手順

1. OpenShift Web コンソールにログインします。
2. Operators → OperatorHub をクリックします。
3. Filter by keywordに local storage と入力します。​ Operator の一覧から Local Storage Operator を見つけ、これをクリックします。

4. Install Operator ページで、以下のオプションを設定します。

   1. チャンネルを 4.10 または stable のいずれかにして更新します。
   2. インストールモードに A specific namespace on the cluster を選択します。
   3. Installed Namespace に Operator recommended namespace openshift-local-storage を選択します。
   4. 承認を Automatic として更新します。
5. Install をクリックします。

手順

1. OpenShift Web コンソールにログインします。
2. Operators → OperatorHub をクリックします。
3. スクロールするか、OpenShift Data Foundation を Filter by keyword ボックスに入力し、OpenShift Data Foundation Operator を検索します。
4. Install をクリックします。

5. Install Operator ページで、以下のオプションを設定します。

   1. Channel を stable-4.10 として更新します。
   2. Installation Mode オプションに A specific namespace on the cluster を選択します。
   3. Installed Namespace に Operator recommended namespace openshift-storage を選択します。namespace openshift-storage が存在しない場合、これは Operator のインストール時に作成されます。

   4. 承認ストラテジー を Automatic または Manual として選択します。

      Automatic (自動) 更新を選択した場合、Operator Lifecycle Manager (OLM) は介入なしに、Operator の実行中のインスタンスを自動的にアップグレードします。

      Manual 更新を選択した場合、OLM は更新要求を作成します。クラスター管理者は、Operator を新しいバージョンに更新できるように更新要求を手動で承認する必要があります。

   5. Console プラグイン に Enable オプションが選択されていることを確認します。
   6. Install をクリックします。

手順

1. Vault で Key/Value (KV) バックエンドパスを有効にします。

   Vault KV シークレットエンジン API の場合は、バージョン 1 を使用します。

   $ vault secrets enable -path=odf kv

   Vault KV シークレットエンジン API の場合は、バージョン 2 を使用します。

   $ vault secrets enable -path=odf kv-v2

2. 以下のコマンドを使用して、シークレットでの書き込み操作または削除操作の実行をユーザーを制限するポリシーを作成します。

   echo '
   path "odf/*" {
     capabilities = ["create", "read", "update", "delete", "list"]
   }
   path "sys/mounts" {
   capabilities = ["read"]
   }'| vault policy write odf -

3. 上記のポリシーに一致するトークンを作成します。

   $ vault token create -policy=odf -format json

手順

1. サービスアカウントを作成します。

   $ oc -n openshift-storage create serviceaccount <serviceaccount_name>

   ここで、<serviceaccount_name> はサービスアカウントの名前を指定します。

   以下に例を示します。

   $ oc -n openshift-storage create serviceaccount odf-vault-auth

2. clusterrolebindings と clusterroles を作成します。

   $ oc -n openshift-storage create clusterrolebinding vault-tokenreview-binding --clusterrole=system:auth-delegator --serviceaccount=openshift-storage:_<serviceaccount_name>_

   以下に例を示します。

   $ oc -n openshift-storage create clusterrolebinding vault-tokenreview-binding --clusterrole=system:auth-delegator --serviceaccount=openshift-storage:odf-vault-auth

3. OpenShift Container Platform のバージョンに応じて、以下のいずれかを実行します。

   • OpenShift Container Platform 4.10 の場合:

     • 上記で作成された serviceaccount (SA) に関連付けられたシークレット名を特定します。

       $ VAULT_SA_SECRET_NAME=$(oc -n openshift-storage get sa <SA_NAME> -o jsonpath="{.secrets[*]['name']}") | grep -o "[^[:space:]]*-token-[^[:space:]]*"

       以下に例を示します。

       $ VAULT_SA_SECRET_NAME=$(oc -n openshift-storage get sa odf-vault-auth -o jsonpath="{.secrets[*]['name']}" | grep -o "[^[:space:]]*-token-[^[:space:]]*")

   • OpenShift Container Platform 4.11 の場合:

     • serviceaccount トークンおよび CA 証明書のシークレットを作成します。

       $ cat <<EOF | oc create -f -
       apiVersion: v1
       kind: Secret
       metadata:
         name: odf-vault-auth-token
         namespace: openshift-storage
         annotations:
           kubernetes.io/service-account.name: <serviceaccount_name>
       type: kubernetes.io/service-account-token
       data: {}
       EOF

