Lier manuellement les identifiants des services à votre cluster

Avant de commencer :

• Vérifiez que vous disposez des rôles suivants :
  • Éditeur ou Administrateur IBM Cloud Rôle d'accès à la plate-forme IAM pour le cluster où vous souhaitez lier un service.
  • Writer ou Manager IBM Cloud Rôle d'accès au service IAM pour l'espace de noms Kubernetes dans lequel vous souhaitez lier le service.
• Connectez-vous à votre compte. Le cas échéant, ciblez le groupe de ressources approprié. Définissez le contexte de votre cluster.

Vous pouvez ajouter manuellement des identifiants de service à votre cluster en suivant les étapes suivantes.

1. Obtenez le nom d'instance du service que vous souhaitez ajouter à votre cluster.

   ibmcloud resource service-instances
   

2. Créer une clé de service. Pour plus d'informations, voir la référence de la commande.

   ibmcloud resource service-key-create NAME [ROLE] --instance-name SERVICE_INSTANCE
   

3. Copiez la section Credentials et enregistrez-la dans un fichier sans extension appelé creds.

4. Créez un secret d' Kubernetes s qui utilise le fichier d'informations d'identification que vous avez créé.

   kubectl create secret generic my-secret --from-file=path/to/creds
   

Ajouter des services à des clusters en utilisant le CLI service bind

Puis-je utiliser les informations d'identification du service existant lors de la liaison?

Vous pouvez éventuellement spécifier le paramètre --key lors de l'exécution de la commande service bind et fournir le nom de vos identifiants de service existants. La liaison de service IBM Cloud crée automatiquement un secret Kubernetes avec vos identifiants de service existants.

Que se passe-t-il si mes identifiants existants sont des identifiants à usage unique?

La commande service bind ne permet pas d'apporter ses propres identifiants de visualisation à usage unique. Par conséquent, si vous souhaitez utiliser la commande service bind, ne spécifiez pas le paramètre --key. Si vous exécutez la commande sans --key, vous obtiendrez un nouvel ensemble d'informations d'identification.

Si vous souhaitez utiliser des informations d’identification à affichage unique, vous devez lier manuellement le service à votre cluster. Cette option vous permet d'utiliser vos identifiants de visualisation à usage unique existants.

Puis-je utiliser les données d'identification de service qui utilisent le noeud final de service cloud privé ?

Par défaut, la commande service bind crée des identifiants de service avec le point de terminaison du service de cloud public. Pour utiliser le noeud final de service cloud privé, vous devez créer manuellement des données d'identification de service pour votre service qui utilisent le noeud final de service cloud privé, puis utiliser l'indicateur --key pour spécifier le nom des données d'identification de service existantes. Si vous prévoyez d'apporter vos propres informations d'identification, assurez-vous que vos informations d'identification existantes sont des informations d'identification à usage unique ( pas ). Pour plus d'informations, voir Références uniques.

Il se peut que votre service ne prenne pas encore en charge des noeuds finaux de service de cloud privé. Si vous disposez d'un cluster privé uniquement, vous devez utiliser les données d'identification de service qui utilisent le noeud final de service cloud privé, ou ouvrir l'adresse IP publique et le port pour vous connecter à votre service.

Consultez les sections suivantes pour connaître les étapes à suivre pour lier les informations d'identification du service à votre cluster.

Utilisez une liaison de service IBM Cloud pour créer automatiquement des données d'identification de service pour vos services IBM Cloud et stockez ces données d'identification dans un secret Kubernetes.

Si votre service prend en charge les points d'extrémité de service de cloud privé, vous pouvez créer manuellement les informations d'identification du service avec le point d'extrémité de service de cloud privé, puis utiliser l'option --key pour spécifier le nom de vos informations d'identification.

Avant de commencer :

• Vérifiez que vous disposez des rôles suivants :
  • Éditeur ou Administrateur IBM Cloud Rôle d'accès à la plate-forme IAM pour le cluster où vous souhaitez lier un service.
  • Writer ou Manager IBM Cloud Rôle d'accès au service IAM pour l'espace de noms Kubernetes dans lequel vous souhaitez lier le service.
• Connectez-vous à votre compte. Le cas échéant, ciblez le groupe de ressources approprié. Définissez le contexte de votre cluster.

