前提条件

プライベート・ワーカーをインストールする前に、認証鍵を作成する IBM Cloud® アカウントがあることを確認してください。 管理者のデスクトップ・コンピューターにインストールされている最新の kubectl バージョンが必要です。 また、プライベートワーカーをインストールするには、管理者権限を持つ Kubernetes クラスター （バージョン 1.15 以降）も必要です。

• Kubernetes クラスターの推奨構成:

  • IBM Cloud Kubernetes Service IBM Cloud Public上でワークロードを隔離して実行するには、 以降のバージョンが必要です。 1.21
  • Red Hat® OpenShift® on IBM Cloud® バージョン 4.9 以降。

• ネットワーク・アクセス:

  • インバウンド: 必須ではありません。

  • アウトバウンドのネットワークアクセスには、 (TCP:443) が使用されます。ここで、リージョンはデリバリーパイプラインの所在地と一致し、 au-syd （オーストラリア・シドニー）、 eu-de （ドイツ・フランクフルト）、 eu-gb （イギリス・ロンドン）、 jp-tok （日本、東京）、 us-south （米国、ダラス）、 us-east （米国、 Washington DC ）、 br-sao （サンパウロ）、または ca-tor （カナダ、トロント）のいずれかです。 例えば、フランクフルト・リージョンでは https://private-worker-service.eu-de.devops.cloud.ibm.com (TCP:443) を指定します。 API キーの検証のためにグローバル・エンドポイントにネットワーク・アクセスを行う場合は、https://iam.cloud.ibm.com (TCP:443) を使用します。

• icr.io からイメージをプルする権限。 プライベート・ワーカーは tekton-pipelines インフラストラクチャーを必要とするので、プライベート・ワーカーをインストールするには、icr.io から tekton-releases イメージをプルできなければなりません。

  icr.io コンテナ・レジストリからイメージを引き出すには、 特定の Kubernetes ClusterImagePolicy を定義する 必要があるかもしれない。

プライベートワーカーは Red Hat OpenShift パイプラインと互換性がないため、 Red Hat OpenShift パイプラインが稼働しているクラスターには、これらをインストールしないことをお勧めします。

Delivery Pipeline プライベート・ワーカーのインストール

プライベート・ワーカーをインストールするには、クラスターに対する管理者レベルのアクセス権限が必要です。 プライベート・ワーカーのインストールは、グラフィカル・ユーザー・インターフェースが使用できないため、コマンド・ラインを使用してのみ実行できます。

kubectl apply --filename "https://private-worker-service.{REGION}.devops.cloud.ibm.com/install"

kubectl apply --filename "https://private-worker-service.{REGION}.devops.cloud.ibm.com/install?private=true"

Delivery Pipeline プライベート・ワーカーの登録

$ ibmcloud iam service-id-create {worker-pool-name} -d "{worker-pool-description}"
Creating service ID {worker-pool-name} bound to current account as username@domain.com...OK
Service ID {worker-pool-name} is created successfully
Name           {worker-pool-name}
Description    {worker-pool-description}
CRN            crn:v1:bluemix:public:iam-identity::a/8d63fb1cc5e99e86dd7229dddff75fef::serviceid:ServiceId-38ffff31-3ea3-4ecc-9732-190f7a993097
Bound To       crn:v1:bluemix:public:::a/8d63fb1cc5e99e86dd7229dddff75fef:::
Version        1-6df15bde97b6e87f583a557f8731888f
Locked         false
UUID         ServiceId-38ffff31-3ea3-4ecc-9732-190f7a993097

$ ibmcloud iam service-api-key-create {worker-api-key-name} (SERVICE\_ID\_NAME|SERVICE\_ID\_UUID) \[-d, --description DESCRIPTION\] \[--file OUT_FILE\]
Creating API key  {worker-api-key-name} of service
SERVICE\_ID\_NAME as username@domain.com...
OK
Service API key {worker-api-key-name} is created
Successfully saved API key information to FILE
Please preserve the API key! It cannot be retrieved after it's created.
Name           {worker-api-key-name}
Description    Description
Bound To       crn:v1:bluemix:public:iam-identity::a/2cac145ae78048679b129009cfe8c7f9::serviceid:ServiceId-9a6a14e5-5811-4c2c-9131-0e1d4bb7dfe1
Created At     2019-07-04T10:51+0000
API Key        doJX9kORc4q5PRkH19H3lePDwYRAKNWk4XlIuEBrriOD
Locked         false
UUID           ApiKey-c1ee0fb5-90f2-476e-a260-a796e6d7f5f7

$ kubectl create secret generic {WORKER_NAME}-auth -n default --from-literal=apikey={API_KEY} && kubectl apply --filename "https://private-worker-service.{REGION}.devops.cloud.ibm.com/install/worker?serviceId={SERVICE_ID}&name={WORKER_NAME}"
workeragent.devops.cloud.ibm.com/worker-name created
secret/worker-name-auth created

