CLI を使用したヘッドランプアドオンのインストール

1. container-service プラグインを最新バージョンに更新してください。

   ibmcloud update && ibmcloud plugin update container-service
   

2. クラスターをターゲットにします。

   ibmcloud ks cluster config --cluster CLUSTER_NAME_OR_ID
   

3. headlampアドオンを有効にします。

   ibmcloud ks cluster addon enable headlamp --cluster CLUSTER_NAME_OR_ID
   

4. 「ヘッドランプ」アドオンのステータスが「 Addon Ready 」になっていることを確認してください。

   ibmcloud ks cluster addon ls --cluster CLUSTER_NAME_OR_ID
   

   出力例:

   NAME       Version   Health State   Health Status
   headlamp   0.1.0     normal         Addon Ready
   

5. ヘッドランプのポッドが点灯していることを確認してください。

   kubectl get pods -n ibm-system -l app.kubernetes.io/name=addon-headlamp
   

CLIでHeadlampアドオンを無効にする

1. ヘッドランプアドオンを無効にする。

   ibmcloud ks cluster addon disable headlamp --cluster <cluster_name_or_ID>
   

2. アドオンが削除されたことを確認します。

   ibmcloud ks cluster addon ls --cluster <cluster_name_or_ID>
   

開始前に

• マネージド Istio アドオンを有効にします。
• kubectl を設定して、そのクラスターをターゲットに指定します。

1. headlamp-values （ ConfigMap ）を開いて編集し、Headlamp アドオンによって作成されるデフォルトの Ingress リソースを無効にしてください。

   kubectl edit cm -n ibm-system headlamp-values
   

   アドオンがデフォルトの「 NGINX 」および「Traefik Ingress」リソースを作成しないようにするには、 data セクションに以下の内容を追加してください。

   data:
     values.yaml: |-
       createDefaultPublicIngressNginx: false
       createDefaultPrivateIngressNginx: false
       createDefaultPublicIngressTraefik: false
       createDefaultPrivateIngressTraefik: false
   

2. 更新された値がクラスター全体に反映されるまで、最大5分間お待ちください。

3. デフォルトのIngressリソースが削除されていることを確認してください。

   kubectl get ingress -n ibm-system
   

4. istio-ingressgateway ロードバランサーのIPアドレス（従来のクラスター）またはホスト名（VPCクラスター）を取得します。

   • クラシック・クラスター:

       kubectl get service istio-ingressgateway -n istio-system -o jsonpath='{.status.loadBalancer.ingress[0].ip}'
       ```
   * VPC クラスター:
   ```sh {: pre}
       kubectl get service istio-ingressgateway -n istio-system -o jsonpath='{.status.loadBalancer.ingress[0].hostname}'
       ```
   コマンドが空の値を返した場合、ロードバランサーはまだプロビジョニングされていません。 サービスに外部IPが割り当てられていることを確認し、ロードバランサーのクォータ制限などのエラーがないか、サービスのイベントを確認してください。
   {: note}
   
   ```sh {: pre}
   kubectl describe service istio-ingressgateway -n istio-system
   

5. IBM が提供するサブドメインを作成し、ロードバランサーのIPアドレス（従来型）またはホスト名（VPC）を登録します。 TLS のシークレットに対して istio-system ネームスペースを指定し、 TLS の証明書が istio-ingressgateway で利用できるようにします。

   • クラシック・クラスター:

       ibmcloud ks nlb-dns create classic --cluster <cluster_name_or_ID> --ip <istio_ingressgateway_IP> --secret-namespace istio-system
       ```
   * VPC クラスター:
   ```sh {: pre}
       ibmcloud ks nlb-dns create vpc-gen2 --cluster <cluster_name_or_ID> --lb-host <istio_ingressgateway_hostname> --secret-namespace istio-system
       ```
   

6. サブドメインが作成されていることを確認し、サブドメインと「 SSL 」の証明書シークレット名をメモしておいてください。

   ibmcloud ks nlb-dns ls --cluster <cluster_name_or_ID>
   

   クラシック・クラスターの出力例:

   Subdomain                                                                               IP(s)              SSL Cert Status   SSL Cert Secret Name                            Secret Namespace
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["168.1.1.1"]      created           mycluster-a1b2cdef345678g9hi012j3kl4567890-0001 istio-system
   

   VPC クラスターの出力例:

   Subdomain                                                                               Target(s)                                     SSL Cert Status   SSL Cert Secret Name                            Secret Namespace
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     1234abcd-us-south.lb.appdomain.cloud          created           mycluster-a1b2cdef345678g9hi012j3kl4567890-0001 istio-system
   

   クラスターに複数の NLB-DNS エントリがある場合は、「 Target(s) 」または「 IP(s) 」列を「 istio-ingressgateway 」のロードバランサーアドレスと照合し、「 Secret Namespace 」列に「 istio-system 」と表示されていることを確認して、前の手順で作成したサブドメインを特定してください。

7. 「 headlamp-istio.yaml 」という名前のファイルを作成し、Headlamp用の Gateway と VirtualService を定義します。 <subdomain> を前の手順で取得したサブドメインに、 <ssl_cert_secret_name> を SSL の証明書のシークレット名に置き換えてください。

   TLS の証明書シークレットは、 istio-system 名前空間に作成されます。 istio-ingressgateway は、その名前空間の credentialName フィールドに指定されたシークレットを読み取ります。 Gateway リソースに証明書の値をコピーしないでください。

   apiVersion: networking.istio.io/v1
   kind: Gateway
   metadata:
     name: headlamp-gateway
     namespace: ibm-system
   spec:
     selector:
       istio: ingressgateway
     servers:
     - port:
         number: 443
         name: https
         protocol: HTTPS
       tls:
         mode: SIMPLE
         credentialName: <ssl_cert_secret_name>
       hosts:
       - <subdomain>
   ---
   apiVersion: networking.istio.io/v1
   kind: VirtualService
   metadata:
     name: headlamp
     namespace: ibm-system
   spec:
     hosts:
     - <subdomain>
     gateways:
     - headlamp-gateway
     http:
     - route:
       - destination:
           host: headlamp.ibm-system.svc.cluster.local
           port:
             number: 80
   

8. 「 Gateway 」および「 VirtualService 」のリソースを適用してください。

   kubectl apply -f headlamp-istio.yaml
   

9. 手順 6 でメモしておいたサブドメインを使用して、Web ブラウザで Headlamp ダッシュボードを開きます。

   https://<subdomain>
   

   コマンドラインから接続状態を確認するには、次のコマンドを実行してください。 テスト時のみ証明書の検証をスキップするには、 -k オプションを使用してください。本番環境では -k を使用しないでください。

   curl -k -s -o /dev/null -w "%{http_code}\n" https://<subdomain>
   

ヘッドランプダッシュボードにアクセスできない

ヘッドランプのダッシュボードにアクセスできない場合は、以下を確認してください：

1. アドオンがインストールされており、正常に動作していることを確認してください。

   ibmcloud ks cluster addon ls --cluster <cluster_name_or_ID>
   

2. ヘッドランプのポッドが点灯していることを確認してください。

   kubectl get pods -n ibm-system -l app.kubernetes.io/name=addon-headlamp
   

3. ingressリソースが正しく設定されていることを確認してください。

   kubectl get ingress -n ibm-system
   

4. パブリック専用クラスターの場合、ネットワークセキュリティルールで、パブリック IAM エンドポイントへの HTTPS によるアウトバウンド接続が許可されていることを確認してください。 必要に応じて、「 パブリックエンドポイント経由のHeadlampアドオンでOIDCを有効にする 」を参照し、OIDCの設定を更新してください。

認証に失敗

Headlampダッシュボードへのアクセス時に認証に失敗した場合：

1. クラスタにアクセスするために必要なIAM権限を持っていることを確認します。

2. ブラウザが https://iam.cloud.ibm.com にアクセスできることを確認してください。

3. ブラウザのクッキーをクリアして、もう一度お試しください。

4. OIDCクライアントIDシークレットがクラスタに存在することを確認します。

   kubectl get secret clientid-secrets -n ibm-system
   

ポッドが動作していない

ヘッドランプポッドが作動していない場合：

1. ポッドのステータスとイベントをチェックする。

   kubectl describe pods -n ibm-system -l app.kubernetes.io/name=addon-headlamp
   

2. ポッドのログにエラーがないか確認してください。

   kubectl logs -n ibm-system -l app.kubernetes.io/name=addon-headlamp