       ここで、<serviceaccount_name> は、前の手順で作成したサービスアカウントです。

       $ VAULT_SA_SECRET_NAME=odf-vault-auth-token

4. シークレットからトークンと CA 証明書を取得します。

   $ SA_JWT_TOKEN=$(oc -n openshift-storage get secret "$VAULT_SA_SECRET_NAME" -o jsonpath="{.data.token}" | base64 --decode; echo)
   $ SA_CA_CRT=$(oc -n openshift-storage get secret "$VAULT_SA_SECRET_NAME" -o jsonpath="{.data['ca\.crt']}" | base64 --decode; echo)

5. OCP クラスターエンドポイントを取得します。

   $ OCP_HOST=$(oc config view --minify --flatten -o jsonpath="{.clusters[0].cluster.server}")

6. サービスアカウントの発行者を取得します。

   $ oc proxy &
   $ proxy_pid=$!
   $ issuer="$( curl --silent http://127.0.0.1:8001/.well-known/openid-configuration | jq -r .issuer)"
   $ kill $proxy_pid

7. 上記の手順で収集した情報を使用して、以下に示すように Vault で Kubernetes 認証方法を設定します。

   $ vault auth enable kubernetes
   $ vault write auth/kubernetes/config \
             token_reviewer_jwt="$SA_JWT_TOKEN" \
             kubernetes_host="$OCP_HOST" \
             kubernetes_ca_cert="$SA_CA_CRT" \
             issuer="$issuer"

   重要

   発行者が空の場合に Vault で Kubernetes 認証方法を設定するには、以下を行います。

   $ vault write auth/kubernetes/config \
             token_reviewer_jwt="$SA_JWT_TOKEN" \
             kubernetes_host="$OCP_HOST" \
             kubernetes_ca_cert="$SA_CA_CRT"

8. Vault で Key/Value (KV) バックエンドパスを有効にします。

   Vault KV シークレットエンジン API の場合は、バージョン 1 です。

   $ vault secrets enable -path=odf kv

   Vault KV シークレットエンジン API の場合は、バージョン 2 です。

   $ vault secrets enable -path=odf kv-v2

9. シークレットに対して書き込み操作または削除操作を実行するようにユーザーを制限するポリシーを作成します。

   echo '
   path "odf/*" {
     capabilities = ["create", "read", "update", "delete", "list"]
   }
   path "sys/mounts" {
   capabilities = ["read"]
   }'| vault policy write odf -

10. ロールを作成します。

    $ vault write auth/kubernetes/role/odf-rook-ceph-op \
            bound_service_account_names=rook-ceph-system,rook-ceph-osd,noobaa \
            bound_service_account_namespaces=openshift-storage \
            policies=odf \
            ttl=1440h

    ロール odf-rook-ceph-op は、後でストレージシステムの作成中に KMS 接続の詳細を設定するときに使用されます。

    $ vault write auth/kubernetes/role/odf-rook-ceph-osd \
            bound_service_account_names=rook-ceph-osd \
            bound_service_account_namespaces=openshift-storage \
            policies=odf \
            ttl=1440h

手順

1. OpenShift Web コンソールで、Operators → Installed Operators をクリックし、インストールされた Operator を表示します。

   選択された Project が openshift-storage であることを確認します。

2. OpenShift Data Foundation Operator をクリックした後、Create StorageSystem をクリックします。

3. Backing storage ページで、以下を実行します。

   1. Deployment type オプションで Full Deployment を選択します。
   2. Create a new StorageClass using the local storage devices オプションを選択します。

   3. Next をクリックします。

      重要

      Local Storage Operator がまだインストールされていない場合は、インストールするように求められます。Install をクリックし、ローカルストレージ Operator のインストール で説明されている手順に従います。

4. Create local volume set ページで、以下の情報を提供します。

   1. LocalVolumeSet および StorageClass の名前を入力します。

      デフォルトで、ローカルボリュームセット名がストレージクラス名について表示されます。名前を変更できます。

   2. 以下のいずれかを選択します。

      • Disks on all nodes

        すべてのノードにある選択したフィルターに一致する利用可能なディスクを使用します。

      • Disks on selected nodes

        選択したノードにある選択したフィルターにのみ一致する利用可能なディスクを使用します。

        重要

        • 柔軟なスケーリング機能は、3 つ以上のノードで作成したストレージクラスターが 3 つ以上のアベイラビリティーゾーンの最低要件未満に分散されている場合にのみ有効になります。

          この機能は、Red Hat OpenShift Data Foundation バージョン 4.7 以降の新規デプロイメントでのみ利用できます。以前のバージョンからバージョン 4.7 以降にアップグレードされたストレージクラスターは、フレキシブルスケーリングをサポートしません。詳細は、New features section of Release Notes の Flexible scaling of OpenShift Data Foundation cluster を参照してください。

        • 選択したノードが集約された 30 CPU および 72 GiB の RAM の OpenShift Data Foundation クラスターの要件と一致しない場合は、最小クラスターがデプロイされます。

