開始前に

ACMアドオンをインストールする前に、以下の前提条件の手順と情報を確認してください。

1. クラスタが以下の要件を満たしていることを確認してください。
   • ハブクラスタ は、 RHCOS を実行する少なくとも 3 ワーカーノードと、最低 6 VCPU、 64GB RAM を持つ VPC クラスタでなければなりません。 高可用性を実現するには、クラスタが3つのゾーンにまたがって、ゾーンごとに少なくとも1つのワーカーノードを持つようにしてください。
   • 各管理クラスタには、 RHCOSを実行するワーカーノードが最低 3台必要で、最低 6VCPUと 64GB RAMが必要です。
2. ACMアドオンによって 自動的にインストールされるオペレータと、拡張機能としてインストールできる オプションのオペレータを 確認します。
3. IBM Cloud Kubernetes Service、クラスタの Administratorプラットフォーム・アクセス・ロールとManagerサービス・アクセス・ロールが 必要です。
4. 少なくとも3つのワーカーノードを含むVPCクラスターが必要です。 各ワーカーノードには、最低でも4つのCPUと 16GB のRAMが搭載されている必要があります。 高可用性を実現するには、クラスタが3つのゾーンにまたがって、ゾーンごとに少なくとも1つのワーカーノードを持つようにしてください。
5. ACMに使用する信頼できるプロファイルをクラスタ上に作成 します。
6. オプション ：ACM アドオンのインストールプロセス中にマネージドクラスタをインポートする場合、インストール後に CLI を使用してマネージドクラスタをインポートする予定がある場合、または後でマネージドクラスタの接続認証情報を更新する予定がある場合は、各マネージドクラスタごとにハブクラスタ上にシークレットを作成する必要があります。 「 ACM 向けのシークレットの準備 」を参照してください。 インストール後に「 OpenShift 」Webコンソールを使用してマネージドクラスタをインポートする予定のみの場合は、この手順は不要です。
7. CLIをインストールまたはアップデート する。

ACMの信頼できるプロフィールを作成する

以下の手順に従って、ACMで使用する信頼済みプロファイルを作成し、それをハブクラスターに割り当ててください。

クラスターに信頼済みプロファイルを追加すると、それを削除することはできず、リソースに対してAPIキーの使用を再開することもできなくなります。 信頼済みプロファイルが正しく設定されるよう、以下の手順を注意深く実行してください。

ACMのための秘密の準備

ACM用のシークレットの作成は任意です。 このセクションの入力が必要なのは、ACM アドオンのインストールプロセス中にマネージドクラスタをインポートする場合、 インストール後に CLI を使用してマネージドクラスタをインポートする 予定の場合、または後で マネージドクラスタの接続認証情報を更新する 予定の場合のみです。

インストール後に OpenShift のWebコンソールを使用してマネージドクラスタをインポートする予定であり、後で接続認証情報を更新する必要がない場合は、シークレットを作成する必要はありません。

管理対象の各クラスターについて、ハブクラスターで以下の手順を実行してください。

1. ACMで管理したいクラスタ上でコマンドを実行し、サーバを見つける URL。 出力で、 マスター URL の値を見つけてメモする。 これはシークレットで参照するサーバー URL。 また、以下の手順でもこの URL を使用します。

   ibmcloud oc cluster get -c CLUSTER_NAME_OR_ID
   

   出力例。

   NAME:                           mycluster
   ID:                             1234567
   State:                          normal
   Created:                        2025-01-22T19:22:16+0000
   Location:                       dal10
   Master URL:                     https://c100-e.<region>.containers.cloud.ibm.com:<port>
   ...
   

2. Red Hat OpenShift OAuthサーバーのベース URL を取得します。 「 MASTER_URL 」を、前の手順で求めた「 URL 」に置き換えてください。 このコマンドは、 /oauth/token という接尾辞を除いた、 URL という基本名を抽出します。

   curl -sS MASTER_URL/.well-known/oauth-authorization-server | jq -r .token_endpoint | sed 's#/oauth/token##'
   

