作成します。

   5

   オプション: デフォルトでは、ccoctl ユーティリティーは OpenID Connect (OIDC) 設定ファイルをパブリック S3 バケットに保存し、S3 URL をパブリック OIDC エンドポイントとして使用します。代わりに、パブリック CloudFront 配布 URL を介して IAM ID プロバイダーによってアクセスされるプライベート S3 バケットに OIDC 設定を保存するには、--create-private-s3-bucket パラメーターを使用します。

   注記

   クラスターで TechPreviewNoUpgrade 機能セットによって有効化されたテクノロジープレビュー機能を使用している場合は、--enable-tech-preview パラメーターを含める必要があります。