          ノードの最小要件については、プランニング ガイドの リソース要件 セクションを参照してください。

   3. Disk Type の利用可能なリストから、SSD/NVMe を選択します。

   4. Advanced セクションを拡張し、以下のオプションを設定します。

      ボリュームモード	デフォルトではブロックが選択されます。
      デバイスタイプ	ドロップダウンリストから 1 つ以上のデバイスタイプを選択します。
      ディスクサイズ	デバイスの最小サイズ 100GB と、含める必要のあるデバイスの最大サイズを設定します。
      ディスクの最大数の制限	これは、ノードで作成できる PV の最大数を示します。このフィールドが空のままの場合、PV は一致するノードで利用可能なすべてのディスクに作成されます。

   5. Next をクリックします。

      LocalVolumeSet の作成を確認するポップアップが表示されます。

   6. Yes をクリックして続行します。

5. Capacity and nodes ページで、以下を設定します。

   1. Available raw capacity には、ストレージクラスに関連付けられた割り当てられたすべてのディスクに基づいて容量の値が設定されます。これには少し時間がかかります。Selected nodes リストには、ストレージクラスに基づくノードが表示されます。
   2. オプション:選択したノードを OpenShift Data Foundation 専用にする場合は、Taint nodes チェックボックスを選択します。
   3. Next をクリックします。

6. オプション:Security and network ページで、要件に応じて以下を設定します。

   1. 暗号化を有効にするには、Enable data encryption for block and file storage を選択します。

   2. 以下の Encryption level のいずれかまたは両方を選択します。

      • クラスター全体の暗号化

        クラスター全体を暗号化します (ブロックおよびファイル)。

      • StorageClass の暗号化

        暗号化対応のストレージクラスを使用して、暗号化された永続ボリューム (ブロックのみ) を作成します。

   3. Connect to an external key management service チェックボックスを選択します。これはクラスター全体の暗号化の場合はオプションになります。

      1. Key Management Service Provider はデフォルトで Vault に設定されます。

      2. 認証方法を選択します。

         トークン認証方式の使用

         • Vault ('https://<hostname or ip>') サーバーの一意の Connection Name、ホストの Address、Port 番号および Token を入力します。

         • Advanced Settings をデプロイメントして、Vault 設定に基づいて追加の設定および証明書の詳細を入力します。

           • OpenShift Data Foundation 専用かつ特有のキーと値のシークレットパスを Backend Path に入力します。
           • オプション:TLS Server Name および Vault Enterprise Namespace を入力します。
           • それぞれの PEM でエンコードされた証明書ファイルをアップロードし、CA 証明書、クライアント証明書、および クライアントの秘密鍵 を提供します。
           • Save をクリックします。

         Kubernetes 認証方式の使用

         • Vault ('https://<hostname or ip>') サーバーの一意の Connection Name、ホストの Address、Port 番号および Role 名を入力します。

         • Advanced Settings をデプロイメントして、Vault 設定に基づいて追加の設定および証明書の詳細を入力します。

           • OpenShift Data Foundation 専用かつ特有のキーと値のシークレットパスを Backend Path に入力します。
           • オプション:該当する場合は、TLS サーバー名 および 認証パス を入力します。
           • PEM でエンコードされた、該当の証明書ファイルをアップロードし、CA 証明書、クライアント証明書、および クライアントの秘密鍵 を指定します。
           • Save をクリックします。

   4. 以下のいずれかを選択します。

      • Default (SDN)

        単一のネットワークを使用している場合。

      • Custom (Multus)

        複数のネットワークインターフェイスを使用している場合。

        1. ドロップダウンメニューから Public Network Interface を選択します。

        2. ドロップダウンメニューから Cluster Network Interface を選択します。

           注記

           追加のネットワークインターフェイスを 1 つだけ使用している場合は、単一のNetworkAttachementDefinition(Public Network Interface にはocs-public-cluster) を選択し、Cluster Network Interface は空白のままにします。

   5. Next をクリックします。

7. Review and create ページで、設定の詳細を確認します。

   設定を変更するには、Back をクリックして前の設定ページに戻ります。

8. Create StorageSystem をクリックします。

1. Pod の状態を確認します。
2. OpenShift Data Foundation クラスターが正常であることを確認
3. Multicloud Object Gateway が正常であることを確認します。
4. OpenShift Data Foundation 固有のストレージクラスが存在することを確認
5. Multus ネットワークの確認

手順

1. OpenShift Web コンソールにログインします。
2. Operators → OperatorHub をクリックします。
3. Filter by keywordに local storage と入力します。​ Operator の一覧から Local Storage Operator を見つけ、これをクリックします。

