Manuelles Binden von Dienstanmeldeinformationen an Ihren Cluster

Vorbereitende Schritte:

• Stellen Sie sicher, dass Sie die folgenden Rollen innehaben:
  • Editor oder Administrator IBM Cloud IAM-Plattform-Zugriffsrolle für den Cluster, in dem Sie einen Dienst binden möchten.
  • Writer oder Manager IBM Cloud IAM-Dienst-Zugriffsrolle für den Kubernetes-Namensraum, an den Sie den Dienst binden möchten.
• Melden Sie sich an Ihrem Konto an. If applicable, target the appropriate resource group. Legen Sie den Kontext für den Cluster fest.

Sie können Ihrem Cluster manuell Dienstanmeldeinformationen hinzufügen, indem Sie die folgenden Schritte ausführen.

1. Ermitteln Sie den Instanznamen des Dienstes, den Sie Ihrem Cluster hinzufügen möchten.

   ibmcloud resource service-instances
   

2. Einen Serviceschlüssel erstellen. Weitere Informationen finden Sie in der Befehlsreferenz.

   ibmcloud resource service-key-create NAME [ROLE] --instance-name SERVICE_INSTANCE
   

3. Kopieren Sie den Abschnitt Credentials und speichern Sie ihn in einer Datei ohne Erweiterung mit dem Namen creds.

4. Erstellen Sie ein Kubernetes-Geheimnis, das die von Ihnen erstellte Anmeldedatei verwendet.

   kubectl create secret generic my-secret --from-file=path/to/creds
   

Hinzufügen von Diensten zu Clustern mit Hilfe der service bind CLI

Kann ich bei der Anbindung vorhandene Dienstanmeldedaten verwenden?

Sie können optional den Parameter --key angeben, wenn Sie den Befehl service bind ausführen, und den Namen Ihrer vorhandenen Dienstanmeldeinformationen angeben. IBM Cloud service binding erstellt automatisch ein Kubernetes secret mit Ihren vorhandenen Dienstanmeldeinformationen.

Was ist, wenn es sich bei meinen bestehenden Anmeldedaten um einmalige Anmeldedaten handelt?

Der Befehl service bind unterstützt nicht das Mitbringen eigener Anmeldedaten für die einmalige Ansicht. Wenn Sie also den Befehl service bind verwenden möchten, geben Sie den Parameter --key nicht an. Wenn Sie den Befehl ohne --key ausführen, wird ein neuer Satz von Anmeldeinformationen für Sie erstellt.

Wenn Sie Anmeldeinformationen verwenden möchten, die nur einmalig gültig sind, müssen Sie den Dienst manuell an Ihren Cluster binden. Mit dieser Option können Sie Ihre vorhandenen Anmeldedaten für die einmalige Ansicht verwenden.

Was ist, wenn ich Serviceberechtigungsnachweise, die den privaten Cloud-Service-Endpunkt verwenden, benutzen möchte?

Standardmäßig erstellt der Befehl service bind Dienstanmeldeinformationen mit dem Endpunkt des öffentlichen Cloud-Dienstes. Wenn Sie den Private-Cloud-Serviceendpunkt verwenden möchten, müssen Sie manuell Serviceberechtigungsnachweise für Ihren Service erstellen, die den Private-Cloud-Serviceendpunkt verwenden; anschließend müssen Sie die Option --key verwenden, um den Namen der bestehenden Serviceberechtigungsnachweise anzugeben. Wenn Sie Ihre eigenen Anmeldedaten mitbringen möchten, stellen Sie sicher, dass Ihre vorhandenen Anmeldedaten keine Einmal-Anmeldedaten sind. Weitere Informationen finden Sie unter Einmalige Berechtigungsnachweise.

Ihr Service unterstützt möglicherweise noch keine Private-Cloud-Serviceendpunkte. Wenn Sie einen ausschließlich privaten Cluster (private-only) haben, müssen Sie Serviceberechtigungsnachweise nutzen, die den Private-Cloud-Serviceendpunkt verwenden, oder Sie müssen die öffentliche IP-Adresse und den Port für die Verbindung zu Ihrem Service öffnen.

