19.6. GCP ワークロード ID で手動モードを使用する

手順

1. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージを取得します。

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

2. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CCO コンテナーイメージを取得します。

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)

   注記

   $RELEASE_IMAGE のアーキテクチャーが、ccoctlツールを使用する環境のアーキテクチャーと一致していることを確認してください。

3. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージ内の CCO コンテナーイメージから ccoctl バイナリーを抽出します。

   $ oc image extract $CCO_IMAGE --file="/usr/bin/ccoctl" -a ~/.pull-secret

4. 次のコマンドを実行して、権限を変更して ccoctl を実行可能にします。

   $ chmod 775 ccoctl

手順

1. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CredentialsRequest オブジェクトのリストを抽出します。

   $ oc adm release extract \
   --credentials-requests \
   --cloud=gcp \
   --to=<path_to_directory_with_list_of_credentials_requests>/credrequests \ 1
   quay.io/<path_to>/ocp-release:<version>

   1

   credrequests は、CredentialsRequest オブジェクトのリストが格納されるディレクトリーです。ディレクトリーが存在しない場合、このコマンドはディレクトリーを作成します。

   注記

   このコマンドの実行には少し時間がかかる場合があります。

2. クラスターでクラスター機能を使用して 1 つ以上のオプションコンポーネントを無効にする場合は、無効なコンポーネントの CredentialsRequest カスタムリソースを削除します。

   GPC 上の OpenShift Container Platform 4.12 の credrequests ディレクトリーの内容の例

   0000_26_cloud-controller-manager-operator_16_credentialsrequest-gcp.yaml 1
   0000_30_machine-api-operator_00_credentials-request.yaml 2
   0000_50_cloud-credential-operator_05-gcp-ro-credentialsrequest.yaml 3
   0000_50_cluster-image-registry-operator_01-registry-credentials-request-gcs.yaml 4
   0000_50_cluster-ingress-operator_00-ingress-credentials-request.yaml 5
   0000_50_cluster-network-operator_02-cncc-credentials.yaml 6
   0000_50_cluster-storage-operator_03_credentials_request_gcp.yaml 7

   1

   Cloud Controller Manager Operator CR が必要です。

   2

   Machine API Operator CR が必要です。

   3

   Cloud Credential Operator CR が必要です。

   4

   Image Registry Operator CR が必要です。

   5

   Ingress Operator CR が必要です。

   6

   Network Operator CR が必要です。

   7

   Storage Operator CR はオプションのコンポーネントであり、クラスターで無効になっている場合があります。

3. ccoctl ツールを使用して、credrequests ディレクトリーですべての CredentialsRequest オブジェクトを処理します。

   $ ccoctl gcp create-all \
   --name=<name> \
   --region=<gcp_region> \
   --project=<gcp_project_id> \
   --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests

   ここでは、以下のようになります。

   • <name> は、トラッキングに使用される、作成されたすべての GCP リソースのユーザー定義名です。
   • <gcp_region> は、クラウドリソースが作成される GCP リージョンです。
   • <gcp_project_id> は、クラウドリソースが作成される GCP プロジェクト ID です。
   • <path_to_directory_with_list_of_credentials_requests>/credrequests は、GCP サービスアカウントを作成するためのCredentials Requestマニフェストのファイルを含むディレクトリーです。
   注記

   クラスターで TechPreviewNoUpgrade 機能セットによって有効化されたテクノロジープレビュー機能を使用している場合は、--enable-tech-preview パラメーターを含める必要があります。

手順

1. インストールプログラムが含まれるディレクトリーに切り替え、install-config.yaml ファイルを作成します。

   $ openshift-install create install-config --dir <installation_directory>

   ここで、<installation_directory> は、インストールプログラムがファイルを作成するディレクトリーに置き換えます。

2. install-config.yaml 設定ファイルを編集し、credentialsMode パラメーターが Manual に設定されるようにします。

   サンプル install-config.yaml 設定ファイル

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 1
   compute:
   - architecture: amd64
     hyperthreading: Enabled

   1

   この行は、credentialsMode パラメーターを Manual に設定するために追加されます。

3. 必要な OpenShift Container Platform インストールマニフェストを作成します。

   $ openshift-install create manifests

4. ccoctl によって生成されたマニフェストを、インストールプログラムが作成した manifests ディレクトリーにコピーします。

   $ cp /<path_to_ccoctl_output_dir>/manifests/* ./manifests/

5. ccoctl が tls ディレクトリーに生成したプライベートキーをインストールディレクトリーにコピーします。

   $ cp -a /<path_to_ccoctl_output_dir>/tls .

6. OpenShift Container Platform インストーラーを実行します。

   $ ./openshift-install create cluster

1. OpenShift Container Platform クラスターに接続します。

2. クラスターに root 認証情報がないことを確認します。

   $ oc get secrets -n kube-system gcp-credentials

   出力は以下のようになります。

   Error from server (NotFound): secrets "gcp-credentials" not found

3. コンポーネントが、CCO によって作成される認証情報を使用するのではなく、シークレットマニフェストで指定されたサービスアカウントを持つことを確認します。

   Image Registry Operator を使用したコマンドの例

   $ oc get secrets -n openshift-image-registry installer-cloud-credentials -o json | jq -r '.data."service_account.json"' | base64 -d

   出力には、コンポーネントによって使用されるロールおよび Web アイデンティティートークンが表示され、以下のように表示されるはずです。

   Image Registry Operator を使用した出力例

   {
      "type": "external_account", 1
      "audience": "//iam.googleapis.com/projects/123456789/locations/global/workloadIdentityPools/test-pool/providers/test-provider",
      "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
      "token_url": "https://sts.googleapis.com/v1/token",
      "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/<client-email-address>:generateAccessToken", 2
      "credential_source": {
         "file": "/var/run/secrets/openshift/serviceaccount/token",
         "format": {
            "type": "text"
         }
      }
   }

   1

   クレデンシャルの種類はexternal_accountです。

   2

   Image Registry Operator が使用するサービスアカウントのリソース URL。