4. Install Operator ページで、以下のオプションを設定します。

   1. チャンネルを 4.10 または stable のいずれかにして更新します。
   2. インストールモードに A specific namespace on the cluster を選択します。
   3. Installed Namespace に Operator recommended namespace openshift-local-storage を選択します。
   4. 承認を Automatic として更新します。
5. Install をクリックします。

手順

1. OpenShift Web コンソールにログインします。
2. Operators → OperatorHub をクリックします。
3. スクロールするか、OpenShift Data Foundation を Filter by keyword ボックスに入力し、OpenShift Data Foundation Operator を検索します。
4. Install をクリックします。

5. Install Operator ページで、以下のオプションを設定します。

   1. Channel を stable-4.10 として更新します。
   2. Installation Mode オプションに A specific namespace on the cluster を選択します。
   3. Installed Namespace に Operator recommended namespace openshift-storage を選択します。namespace openshift-storage が存在しない場合、これは Operator のインストール時に作成されます。

   4. 承認ストラテジー を Automatic または Manual として選択します。

      Automatic (自動) 更新を選択した場合、Operator Lifecycle Manager (OLM) は介入なしに、Operator の実行中のインスタンスを自動的にアップグレードします。

      Manual 更新を選択した場合、OLM は更新要求を作成します。クラスター管理者は、Operator を新しいバージョンに更新できるように更新要求を手動で承認する必要があります。

   5. Console プラグイン に Enable オプションが選択されていることを確認します。
   6. Install をクリックします。

手順

1. OpenShift Web コンソールで、Operators → Installed Operators をクリックし、インストールされた Operator を表示します。

   選択された Project が openshift-storage であることを確認します。

2. OpenShift Data Foundation Operator をクリックした後、Create StorageSystem をクリックします。

3. Backing storage ページで、以下を選択します。

   1. Deployment type の Multicloud Object Gateway を選択します。
   2. Create a new StorageClass using the local storage devices オプションを選択します。

   3. Next をクリックします。

      注記

      Local Storage Operator がまだインストールされていない場合は、インストールするように求められます。Install をクリックし、ローカルストレージ Operator のインストール で説明されている手順に従います。

4. Create local volume set ページで、以下の情報を提供します。

   1. LocalVolumeSet および StorageClass の名前を入力します。

      デフォルトで、ローカルボリュームセット名がストレージクラス名について表示されます。名前を変更できます。

   2. 以下のいずれかを選択します。

      • Disks on all nodes

        すべてのノードにある選択したフィルターに一致する利用可能なディスクを使用します。

      • Disks on selected nodes

        選択したノードにある選択したフィルターにのみ一致する利用可能なディスクを使用します。

   3. Disk Type の利用可能なリストから、SSD/NVMe を選択します。

   4. Advanced セクションを拡張し、以下のオプションを設定します。

      ボリュームモード	デフォルトではファイルシステムが選択されています。Volume Mode でファイルシステムが選択されていることを常に確認してください。
      デバイスタイプ	ドロップダウンリストから 1 つ以上のデバイスタイプを選択します。
      ディスクサイズ	デバイスの最小サイズ 100GB と、含める必要のあるデバイスの最大サイズを設定します。
      ディスクの最大数の制限	これは、ノードで作成できる PV の最大数を示します。このフィールドが空のままの場合、PV は一致するノードで利用可能なすべてのディスクに作成されます。

   5. Next をクリックします。

      LocalVolumeSet の作成を確認するポップアップが表示されます。

   6. Yes をクリックして続行します。

5. Capacity and nodes ページで、以下を設定します。

   1. Available raw capacity には、ストレージクラスに関連付けられた割り当てられたすべてのディスクに基づいて容量の値が設定されます。これには少し時間がかかります。Selected nodes リストには、ストレージクラスに基づくノードが表示されます。
   2. Next をクリックします。

6. オプション:Security ページで、Connect to an external key management service を選択します。

   1. Key Management Service Provider はデフォルトで Vault に設定されます。
   2. Vault Service Name、Vault サーバーのホスト Address('https://<hostname or ip>')、Port number および Token を入力します。

   3. Advanced Settings をデプロイメントして、Vault 設定に基づいて追加の設定および証明書の詳細を入力します。

      1. OpenShift Data Foundation 専用で固有のキーバリューシークレットパスを Backend Path に入力します。
      2. オプション:TLS Server Name および Vault Enterprise Namespace を入力します。
      3. それぞれの PEM でエンコードされた証明書ファイルをアップロードし、CA 証明書、クライアント証明書、および クライアントの秘密鍵 を提供します。
      4. Save をクリックします。
   4. Next をクリックします。

7. Review and create ページで、設定の詳細を確認します。

   設定を変更するには、Back をクリックします。

8. Create StorageSystem をクリックします。