Lesen Sie in den folgenden Abschnitten nach, wie Sie Dienstanmeldeinformationen an Ihren Cluster binden.

Verwenden Sie die IBM Cloud-Servicebindung, um automatisch Serviceberechtigungsnachweise für Ihre IBM Cloud-Services zu erstellen und diese in einem geheimen Kubernetes-Schlüssel zu speichern.

Wenn Ihr Dienst private Cloud-Service-Endpunkte unterstützt, können Sie die Dienstanmeldedaten manuell mit dem privaten Cloud-Service-Endpunkt erstellen und dann die Option --key verwenden, um den Namen Ihrer Anmeldedaten anzugeben.

Vorbereitende Schritte:

• Stellen Sie sicher, dass Sie die folgenden Rollen innehaben:
  • Editor oder Administrator IBM Cloud IAM-Plattform-Zugriffsrolle für den Cluster, in dem Sie einen Dienst binden möchten.
  • Writer oder Manager IBM Cloud IAM-Dienst-Zugriffsrolle für den Kubernetes-Namensraum, an den Sie den Dienst binden möchten.
• Melden Sie sich an Ihrem Konto an. If applicable, target the appropriate resource group. Legen Sie den Kontext für den Cluster fest.

Gehen Sie wie folgt vor, um Ihrem Cluster einen IBM Cloud-Service hinzuzufügen:

1. Erstellen Sie eine Instanz des IBM Cloud-Service.

   • Bestimmte IBM Cloud-Services sind nur in ausgewählten Regionen verfügbar. Sie können einen Service nur an Ihren Cluster binden, wenn der Service in derselben Region wie Ihr Cluster verfügbar ist. Wenn Sie eine Serviceinstanz in der Zone 'Washington DC' erstellen wollen, müssen Sie außerdem die CLI verwenden.
   • Für IAM-fähige Services: Sie müssen die Serviceinstanz in derselben Ressourcengruppe wie den Cluster erstellen. Ein Service kann in nur einer Ressourcengruppe erstellt werden; eine Änderung ist danach nicht mehr möglich.
   • Stellen Sie sicher, dass der Servicename das Format myservice oder example.com hat. Leerzeichen und Unterstreichungszeichen sind nicht zulässig.

2. Überprüfen Sie den Servicetyp, den Sie erstellt haben, und notieren Sie die Serviceinstanz Name.

   ibmcloud resource service-instances
   

   Beispielausgabe

   NAME                          Location   State    Type               Tags
   <iam_service_instance_name>   <region>   active   service_instance
   

3. Geben Sie den Clusternamensbereich an, den Sie verwenden wollen, um Ihren Service hinzuzufügen.

   kubectl get namespaces
   

4. Binden Sie den Service an Ihren Cluster, um Serviceberechtigungsnachweise für Ihren Service zu erstellen, die den Public-Cloud-Serviceendpunkt verwenden und die Berechtigungsnachweise in einem geheimen Kubernetes-Schlüssel speichern. Wenn Sie über vorhandene Dienstanmeldeinformationen verfügen, verwenden Sie die Option --key, um den Namen der Anmeldeinformationen anzugeben. Für IAM-aktivierte Dienste werden die Anmeldeinformationen automatisch mit der Dienstzugriffsrolle Writer erstellt, aber Sie können die Option --role verwenden, um eine andere Dienstzugriffsrolle anzugeben. Wenn Sie die Option --key verwenden, schließen Sie die Option --role nicht ein.

