Prima di iniziare

Prima di installare il componente aggiuntivo ACM, esaminare i passaggi e le informazioni sui prerequisiti riportati di seguito.

1. Assicurarsi che i cluster soddisfino i seguenti requisiti.
   • Il cluster hub deve essere un cluster VPC con almeno 3 nodi worker che eseguono RHCOS e un minimo di 6 VCPU e 64GB RAM. Per l'alta disponibilità, assicurarsi che il cluster abbia almeno un nodo worker per zona su 3 zone.
   • Ogni cluster gestito deve avere almeno 3 nodi worker che eseguono RHCOS e un minimo di 6 VCPU e 64GB RAM.
2. Esaminare gli operatori installati automaticamente dal componente aggiuntivo ACM e gli operatori opzionali che si possono installare come miglioramenti.
3. È necessario avere il ruolo di accesso alla piattaforma Administrator e il ruolo di accesso al servizio Manager per il cluster in IBM Cloud Kubernetes Service.
4. È necessario disporre di un cluster VPC con almeno 3 nodi worker. Ogni nodo worker deve avere un minimo di 4 CPU e 16GB RAM. Per l'alta disponibilità, assicurarsi che il cluster abbia almeno un nodo worker per zona su 3 zone.
5. Creare un profilo di fiducia sul cluster da utilizzare per ACM.
6. Facoltativo: se si desidera importare cluster gestiti durante la procedura di installazione del componente aggiuntivo ACM, se si intende importare cluster gestiti tramite la CLI dopo l'installazione oppure se si prevede di aggiornare in un secondo momento le credenziali di connessione di un cluster gestito, è necessario creare un segreto sul cluster hub per ciascun cluster gestito. Vedi la sezione " Preparazione dei segreti per l'ACM ". Questo passaggio non è necessario se si intende importare i cluster gestiti solo dopo l'installazione tramite la console web OpenShift.
7. Installare o aggiornare la CLI.

Creare un profilo di fiducia per ACM

Segui la procedura indicata per creare un profilo attendibile da utilizzare con ACM e assegnarlo al cluster hub.

Una volta aggiunto un profilo attendibile a un cluster, non è più possibile rimuoverlo né tornare a utilizzare una chiave API per le proprie risorse. Assicurati di seguire attentamente questi passaggi per garantire che il tuo profilo di fiducia sia configurato correttamente.

Preparare i segreti per l'ACM

La creazione di segreti per ACM è facoltativa. È necessario compilare questa sezione solo se si desidera importare cluster gestiti durante il processo di installazione del componente aggiuntivo ACM, se si intende utilizzare il servizio " importare i cluster gestiti dopo l'installazione tramite la CLI" oppure se si prevede di utilizzare in seguito il servizio " aggiornare le credenziali di connessione di un cluster gestito ".

Se si prevede di importare cluster gestiti dopo l'installazione tramite la console web OpenShift e non è necessario aggiornare in seguito le credenziali di connessione, non è necessario creare segreti.

Per ogni cluster che si desidera gestire, eseguire i seguenti passaggi sul cluster hub.

1. Sul cluster che si vuole gestire con ACM, eseguire il comando per trovare il server URL. Nell'output, individuare e annotare il valore di Master URL. È il server URL a cui fare riferimento nel segreto. Questo URL viene utilizzato anche nelle fasi successive.

   ibmcloud oc cluster get -c CLUSTER_NAME_OR_ID
   

   Output di esempio.

   NAME:                           mycluster
   ID:                             1234567
   State:                          normal
   Created:                        2025-01-22T19:22:16+0000
   Location:                       dal10
   Master URL:                     https://c100-e.<region>.containers.cloud.ibm.com:<port>
   ...
   

2. Recupera l' URL e di base del server OAuth Red Hat OpenShift. Sostituisci MASTER_URL con l' URL e individuato nel passaggio precedente. Il comando estrae l'indirizzo di base URL senza il suffisso /oauth/token.

   curl -sS MASTER_URL/.well-known/oauth-authorization-server | jq -r .token_endpoint | sed 's#/oauth/token##'
   

   Output di esempio.

   https://c111-e.us-east.containers.cloud.ibm.com:31282
   

3. Recupera un token di accesso utilizzando l'endpoint ottenuto nel passaggio precedente. Esegui il seguente comando cURL, sostituendo URL con l'output del passaggio precedente e API_KEY con il tuo [IBM Cloud Chiave API](https://cloud.ibm.com/iam/apikeys){: external}. Nell'output, individua l' ACCESS_TOKEN e contenuto nella risposta "Location ". È il token di accesso da includere nel segreto.