   出力例。

   https://c111-e.us-east.containers.cloud.ibm.com:31282
   

3. 前の手順で取得したエンドポイントを使用して、アクセストークンを取得します。 次の cURL コマンドを実行してください。この際、 URL を前の手順で得られた出力に、 API_KEY を自身の IBM Cloud APIキー に置き換えてください。 出力の中から、 Locationレスポンスに含まれる ACCESS_TOKEN を探してください。 シークレットに含めるアクセストークンです。

   curl 要求の例:

   curl -u 'apikey:API_KEY' -H "X-CSRF-Token: a" 'URL/oauth/authorize?client_id=openshift-challenging-client&response_type=token' -vvv
   

   出力例。 ACCESS_TOKEN は Location レスポンス文字列に含まれています。

   < HTTP/1.1 302 Found
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Expires: 0
   < Expires: Fri, 01 Jan 2030 00:00:00 GMT
   < Location: TOKEN_ENDPOINT/oauth/token/implicit#access_token=ACCESS_TOKEN&expires_in=86400&scope=user%3Afull&token_type=Bearer
   ...
   

4. ハブ・クラスタ上で、クラスタ・アクセストークンとサーバ URL を含むシークレットを作成します。 シークレットの作成については、 Kubernetes ドキュメントの Working with secrets を参照してください。

   秘密の例。

   apiVersion: v1
   kind: Secret
   metadata:
     name: SECRET_NAME
     namespace: SECRET_NAMESPACE  # The namespace that the secret is to be created in
   type: Opaque
   stringData:
     token: ACCESS_TOKEN
     server: SERVER_URL
   

ACMオペレーター

ACMアドオンによって自動的にインストールされるオペレータと、拡張機能としてインストールできるオプションのオペレータを確認します。

ACMインストール後の管理クラスタのインポート

ACMのインストール後、 OpenShift のWebコンソールまたはCLIを使用して、マネージドクラスタをインポートできます。 コンソールベースの手法では、シークレットは必要ありません。 CLI 方式では シークレット が必要です。

ACMによって管理されるすべてのクラスターは、クラスターセットに属していなければなりません。 新しいクラスタ・セットを作成することも、 Default クラスタ・セットにクラスタを追加することもできます。 クラスタ・セットが指定されていない場合、管理クラスタは Default オプションに追加されます。

管理クラスタの更新または削除

ACMインスタンスからマネージドクラスタを削除する場合、またはマネージドクラスタに対するACMの接続認証情報を更新する場合（たとえば、トークンのローテーション後やサーバーの URL が変更された後など）、ハブクラスタ上のACMカスタムリソースの managedClusters セクションを編集する必要があります。 Update アクションは、ACMがマネージドクラスターとの通信に使用するシークレットベースの認証情報を更新します。 これは、クラスタの OpenShift バージョンをアップグレードすることとは異なります。

マネージドクラスタの接続認証情報を更新するには、そのクラスタの シークレット が必要です。

1. コマンドを実行してACMリソースを編集する。

   oc edit acmhub RESOURCE_NAME
   

2. リソースの managedClusters ・セクションに、クラスタID、ACM用に作成したクラスタ・シークレットの名前、シークレットの名前空間、クラスタに実装するアクションを追加します。 書式については以下の例を参照のこと。 アクションについては、「 Delete 」または「 Update 」を指定してください。 クラスタを削除するには、secretやsecret名前空間は必要ないことに注意してください。

   次の例では、 CLUSTER_ID_1 を削除し、 CLUSTER_ID_2 を更新します。

   managedclusters:
     - clusterid: "CLUSTER_ID_1"
       action: "Delete"
     - clusterid: "CLUSTER_ID_2"
       secretname: "SECRET_NAME"
       secretnamespace: "SECRET_NAMESPACE" # The namespace that the secret was created in
       action: "Update"
   

3. 変更を保存して適用します。

ACMバージョンのアップグレード

コマンドを実行して、アドオンを新しいバージョンにアップグレードします。

ibmcloud oc cluster addon update acm --cluster CLUSTER_ID --version ADD-ON_VERSION

アドオンが更新されたことを確認するには、クラスタのアドオンを一覧表示します。 出力で、ACMアドオンの詳細を探す。

ibmcloud oc cluster addon ls --cluster CLUSTER_ID

ACMアドオンの削除

ACMアドオンを削除する手順に従ってください。

1. ハブクラスタからACMリソースを削除します。

   oc delete acmhub RESOURCE_NAME
   

2. リソースが削除されたら、ACMアドオンを削除する。 同じクラスタ ID を指定してください。

   ibmcloud oc cluster addon disable acm -f --cluster CLUSTER_ID