   Wenn Sie Ihre eigenen Anmeldeinformationen mitbringen möchten, stellen Sie sicher, dass Ihre vorhandenen Anmeldeinformationen keine Einmal-Anmeldeinformationen sind, oder verwenden Sie die empfohlene Methode, die Dienstanmeldeinformationen manuell in Ihrem Cluster zu speichern. Weitere Informationen finden Sie unter Einmalige Berechtigungsnachweise.

   ibmcloud ks cluster service bind --cluster <cluster_name_or_ID> --namespace <namespace> --service <service_instance_name> [--key <service_instance_key>] [--role <IAM_service_role>]
   

   Nach erfolgreicher Erstellung der Serviceberechtigungsnachweise wird ein geheimer Kubernetes-Schlüssel namens binding-<service_instance_name> erstellt.

   Beispielausgabe

   ibmcloud ks cluster service bind --cluster mycluster --namespace mynamespace --service cleardb
   Binding service instance to namespace...
   OK
   Namespace:         mynamespace
   Secret name:     binding-<service_instance_name>
   

5. Überprüfen Sie die Serviceberechtigungsnachweise in Ihrem geheimen Kubernetes-Schlüssel.

   1. Rufen Sie die Details des geheimen Schlüssels ab und notieren Sie den binding-Wert. Der binding-Wert ist Base64-codiert und enthält die Berechtigungsnachweise für Ihre Serviceinstanz im JSON-Format.

      kubectl get secrets binding-<service_instance_name> --namespace=<namespace> -o yaml
      

      Beispielausgabe

      apiVersion: v1
      data:
      binding: <binding>
      kind: Secret
      metadata:
        annotations:
          service-instance-id: 1111aaaa-a1aa-1aa1-1a11-111aa111aa11
          service-key-id: 2b22bb2b-222b-2bb2-2b22-b22222bb2222
        creationTimestamp: 2018-08-07T20:47:14Z
        name: binding-<service_instance_name>
        namespace: <namespace>
        resourceVersion: "6145900"
        selfLink: /api/v1/namespaces/default/secrets/binding-mycloudant
        uid: 33333c33-3c33-33c3-cc33-cc33333333c
      type: Opaque
      

   2. Decodieren Sie den Bindungswert.

      echo "<binding>" | base64 -D
      

      Beispielausgabe

      {"apikey":"<API_key>","host":"<ID_string>-bluemix.cloudant.com","iam_apikey_description":"Auto generated apikey during resource-key operation for Instance - crn:v1:bluemix:public:cloudantnosqldb:us-south:a/<ID_string>::","iam_apikey_name":"auto-generated-apikey-<ID_string>","iam_role_crn":"crn:v1:bluemix:public:iam::::serviceRole:Writer","iam_serviceid_crn":"crn:v1:bluemix:public:iam-identity::a/1234567890brasge5htn2ec098::serviceid:ServiceId-<ID_string>","password":"<ID_string>","port":443,"url":"https://<ID_string>-bluemix.cloudant.com","username":"123b45da-9ce1-4c24-ab12-rinwnwub1294-bluemix"}
      

   3. Optional: Vergleichen Sie die Serviceberechtigungsnachweise, die Sie im vorherigen Schritt decodiert haben, mit den Serviceberechtigungsnachweisen, die Sie für Ihre Serviceinstanz im IBM Cloud-Dashboard finden.

6. Ihr Service ist nun an Ihren Cluster gebunden und Sie müssen Ihre App für den Zugriff auf die Serviceberechtigungsnachweise im geheimen Kubernetes-Schlüssel konfigurieren.

Über Apps auf Serviceberechtigungsnachweise zugreifen

Um über Ihre App auf eine IBM Cloud-Serviceinstanz zuzugreifen, müssen Sie die im geheimen Kubernetes-Schlüssel gespeicherten Serviceberechtigungsnachweise für Ihre App verfügbar machen.

Die Berechtigungsnachweise einer Serviceinstanz sind Base64-codiert und werden in Ihrem geheimen Schlüssel im JSON-Format gespeichert. Wählen Sie eine der folgenden Optionen aus, um auf die Daten in Ihrem geheimen Schlüssel zuzugreifen:

• Geheimen Schlüssel als Datenträger an den Pod anhängen
• Geheimen Schlüssel in Umgebungsvariablen referenzieren

Vorbereitende Schritte:

• Stellen Sie sicher, dass Sie über die IAM-Service-Zugriffsrolle Writer oder Manager IBM Cloud für den Namensraum kube-system verfügen.
• Melden Sie sich an Ihrem Konto an. If applicable, target the appropriate resource group. Legen Sie den Kontext für den Cluster fest.
• Fügen Sie einen IBM Cloud-Service zu Ihrem Cluster hinzu.

