8.2. サービスディスカバリーを有効にするための OpenShift 設定

手順

1. 3scale 用の OpenShift OAuth クライアントを作成します。詳細は、OpenShift の認証に関するドキュメント を参照してください。以下の例で、<provide-a-client-secret> を生成するシークレットに、<3scale-master-domain-route> を 3scale マスター管理ポータルにアクセスするための URL に、それぞれ置き換えます。

       $ oc project default
       $ cat <<-EOF | oc create -f -
       kind: OAuthClient
       apiVersion: v1
       metadata:
        name: 3scale
       secret: "<provide-a-client-secret>"
       redirectURIs:
        - "<3scale-master-domain-route>"
       grantMethod: prompt
       EOF

2. 3scale サービスディスカバリーの設定ファイルを開きます。

       $ oc project <3scale-project>
       $ oc edit configmap system

3. 以下のように設定します。

       service_discovery.yml:
         production:
           enabled: true
           authentication_method: oauth
           oauth_server_type: builtin
           client_id: '3scale'
           client_secret: '<choose-a-client-secret>'

4. ユーザーが適切なアクセス権限を持ち、検出可能なサービスが含まれるクラスタープロジェクトを表示できるようにしてください。

   <user> で表される管理ユーザーに、検出されるサービスが含まれる <namespace> プロジェクトを表示する権限を付与するには、以下のコマンドを使用します。

   oc adm policy add-role-to-user view <user> -n <namespace>

5. configmap を変更したら、system-app および system-sidekiq Pod を再デプロイし、変更を適用する必要があります。

   oc rollout latest dc/system-app
   oc rollout latest dc/system-sidekiq

6. ロールアウトのステータスをチェックし、完了したことを確認します。

   oc rollout status dc/system-app
   oc rollout status dc/system-sidekiq

手順

1. Red Hat OAuth サーバー (Keycloak) に、3scale 用の OAuth クライアントを作成します。

   注記

   クライアント設定で、OpenShift がアカウントをリンクすることができるように、username が preferred_username にマッピングされていることを確認します。

2. 3scale サービスディスカバリーの設定を編集します。

       $ oc project <3scale-project>
       $ oc edit configmap system

3. 以下のように設定されていることを確認します。ここで、<the-client-secret-from-Keycloak> は、OAuth クライアントの作成時に Keycloak が自動生成した値です。

       service_discovery.yml:
         production:
           enabled: true
           authentication_method: oauth
           oauth_server_type: rh_sso
           client_id: '3scale'
           client_secret: '<the-client-secret-from-Keycloak>'

4. ユーザーが適切なアクセス権限を持ち、検出可能なサービスが含まれるクラスタープロジェクトを表示できるようにしてください。

   たとえば、<user> に <namespace> プロジェクトを表示する権限を付与するには、以下のコマンドを使用します。

   oc adm policy add-role-to-user view <user> -n <namespace>

5. configmap を変更したら、system-app および system-sidekiq Pod を再デプロイし、変更を適用する必要があります。

手順

1. 3scale プロジェクトをアクティブなプロジェクトにします。

      $ oc project <3scale-project>

2. エディターで 3scale サービスディスカバリーの設定を開きます。

      $ oc edit configmap system

3. 以下のように設定されていることを確認します。

   service_discovery.yml:
      production:
         enabled: <%= cluster_token_file_exists = File.exists?(cluster_token_file_path = '/var/run/secrets/kubernetes.io/serviceaccount/token') %>
         bearer_token: "<%= File.read(cluster_token_file_path) if cluster_token_file_exists %>"
         authentication_method: service_account

4. 以下のいずれかのオプションに従って、3scale デプロイメントの amp サービスアカウントに、検出可能なサービスが含まれるプロジェクトを表示するための適切な権限を付与します。

   • 3scale デプロイメントの amp サービスアカウントに、クラスターレベルの 表示 権限を付与する。

     oc adm policy add-cluster-role-to-user view system:serviceaccount:<3scale-project>:amp

   • 『Developer Guide』の「Service Accounts」で説明するように、より厳しいポリシーを適用する。