Pour ajouter un service IBM Cloud dans votre cluster :

1. Créez une instance du service IBM Cloud.

   • Certains services IBM Cloud ne sont disponibles que dans des régions éligibles. Vous pouvez lier un service à votre cluster uniquement si ce service est disponible dans la même région que votre cluster. En outre, si vous souhaitez créer une instance de service dans la zone Washington DC, vous devez utiliser l'interface de ligne de commande.
   • Pour les services activés par IAM : vous devez créer l'instance de service dans le même groupe de ressources que votre cluster. Un service peut être créé dans un seul groupe de ressources que vous ne pouvez plus modifier par la suite.
   • Vérifiez que le nom de service est au format myservice ou example.com. Les espaces et les caractères de soulignement ne sont pas autorisés.

2. Vérifiez le type de service que vous avez créé et notez le nom de l'instance de service.

   ibmcloud resource service-instances
   

   Exemple de sortie

   NAME                          Location   State    Type               Tags
   <iam_service_instance_name>   <region>   active   service_instance
   

3. Identifiez l'espace de noms du cluster que vous souhaitez utiliser pour ajouter votre service.

   kubectl get namespaces
   

4. Liez le service à votre cluster pour créer les données d'identification de service pour votre service qui utilisent le noeud final de service cloud public et stockez ces données d'identification dans un secret Kubernetes. Si vous disposez d'informations d'identification de service existantes, utilisez l'option --key pour spécifier le nom des informations d'identification. Pour les services compatibles IAM, les informations d'identification sont automatiquement créées avec le rôle d'accès au service Writer, mais vous pouvez utiliser l'option --role pour spécifier un rôle d'accès au service différent. Si vous utilisez l'option --key, n'incluez pas l'option --role.

   Si vous prévoyez d'apporter vos propres informations d'identification, assurez-vous que vos informations d'identification existantes sont des informations d'identification à usage unique pas ou utilisez la méthode recommandée pour enregistrer manuellement les informations d'identification du service dans votre cluster. Pour plus d'informations, voir Références uniques.

   ibmcloud ks cluster service bind --cluster <cluster_name_or_ID> --namespace <namespace> --service <service_instance_name> [--key <service_instance_key>] [--role <IAM_service_role>]
   

   Lorsque la création des données d'identification de service aboutit, un secret Kubernetes portant le nom binding-<service_instance_name> est créé.

   Exemple de sortie

   ibmcloud ks cluster service bind --cluster mycluster --namespace mynamespace --service cleardb
   Binding service instance to namespace...
   OK
   Namespace:         mynamespace
   Secret name:     binding-<service_instance_name>
   

5. Vérifiez les données d'identification du service dans votre secret Kubernetes.

   1. Obtenez les détails du secret et notez la valeur de binding. La valeur de binding est codée en base64 et contient les données d'identification pour votre instance de service au format JSON.

      kubectl get secrets binding-<service_instance_name> --namespace=<namespace> -o yaml
      

      Exemple de sortie

      apiVersion: v1
      data:
      binding: <binding>
      kind: Secret
      metadata:
        annotations:
          service-instance-id: 1111aaaa-a1aa-1aa1-1a11-111aa111aa11
          service-key-id: 2b22bb2b-222b-2bb2-2b22-b22222bb2222
        creationTimestamp: 2018-08-07T20:47:14Z
        name: binding-<service_instance_name>
        namespace: <namespace>
        resourceVersion: "6145900"
        selfLink: /api/v1/namespaces/default/secrets/binding-mycloudant
        uid: 33333c33-3c33-33c3-cc33-cc33333333c
      type: Opaque
      

   2. Décodez la valeur de liaison.

      echo "<binding>" | base64 -D
      

      Exemple de sortie

      {"apikey":"<API_key>","host":"<ID_string>-bluemix.cloudant.com","iam_apikey_description":"Auto generated apikey during resource-key operation for Instance - crn:v1:bluemix:public:cloudantnosqldb:us-south:a/<ID_string>::","iam_apikey_name":"auto-generated-apikey-<ID_string>","iam_role_crn":"crn:v1:bluemix:public:iam::::serviceRole:Writer","iam_serviceid_crn":"crn:v1:bluemix:public:iam-identity::a/1234567890brasge5htn2ec098::serviceid:ServiceId-<ID_string>","password":"<ID_string>","port":443,"url":"https://<ID_string>-bluemix.cloudant.com","username":"123b45da-9ce1-4c24-ab12-rinwnwub1294-bluemix"}
      

   3. Facultatif : comparez les données d'identification du service que vous avez décodées à l'étape précédente aux données d'identification du service que vous trouvez pour votre instance de service dans le tableau de bord IBM Cloud.