Service aus einem Cluster entfernen

Wenn Sie keinen IBM Cloud-Service verwenden möchten, den Sie an Ihren Cluster gebunden haben, können Sie den geheimen Kubernetes-Schlüssel und die Pods, die auf den geheimen Schlüssel zugreifen, manuell aus Ihrem Cluster entfernen.

1. Listen Sie die Services auf, die an Ihren Cluster gebunden sind, und notieren Sie den Namen des Service und des Namensbereichs, an den der Service gebunden ist.

   ibmcloud ks cluster service ls --cluster
   

   Beispielausgabe

   OK
   Service   Instance GUID                          Key                                                                  Namespace   
   myservice 12345ab1-1234-1abc-a12b-12abc12a12ab   kube-a1a12abcd12a123abc1a12ab1a1234ab7.abcdefg0p1abcd123lgg.default   default  
   

2. Listen Sie die geheimen Kubernetes-Schlüssel in dem Namensbereich auf, an den Ihr Service gebunden ist, und suchen Sie nach dem geheimen Schlüssel mit einem Namen im Format binding-<service_name>.

   kubectl get secrets -n <namespace> | grep Opaque
   

   Beispielausgabe

   binding-myservice   Opaque     1      3d23h
   

3. Rufen Sie alle Pods ab, die auf den geheimen Schlüssel zugreifen.

   kubectl get pods --all-namespaces -o=jsonpath='{range .items[*]}{"\n"}{.metadata.name}{":\t"}{range .spec.volumes[*]}{.secret.secretName}{" "}{end}{end}' | grep "<secret_name>"
   

   Wenn die CLI-Ausgabe leer ist, sind keine Pods in Ihrem Cluster vorhanden, die auf den geheimen Schlüssel zugreifen.

4. Wenn Sie Pods haben, die auf den geheimen Schlüssel zugreifen, entfernen Sie entweder den Pod oder die Bereitstellung, die den Pod verwaltet, oder Sie aktualisieren den Pod und die YAML-Bereitstellungsdatei so, dass sie einen anderen geheimen Schlüssel verwenden.

   • Führen Sie die folgenden Befehle aus, um einen Pod oder eine Bereitstellung zu entfernen:

     kubectl delete pod <pod_name> -n <namespace>
     

     kubectl delete deployment <deployment_name> -n <namespace>
     

   • Gehen Sie wie folgt vor, um einen Pod oder eine Bereitstellung zu aktualisieren:
     1. Rufen Sie den Pod oder die YAML-Bereitstellungsdatei ab.

        kubectl get pod <pod_name> -o yaml
        

        kubectl get deployment <deployment_name> -o yaml
        

     2. Kopieren Sie die YAML-Datei und ändern Sie im Abschnitt spec.volumes den Namen des geheimen Schlüssels ('secret'), den Sie verwenden wollen.
     3. Wenden Sie die Änderung in Ihrem Cluster an.

        kubectl apply -f pod.yaml
        

        kubectl apply -f deployment.yaml
        

     4. Überprüfen Sie, ob ein neuer Pod mit der aktualisierten Datenträgerspezifikation erstellt wurde.

        kubectl get pods
        

        kubectl describe pod <pod_name>
        

5. Entfernen Sie den geheimen Schlüssel.

   kubectl delete secret <secret_name> -n <namespace>
   

6. Überprüfen Sie, ob Ihr geheimer Schlüssel entfernt wurde.

   kubectl get secrets -n <namespace>
   

7. Optional. Entfernen Sie die IBM Cloud-Serviceinstanz.

   ibmcloud resource service-instance-delete <service_name>