   Richiesta curl di esempio:

   curl -u 'apikey:API_KEY' -H "X-CSRF-Token: a" 'URL/oauth/authorize?client_id=openshift-challenging-client&response_type=token' -vvv
   

   Output di esempio. L'ACCESS_TOKEN è incluso nella stringa di risposta di Location.

   < HTTP/1.1 302 Found
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Expires: 0
   < Expires: Fri, 01 Jan 2030 00:00:00 GMT
   < Location: TOKEN_ENDPOINT/oauth/token/implicit#access_token=ACCESS_TOKEN&expires_in=86400&scope=user%3Afull&token_type=Bearer
   ...
   

4. Sul cluster hub, creare un segreto che contenga il token di accesso al cluster e il server URL. Per informazioni sulla creazione di segreti, vedere Lavorare con i segreti nella documentazione di Kubernetes.

   Esempio di segreto.

   apiVersion: v1
   kind: Secret
   metadata:
     name: SECRET_NAME
     namespace: SECRET_NAMESPACE  # The namespace that the secret is to be created in
   type: Opaque
   stringData:
     token: ACCESS_TOKEN
     server: SERVER_URL
   

Operatori ACM

Esaminare gli operatori installati automaticamente dal componente aggiuntivo ACM e gli operatori opzionali che si possono installare come miglioramenti.

Importazione dei cluster gestiti dopo l'installazione di ACM

Una volta installato ACM, è possibile importare i cluster gestiti utilizzando la console web OpenShift o la CLI. I metodi basati sulla console non richiedono una chiave segreta. Il metodo CLI richiede un segreto.

Tutti i cluster gestiti da ACM devono appartenere a un insieme di cluster. È possibile creare un nuovo set di cluster o aggiungere cluster al set di cluster Default. Se non viene specificato alcun set di cluster, i cluster gestiti vengono aggiunti all'opzione Default.

Aggiornamento o rimozione di un cluster gestito

Per rimuovere un cluster gestito da un'istanza ACM oppure per aggiornare le credenziali di connessione di ACM relative a un cluster gestito (ad esempio, dopo la rotazione dei token o una modifica dell' URL e del server), è necessario modificare la sezione " managedClusters " della risorsa personalizzata ACM sul cluster hub. L'azione " Update " aggiorna le credenziali basate su secret che ACM utilizza per comunicare con un cluster gestito. Questo non equivale all'aggiornamento della versione " OpenShift " di un cluster.

Per aggiornare le credenziali di connessione di un cluster gestito è necessario il segreto relativo a quel cluster.

1. Eseguire il comando per modificare la risorsa ACM.

   oc edit acmhub RESOURCE_NAME
   

2. Nella sezione managedClusters della risorsa, aggiungere l'ID del cluster, il nome del segreto del cluster creato per ACM, lo spazio dei nomi per il segreto e l'azione che si desidera implementare per il cluster. Per la formattazione, vedere l'esempio seguente. Per l'azione, specificare Delete o Update. Si noti che per eliminare un cluster non sono necessari il segreto o lo spazio dei nomi segreto.

   L'esempio seguente elimina CLUSTER_ID_1 e aggiorna CLUSTER_ID_2.

   managedclusters:
     - clusterid: "CLUSTER_ID_1"
       action: "Delete"
     - clusterid: "CLUSTER_ID_2"
       secretname: "SECRET_NAME"
       secretnamespace: "SECRET_NAMESPACE" # The namespace that the secret was created in
       action: "Update"
   

3. Salvare e applicare le modifiche.

Aggiornamento della versione di ACM

Eseguire il comando per aggiornare il componente aggiuntivo a una nuova versione.

ibmcloud oc cluster addon update acm --cluster CLUSTER_ID --version ADD-ON_VERSION

Per verificare che il componente aggiuntivo sia stato aggiornato, elencare i componenti aggiuntivi del cluster. Nell'output, cercare i dettagli del componente aggiuntivo ACM.

ibmcloud oc cluster addon ls --cluster CLUSTER_ID

Eliminazione del componente aggiuntivo ACM

Seguire la procedura per eliminare il componente aggiuntivo ACM.

1. Eliminare la risorsa ACM dal cluster hub.

   oc delete acmhub RESOURCE_NAME
   

2. Dopo aver eliminato la risorsa, rimuovere il componente aggiuntivo ACM. Specificare lo stesso ID del cluster.

   ibmcloud oc cluster addon disable acm -f --cluster CLUSTER_ID