6. Votre service étant désormais lié à votre cluster, vous devez configurer votre application pour accéder aux données d'identification du service dans le secret Kubernetes.

Accès aux données d'identification à partir de vos applications

Pour accéder à une instance de service IBM Cloud à partir de votre application, vous devez rendre les données d'identification stockées dans le secret Kubernetes accessibles à votre application.

Les données d'identification d'une instance de service sont codées en base64 et stockées au format JSON dans votre secret. Pour accéder aux données figurant dans votre secret, choisissez l'une des options suivantes :

• Monter la valeur confidentielle sous forme de volume sur votre pod
• Référencer la valeur confidentielle dans les variables d'environnement

Avant de commencer :

• Assurez-vous que vous avez le rôle d'accès au service IAM Writer ou Manager IBM Cloud pour l'espace de noms kube-system.
• Connectez-vous à votre compte. Le cas échéant, ciblez le groupe de ressources approprié. Définissez le contexte de votre cluster.
• Ajoutez un service IBM Cloud à votre cluster.

Retrait d'un service d'un cluster

Si vous ne souhaitez pas utiliser un service IBM Cloud lié à votre cluster, vous pouvez supprimer manuellement le secret Kubernetes et les pods qui accèdent au secret à partir de votre cluster.

1. Répertoriez les services liés à votre cluster et notez le nom de votre service ainsi que l'espace de noms auquel il est lié.

   ibmcloud ks cluster service ls --cluster
   

   Exemple de sortie

   OK
   Service   Instance GUID                          Key                                                                  Namespace   
   myservice 12345ab1-1234-1abc-a12b-12abc12a12ab   kube-a1a12abcd12a123abc1a12ab1a1234ab7.abcdefg0p1abcd123lgg.default   default  
   

2. Répertoriez les secrets Kubernetes dans l'espace de nom auquel votre service est lié et recherchez le secret avec un nom ayant le format binding-<service_name>.

   kubectl get secrets -n <namespace> | grep Opaque
   

   Exemple de sortie

   binding-myservice   Opaque     1      3d23h
   

3. Extrayez tous les pods qui accèdent au secret.

   kubectl get pods --all-namespaces -o=jsonpath='{range .items[*]}{"\n"}{.metadata.name}{":\t"}{range .spec.volumes[*]}{.secret.secretName}{" "}{end}{end}' | grep "<secret_name>"
   

   Si votre sortie CLI est vide, votre cluster ne contient aucun pod qui monte le secret.

4. Si vous avez des pods qui montent le secret, retirez le pod ou le déploiement qui gère le pod, ou mettez à jour le fichier YAML de pod ou de déploiement pour utiliser un autre secret à la place.

   • Pour retirer un pod ou un déploiement :

     kubectl delete pod <pod_name> -n <namespace>
     

     kubectl delete deployment <deployment_name> -n <namespace>
     

   • Pour mettre à jour un pod ou un déploiement existant :
     1. Obtenez le fichier YAML de pod ou de déploiement.

        kubectl get pod <pod_name> -o yaml
        

        kubectl get deployment <deployment_name> -o yaml
        

     2. Copiez le fichier YAML et dans la section spec.volumes, modifiez le nom du secret que vous souhaitez utiliser.
     3. Appliquez la modification à votre cluster.

        kubectl apply -f pod.yaml
        

        kubectl apply -f deployment.yaml
        

     4. Vérifiez qu'un nouveau pod est créé avec la spécification de volume mise à jour.

        kubectl get pods
        

        kubectl describe pod <pod_name>
        

5. Supprimez le secret.

   kubectl delete secret <secret_name> -n <namespace>
   

6. Vérifiez que votre secret est retiré.

   kubectl get secrets -n <namespace>
   

7. Optionnel. Retirez l'instance de service IBM Cloud.

   ibmcloud resource service-instance-delete <service_name>