第19章 クラウドプロバイダーの認証情報の管理

手順

1. cluster-admin ロールを持つユーザーとして OpenShift Container Platform Web コンソールにログインします。
2. Administration → Cluster Settings に移動します。
3. Cluster Settings ページで、Configuration タブを選択します。
4. Configuration resource で CloudCredential を選択します。
5. CloudCredential details ページで、YAML タブを選択します。

6. YAML ブロックで、spec.credentialsMode の値を確認します。次の値が可能ですが、すべてのプラットフォームですべてがサポートされているわけではありません。

   • '': CCO はデフォルトモードで動作しています。この設定では、CCO は、インストール中に提供されたクレデンシャルに応じて、ミントモードまたはパススルーモードで動作します。
   • Mint: CCO はミントモードで動作しています。
   • Passthrough: CCO はパススルーモードで動作しています。
   • Manual: CCO は手動モードで動作します。
   重要

   spec.credentialsMode が ''、Mint、または Manual である AWS または GCP クラスターの特定の設定を特定するには、さらに調査する必要があります。

   AWS および GCP クラスターは、ルートシークレットが削除されたミントモードの使用をサポートします。

   手動モードを使用する AWS または GCP クラスターは、AWS Security Token Service (STS) または GCP Workload Identity を使用して、クラスターの外部からクラウド認証情報を作成および管理するように設定されている場合があります。クラスター Authentication オブジェクトを調べることで、クラスターがこの戦略を使用しているかどうかを判断できます。

7. デフォルト ('') のみを使用する AWS または GCP クラスター: クラスターがミントモードまたはパススルーモードで動作しているかどうかを判断するには、クラスタールートシークレットのアノテーションを調べます。

   1. Workloads → Secrets に移動し、クラウドプロバイダーのルートシークレットを探します。

      注記

      Project ドロップダウンが All Projects に設定されていることを確認します。

      プラットフォーム	シークレット名
      AWS	aws-creds
      GCP	gcp-credentials

   2. クラスターが使用している CCO モードを表示するには、Annotations で 1 annotation をクリックし、value フィールドを確認します。以下の値が可能です。

      • Mint: CCO はミントモードで動作しています。
      • Passthrough: CCO はパススルーモードで動作しています。

      クラスターが mint モードを使用している場合、クラスターがルートシークレットなしで動作しているかどうかを判断することもできます。

8. mint モードのみを使用する AWS または GCP クラスター: クラスターがルートシークレットなしで動作しているかどうかを判断するには、Workloads → Secrets に移動し、クラウドプロバイダーのルートシークレットを探します。

   注記

   Project ドロップダウンが All Projects に設定されていることを確認します。

   プラットフォーム	シークレット名
   AWS	aws-creds
   GCP	gcp-credentials

   • これらの値のいずれかが表示される場合、クラスターはルートシークレットが存在するミントモードまたはパススルーモードを使用しています。
   • これらの値が表示されない場合、クラスターはルートシークレットが削除されたミントモードで CCO を使用しています。

9. 手動モードのみを使用する AWS または GCP クラスター: クラスターがクラスターの外部からクラウド認証情報を作成および管理するように設定されているかどうかを判断するには、クラスター Authentication オブジェクトの YAML 値を確認する必要があります。

   1. Administration → Cluster Settings に移動します。
   2. Cluster Settings ページで、Configuration タブを選択します。
   3. Configuration resource で Authentication を選択します。
   4. Authentication details ページで、YAML タブを選択します。

   5. YAML ブロックで、.spec.serviceAccountIssuer パラメーターの値を確認します。

      • クラウドプロバイダーに関連付けられている URL を含む値は、CCO が AWS STS または GCP Workload Identity で手動モードを使用して、クラスターの外部からクラウド認証情報を作成および管理していることを示します。これらのクラスターは、ccoctl ユーティリティーを使用して設定されます。
      • 空の値 ('') は、クラスターが手動モードで CCO を使用しているが、ccoctl ユーティリティーを使用して設定されていないことを示します。

手順

1. cluster-admin ロールを持つユーザーとしてクラスターの oc にログインします。

2. CCO が使用するように設定されているモードを確認するには、次のコマンドを入力します。

   $ oc get cloudcredentials cluster \
     -o=jsonpath={.spec.credentialsMode}

   すべてのプラットフォームですべてがサポートされているわけではありませんが、次の出力値が可能です。

   • '': CCO はデフォルトモードで動作しています。この設定では、CCO は、インストール中に提供されたクレデンシャルに応じて、ミントモードまたはパススルーモードで動作します。
   • Mint: CCO はミントモードで動作しています。
   • Passthrough: CCO はパススルーモードで動作しています。
   • Manual: CCO は手動モードで動作します。
   重要

   spec.credentialsMode が ''、Mint、または Manual である AWS または GCP クラスターの特定の設定を特定するには、さらに調査する必要があります。

   AWS および GCP クラスターは、ルートシークレットが削除されたミントモードの使用をサポートします。

   手動モードを使用する AWS または GCP クラスターは、AWS Security Token Service (STS) または GCP Workload Identity を使用して、クラスターの外部からクラウド認証情報を作成および管理するように設定されている場合があります。クラスター Authentication オブジェクトを調べることで、クラスターがこの戦略を使用しているかどうかを判断できます。

3. デフォルト ('') のみを使用する AWS または GCP クラスター: クラスターがミントモードまたはパススルーモードで動作しているかどうかを判断するには、次のコマンドを実行します。

   $ oc get secret <secret_name> \
     -n kube-system \
     -o jsonpath \
     --template '{ .metadata.annotations }'

   <secret_name> は、AWS の場合は aws-creds、GCP の場合は gcp-credentials です。

   このコマンドは、クラスタールートシークレットオブジェクトの .metadata.annotations パラメーターの値を表示します。以下の出力値を使用できます。

   • Mint: CCO はミントモードで動作しています。
   • Passthrough: CCO はパススルーモードで動作しています。

   クラスターが mint モードを使用している場合、クラスターがルートシークレットなしで動作しているかどうかを判断することもできます。

4. mint モードのみを使用する AWS または GCP クラスター: クラスターがルートシークレットなしで動作しているかどうかを判断するには、次のコマンドを実行します。

   $ oc get secret <secret_name> \
     -n=kube-system

   <secret_name> は、AWS の場合は aws-creds、GCP の場合は gcp-credentials です。

   ルートシークレットが存在する場合、このコマンドの出力はシークレットに関する情報を返します。エラーは、ルートシークレットがクラスターに存在しないことを示します。

5. 手動モードのみを使用する AWS または GCP クラスター: クラスターがクラスターの外部からクラウド認証情報を作成および管理するように設定されているかどうかを確認するには、次のコマンドを実行します。

   $ oc get authentication cluster \
     -o jsonpath \
     --template='{ .spec.serviceAccountIssuer }'

   このコマンドは、クラスター Authentication オブジェクトの .spec.serviceAccountIssuer パラメーターの値を表示します。

   • クラウドプロバイダーに関連付けられている URL の出力は、CCO が AWS STS または GCP Workload Identity で手動モードを使用して、クラスターの外部からクラウド認証情報を作成および管理していることを示しています。これらのクラスターは、ccoctl ユーティリティーを使用して設定されます。
   • 空の出力は、クラスターが手動モードで CCO を使用しているが、ccoctl ユーティリティーを使用して設定されていないことを示します。