18.2.3. 带有删除或轮转管理员级凭证的 Mint 模式

目前，只有 AWS 和 GCP 支持这个模式。

在这个模式中，用户使用管理员级别的凭证安装 OpenShift Container Platform，就像普通的 mint 模式一样。但是，这个过程会在安装后从集群中删除管理员级别的凭证 secret。

管理员可以让 Cloud Credential Operator 自行请求只读凭证,，许它验证所有 CredentialsRequest 对象是否有其所需的权限。因此，除非需要更改内容，否则不需要管理员一级的凭证。删除关联的凭证后，如果需要可从底层云中删除或取消激活它。

注意

在非 z-stream 升级前，您必须使用管理员级别的凭证重新恢复凭证 secret。如果没有凭证，则可能无法进行升级。

管理员级别的凭证不会永久存储在集群中。

按照以下步骤，在短时间内仍然需要集群中的管理员级别的凭证。它还需要手动使用每次升级的管理员级别的凭证重新启用 secret。

18.2.3.1. 手动轮转云供应商凭证

如果因为某种原因更改了云供应商凭证，您必须手动更新 Cloud Credential Operator（CCO）用来管理云供应商凭证的 secret。

轮转云凭证的过程取决于 CCO 配置使用的模式。在为使用 mint 模式的集群轮转凭证后，您必须手动删除由删除凭证创建的组件凭证。

先决条件

  • 您的集群会在支持使用您要使用的 CCO 模式手动轮转云凭证的平台上安装：

    • 对于 mint 模式，支持 Amazon Web Services(AWS)和 Google Cloud Platform(GCP)。
  • 您已更改了用于与云供应商接口的凭证。
  • 新凭证有足够的权限来在集群中使用 CCO 模式。

流程

  1. 在 web 控制台的 Administrator 视角中，导航到 Workloads → Secrets。

  2. 在 Secrets 页面的表中，找到您的云供应商的 root secret。

    平台Secret 名称

    AWS

    aws-creds

    GCP

    gcp-credentials

  3. 点与 secret 相同的行 kebab 中的 Options 菜单，然后选择 Edit Secret。
  4. 记录 Value 字段的内容。您可以使用这些信息验证在更新凭证后该值是否不同。
  5. 使用云供应商的新身份验证信息更新 Value 字段的文本，然后点 Save。

  6. 如果集群的 CCO 配置为使用 mint 模式，请删除各个 CredentialsRequest 对象引用的每个组件 secret。

    1. 以具有 cluster-admin 角色的用户身份登录到 OpenShift Container Platform CLI。

    2. 获取所有引用的组件 secret 的名称和命名空间： 

      $ oc -n openshift-cloud-credential-operator get CredentialsRequest \
  -o json | jq -r '.items[] | select (.spec.providerSpec.kind=="<provider_spec>") | .spec.secretRef'

      其中 <provider_spec > 是您的云供应商的对应值：

      • AWS: AWSProviderSpec
      • GCP: GCPProviderSpec

      AWS 输出的部分示例

      {
  "name": "ebs-cloud-credentials",
  "namespace": "openshift-cluster-csi-drivers"
}
{
  "name": "cloud-credential-operator-iam-ro-creds",
  "namespace": "openshift-cloud-credential-operator"
}

    3. 删除每个引用的组件 secret： 

      $ oc delete secret <secret_name> \ 1
  -n <secret_namespace> 2
      1
      指定 secret 的名称。
      2
      指定包含 secret 的命名空间。

      删除 AWS secret 示例

      $ oc delete secret ebs-cloud-credentials -n openshift-cluster-csi-drivers

      您不需要从供应商控制台手动删除凭证。删除引用的组件 secret 将导致 CCO 从平台中删除现有凭证并创建新凭证。

验证

验证凭证是否已更改：

  1. 在 web 控制台的 Administrator 视角中，导航到 Workloads → Secrets。
  2. 验证 Value 字段的内容已改变。