`{REGION}` には、以下のいずれかの値を指定できます:

  * `au-syd` （オーストラリア、シドニー）
  * `eu-de` （ドイツ・フランクフルト）
  * `eu-gb` （ロンドン、イギリス）
  * `jp-tok` （日本・東京）
  * `us-south` （米国・ダラス）
  * `us-east` （米国 Washington DC ）
  * `ca-tor` （カナダ・トロント）
  * `br-sao` （ブラジル、サンパウロ）

   $ kubectl create secret generic {WORKER_NAME}-auth -n default --from-literal=apikey={API_KEY} && kubectl apply --filename "https://private-worker-service.{REGION}.devops.cloud.ibm.com/install/worker?serviceId={SERVICE_ID}&name={WORKER_NAME}&private=true"

  * フランクフルト `eu-de`
  * ロンドン `eu-gb`
  * ダラス `us-south`
  * ワシントン DC `us-east`

$ kubectl get workeragents
NAME           SERVICEID     AGENT   REGISTERED   VERSION   AUTH   CONSTRAINED   PAUSED
<worker_name>  <ServiceId>   OK      Succeeded    OK        OK     false         false

プライベート・エンドポイントを使用するための Delivery Pipeline プライベート・ワーカーの構成

デフォルトでは、プライベート・ワーカーは通信にパブリック・エンドポイントを使用します。 クラスター管理者は、プライベート・ワーカーと IBM Cloud® Continuous Delivery サービスの間の通信でパブリック・インターネットが使用されないように、プライベート・ワーカーの構成を更新してプライベート・エンドポイントを使用させることができます。

1. クラスターにインストールされているエージェントの名前を取得します。

kubectl get workeragents -n default

2. そのエージェントの apiUrl を変更します。

kubectl patch workeragent {WORKER_NAME} --type='merge' -p '{"spec": {"apiUrl":"https://private-worker-service.private.{REGION}.devops.cloud.ibm.com"}}'

{REGION} はツールチェーンのパイプラインの場所です。 プライベート・エンドポイントは、以下のリージョンで使用できます。

* ダラス `us-south`
* ワシントン `us-east`
* フランクフルト `eu-de`
* ロンドン `eu-gb`

この機能を使用するには、VRF が有効な IBM Cloud アカウントが必要です。

3. オプション。 エージェントにパブリック・エンドポイントを使用するように戻すには、以下のコマンドを入力します。

kubectl patch workeragent {WORKER_NAME} -n default --type='merge' -p '{"spec": {"apiUrl":"https://private-worker-service.{REGION}.devops.cloud.ibm.com"}}'

Satellite リンク・エンドポイントを使用するための Delivery Pipeline プライベート・ワーカーの構成

デフォルトでは、プライベート・ワーカーは通信にパブリック・エンドポイントを使用します。 クラスター管理者は、プライベート・ワーカーと Continuous Delivery サービスの間の通信が Satellite リンク・エンドポイントを経由するように、 Satellite リンク・エンドポイントを使用するようにプライベート・ワーカー構成を更新できます。

1. IBM Cloud® Continuous Delivery サービスのクラウド Satellite リンク・エンドポイントを作成 し、以下の値を使用するように FQDN および Service indication name を設定します。

private-worker-service.{REGION}.devops.cloud.ibm.com

{REGION} はツールチェーンのパイプラインの場所です。

2. パブリック・エンドポイントを Satellite リンク・エンドポイントにマップする構成マップを、プライベート・ワーカーの名前空間に作成します。

apiVersion: v1
kind: ConfigMap
metadata:
   name: pipelineworker-url-map
data:
   iam.cloud.ibm.com: <default IAM satellite link endpoint for your satellite location>
   private-worker-service.{REGION}.devops.cloud.ibm.com: <satellite link endpoint created in step 1)>

コンフィグマップにエンドポイントを追加することができる。例えば、 デフォルトの Satellite リンクエンドポイントである。

Delivery Pipeline プライベート・ワーカーのインストール環境の更新

プライベート・ワーカーが非アクティブと報告される場合は、インストールを更新する必要があります。

プライベートワーカーのバージョンを確認するには、次のいずれかのコマンドを入力してください：

• IBM Cloud Kubernetes Service: kubectl -n tekton-pipelines describe deploy private-worker-agent | grep Image
• Red Hat® OpenShift® on IBM Cloud®: kubectl -n openshift-operators describe deploy private-worker-agent-controller-manager | grep Image

プライベート・ワーカーのインストール環境を更新するには、以下の手順を実行します。

1. もう一度インストール・コマンドを実行します。
2. もう一度 Kubernetes クラスターのプライベート・ワーカーを登録します。

既存のプライベート・ワーカーに使用した apikey を再利用できます。

Delivery Pipeline Private Workersの詳細については、 Delivery Pipeline Private Workersのトラブルシューティング および Pipeline Private WorkersのFAQを 参照してください。