5.2. 必要な Alibaba Cloud リソースの作成

• ユーザーは、Alibaba Cloud AccessKey ID と AccessKey シークレットのペアを持っている必要があります。

  • 新規ユーザーの場合、ユーザーの作成時に Access Mode に Open API Access を選択できます。このモードでは、必要な AccessKey ペアが生成されます。

  • 既存のユーザーの場合は、AccessKey ペアを追加するか、そのユーザーの AccessKey のペアを取得 できます。

    注記

    作成されると、AccessKey シークレットは 1 回だけ表示されます。API 呼び出しには AccessKey ペアが必要であるため、AccessKey ペアをすぐに保存する必要があります。

• AccessKey ID とシークレットをローカルコンピューターの ~/.alibabacloud/credentials ファイル に追加します。コンソールにログインすると、Alibaba Cloud によってこのファイルが自動的に作成されます。Cloud Credential Operator (CCO) ユーティリティー (ccoutil) は、Credential Request オブジェクトを処理するときにこれらの認証情報を使用します。

  以下に例を示します。

  [default]                          # Default client
  type = access_key                  # Certification type: access_key
  access_key_id = LTAI5t8cefXKmt                # Key 1
  access_key_secret = wYx56mszAN4Uunfh            # Secret

  1

  ここに AccessKeyID と AccessKeySecret を追加します。

• RAM ユーザーは、アカウントが OpenShift Container Platform クラスターを作成するための十分なパーミッションを持っていることを確認するために AdministratorAccess ポリシーを持っている必要があります。このポリシーは、すべての Alibaba Cloud リソースを管理するための権限を付与します。

  AdministratorAccess ポリシーを RAM ユーザーにアタッチすると、そのユーザーにすべての Alibaba Cloud サービスとリソースへのフルアクセスが許可されます。フルアクセス権を持つユーザーを作成したくない場合は、インストールのために RAM ユーザーに追加できる次のアクションを使用してカスタムポリシーを作成します。これらのアクションは、OpenShift Container Platform をインストールするのに十分です。

  ヒント

  次の JSON コードをコピーして Alibaba Cloud コンソールに貼り付け、カスタムポリシーを作成できます。カスタムポリシー作成の詳細については、Alibaba Cloud のドキュメントの Create a custom policy を参照してください。

  例5.1 カスタムポリシー JSON ファイルの例

  {
    "Version": "1",
    "Statement": [
      {
        "Action": [
          "tag:ListTagResources",
          "tag:UntagResources"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "vpc:DescribeVpcs",
          "vpc:DeleteVpc",
          "vpc:DescribeVSwitches",
          "vpc:DeleteVSwitch",
          "vpc:DescribeEipAddresses",
          "vpc:DescribeNatGateways",
          "vpc:ReleaseEipAddress",
          "vpc:DeleteNatGateway",
          "vpc:DescribeSnatTableEntries",
          "vpc:CreateSnatEntry",
          "vpc:AssociateEipAddress",
          "vpc:ListTagResources",
          "vpc:TagResources",
          "vpc:DescribeVSwitchAttributes",
          "vpc:CreateVSwitch",
          "vpc:CreateNatGateway",
          "vpc:DescribeRouteTableList",
          "vpc:CreateVpc",
          "vpc:AllocateEipAddress",
          "vpc:ListEnhanhcedNatGatewayAvailableZones"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "ecs:ModifyInstanceAttribute",
          "ecs:DescribeSecurityGroups",
          "ecs:DeleteSecurityGroup",
          "ecs:DescribeSecurityGroupReferences",
          "ecs:DescribeSecurityGroupAttribute",
          "ecs:RevokeSecurityGroup",
          "ecs:DescribeInstances",
          "ecs:DeleteInstances",
          "ecs:DescribeNetworkInterfaces",
          "ecs:DescribeInstanceRamRole",
          "ecs:DescribeUserData",
          "ecs:DescribeDisks",
          "ecs:ListTagResources",
          "ecs:AuthorizeSecurityGroup",
          "ecs:RunInstances",
          "ecs:TagResources",
          "ecs:ModifySecurityGroupPolicy",
          "ecs:CreateSecurityGroup",
          "ecs:DescribeAvailableResource",
          "ecs:DescribeRegions",
          "ecs:AttachInstanceRamRole"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "pvtz:DescribeRegions",
          "pvtz:DescribeZones",
          "pvtz:DeleteZone",
          "pvtz:DeleteZoneRecord",
          "pvtz:BindZoneVpc",
          "pvtz:DescribeZoneRecords",
          "pvtz:AddZoneRecord",
          "pvtz:SetZoneRecordStatus",
          "pvtz:DescribeZoneInfo",
          "pvtz:DescribeSyncEcsHostTask",
          "pvtz:AddZone"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "slb:DescribeLoadBalancers",
          "slb:SetLoadBalancerDeleteProtection",
          "slb:DeleteLoadBalancer",
          "slb:SetLoadBalancerModificationProtection",
          "slb:DescribeLoadBalancerAttribute",
          "slb:AddBackendServers",
          "slb:DescribeLoadBalancerTCPListenerAttribute",
          "slb:SetLoadBalancerTCPListenerAttribute",
          "slb:StartLoadBalancerListener",
          "slb:CreateLoadBalancerTCPListener",
          "slb:ListTagResources",
          "slb:TagResources",
          "slb:CreateLoadBalancer"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "ram:ListResourceGroups",
          "ram:DeleteResourceGroup",
          "ram:ListPolicyAttachments",
          "ram:DetachPolicy",
          "ram:GetResourceGroup",
          "ram:CreateResourceGroup",
          "ram:DeleteRole",
          "ram:GetPolicy",
          "ram:DeletePolicy",
          "ram:ListPoliciesForRole",
          "ram:CreateRole",
          "ram:AttachPolicyToRole",
          "ram:GetRole",
          "ram:CreatePolicy",
          "ram:CreateUser",
          "ram:DetachPolicyFromRole",
          "ram:CreatePolicyVersion",
          "ram:DetachPolicyFromUser",
          "ram:ListPoliciesForUser",
          "ram:AttachPolicyToUser",
          "ram:CreateUser",
          "ram:GetUser",
          "ram:DeleteUser",
          "ram:CreateAccessKey",
          "ram:ListAccessKeys",
          "ram:DeleteAccessKey",
          "ram:ListUsers",
          "ram:ListPolicyVersions"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "oss:DeleteBucket",
          "oss:DeleteBucketTagging",
          "oss:GetBucketTagging",
          "oss:GetBucketCors",
          "oss:GetBucketPolicy",
          "oss:GetBucketLifecycle",
          "oss:GetBucketReferer",
          "oss:GetBucketTransferAcceleration",
          "oss:GetBucketLog",
          "oss:GetBucketWebSite",
          "oss:GetBucketInfo",
          "oss:PutBucketTagging",
          "oss:PutBucket",
          "oss:OpenOssService",
          "oss:ListBuckets",
          "oss:GetService",
          "oss:PutBucketACL",
          "oss:GetBucketLogging",
          "oss:ListObjects",
          "oss:GetObject",
          "oss:PutObject",
          "oss:DeleteObject"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": [
          "alidns:DescribeDomainRecords",
          "alidns:DeleteDomainRecord",
          "alidns:DescribeDomains",
          "alidns:DescribeDomainRecordInfo",
          "alidns:AddDomainRecord",
          "alidns:SetDomainRecordStatus"
        ],
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": "bssapi:CreateInstance",
        "Resource": "*",
        "Effect": "Allow"
      },
      {
        "Action": "ram:PassRole",
        "Resource": "*",
        "Effect": "Allow",
        "Condition": {
          "StringEquals": {
            "acs:Service": "ecs.aliyuncs.com"
          }
        }
      }
    ]
  }

前提条件

• クラスター管理者のアクセスを持つ OpenShift Container Platform アカウントを使用できる。
• OpenShift CLI (oc) がインストールされている。

検証

• ccoctl を使用する準備ができていることを確認するには、次のコマンドを実行してヘルプファイルを表示します。

  $ ccoctl --help

  ccoctl --help の出力

  OpenShift credentials provisioning tool
  
  Usage:
    ccoctl [command]
  
  Available Commands:
    alibabacloud Manage credentials objects for alibaba cloud
    aws          Manage credentials objects for AWS cloud
    gcp          Manage credentials objects for Google cloud
    help         Help about any command
    ibmcloud     Manage credentials objects for IBM Cloud
    nutanix      Manage credentials objects for Nutanix
  
  Flags:
    -h, --help   help for ccoctl
  
  Use "ccoctl [command] --help" for more information about a command.

• 次のいずれかの方法を使用して、OpenShift Container Platform インストールプログラムによってプロビジョニングされた Alibaba Cloud インフラストラクチャーにクラスターをインストールします。

  • Alibaba Cloud へのクラスターの迅速なインストール: デフォルトの設定オプションを使用して、クラスターを迅速にインストールできます。
  • カスタマイズされたクラスターを Alibaba Cloud にインストール: インストールプログラムを使用すると、インストールの段階で一部のカスタマイズを適用することができます。その他の数多くのカスタマイズオプションは、インストール後 に利用できます。