Configuration du module complémentaire Advanced Cluster Management (certaines régions uniquement)

Avant de commencer

Avant d'installer le module complémentaire ACM, vérifiez les étapes et les informations préalables suivantes.

1. Examinez les types de plans ACM et décidez du plan que vous souhaitez utiliser. Notez que pour ACM for Virtualization, il est recommandé que vos clusters gérés utilisent des nœuds de travail en métal nu.
2. Assurez-vous que vos clusters répondent aux exigences suivantes.
   • Votre cluster hub doit être un cluster VPC avec au moins 3 nœuds de travail qui exécutent RHCOS et un minimum de 6 VCPU et 64GB RAM. Pour la haute disponibilité, assurez-vous que votre cluster dispose d'au moins un nœud de travail par zone sur 3 zones.
   • Chaque cluster géré doit avoir au moins 3 nœuds de travail qui exécutent RHCOS et un minimum de 6 VCPU et 64GB RAM.
   • En outre, si vous souhaitez utiliser le plan ACM pour la virtualisation, il est recommandé d'utiliser des nœuds de travail en métal nu. Pour le plan ACM for Kubernetes, les clusters gérés peuvent fonctionner avec des nœuds métalliques nus ou des VSI.
3. Passez en revue les opérateurs qui sont automatiquement installés par le module complémentaire ACM et les opérateurs optionnels que vous pouvez installer en tant qu'extensions.
4. Vous devez avoir le rôle d'accès à la plate-forme Administrateur et le rôle d'accès au service Gestionnaire pour le cluster dans IBM Cloud Kubernetes Service.
5. Vous devez disposer d'un cluster VPC avec au moins 3 nœuds de travail. Chaque nœud de travail doit disposer d'un minimum de 4 CPU et de 16GB RAM. Pour la haute disponibilité, assurez-vous que votre cluster dispose d'au moins un nœud de travail par zone sur 3 zones.
6. Créez un profil de confiance sur votre cluster à utiliser pour ACM.
7. Pour chaque cluster que vous souhaitez gérer avec ACM, vous devez créer un secret sur le cluster concentrateur avec le jeton d'accès du cluster géré et le serveur URL. Cette étape peut être réalisée avant ou après l'installation. Voir Préparation des secrets pour l'ACM.
8. Installer ou mettre à jour le CLI.

Créer un profil de confiance pour ACM

Suivez les étapes pour créer un profil de confiance à utiliser pour l'ACM.

1. Suivez les étapes pour créer un profil de confiance. Dans les conditions du profil, veillez à spécifier l'accès suivant.

   • Autoriser l'accès lorsque l'espace de noms est égal à kube-system
   • Satellite Rôles de service - Satellite Link Administrateur, lecteur
   • Kubernetes Service Rôles - Gestionnaire, rédacteur
   • Rôles du service de facturation - Lecteur, opérateur

2. Après avoir créé votre profil de confiance, copiez l'identifiant à partir de la page Profils de confiance de la console.

3. Créez le secret suivant en utilisant l'ID du profil de confiance. Sauvegardez le texte suivant et entrez vos données d'identification. Vous pouvez suivre les étapes pour créer le secret manuellement ou utiliser le script shell pour créer automatiquement le secret dans votre cluster.

   IBMCLOUD_AUTHTYPE=pod-identity
   IBMCLOUD_PROFILEID=<TRUSTED-PROFILE-ID>
   

4. Créez un secret dans votre cluster qui contient les informations d'identification pour le profil de confiance. Enregistrez le fichier YAML suivant dans un fichier appelé ibm-cloud-credentials.yaml. Dans le champ ibm-credentials.env:, entrez l'ID du profil de confiance.

   apiVersion: v1
   data:
     ibm-credentials.env: # Trusted profile ID
   kind: Secret
   metadata:
     name: ibm-cloud-credentials
     namespace: kube-system
   type: Opaque
   

5. Connectez-vous à votre compte. Le cas échéant, ciblez le groupe de ressources approprié. Définissez le contexte de votre cluster.

6. Créez le secret dans votre cluster.

   kubectl apply -f ibm-cloud-credentials.yaml
   

Préparation des secrets pour l'ACM

Pour chaque cluster que vous souhaitez gérer avec ACM, vous devez créer un secret sur le cluster concentrateur qui inclut le jeton d'accès du cluster géré et le serveur URL.

Si vous souhaitez importer des clusters gérés au cours du processus d'installation du module complémentaire ACM, effectuez les étapes suivantes avant de commencer l'installation. Si vous choisissez de créer les secrets et d'importer les clusters gérés après l'installation du module complémentaire sur le cluster du concentrateur, vous pouvez le faire en effectuant des étapes supplémentaires à l'aide de la CLI.

Effectuez les étapes suivantes pour chaque cluster que vous souhaitez gérer.

1. Sur le cluster que vous souhaitez gérer avec ACM, exécutez la commande pour trouver le serveur URL. Dans le résultat, recherchez et notez la valeur du maître URL. Il s'agit du serveur URL à référencer dans le secret. Vous utiliserez également ce site URL dans les étapes suivantes.

   ibmcloud oc cluster get -c <cluster_name_or_ID>
   

   Exemple de sortie.

   NAME:                           mycluster
   ID:                             1234567
   State:                          normal
   Created:                        2025-01-22T19:22:16+0000
   Location:                       dal10
   Master URL:                     https://c100-e.<region>.containers.cloud.ibm.com:<port>
   ...
   

2. Obtenir le point de terminaison du jeton du serveur oauth de Red Hat OpenShift. Remplacez <master_URL> par le URL trouvé à l'étape précédente. Notez que la valeur de la sortie est pas le jeton d'accès.

   curl <master_URL>/.well-known/oauth-authorization-server | jq -r .token_endpoint
   

   Exemple de sortie.

   <token_endpoint>/oauth/token
   

3. Connectez-vous au cluster avec le noeud final que vous avez récupéré précédemment. Remplacez <URL> par le <token_endpoint> du serveur oauth que vous avez trouvé à l'étape précédente. Dans la sortie, trouvez le site <access_token> contenu dans la réponse Location. Il s'agit du jeton d'accès à inclure dans le secret.

   Exemple de requête curl :

   curl -u 'apikey:<API_key>' -H "X-CSRF-Token: a" '<URL>/oauth/authorize?client_id=openshift-challenging-client&response_type=token' -vvv
   

   Exemple de sortie. Le <access_token> est inclus dans la chaîne de réponse Location.

   < HTTP/1.1 302 Found
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Expires: 0
   < Expires: Fri, 01 Jan 2030 00:00:00 GMT
   < Location: <token_endpoint>/oauth/token/implicit#access_token=<access_token>&expires_in=86400&scope=user%3Afull&token_type=Bearer
   ...
   

4. Sur le cluster hub, créez un secret qui contient le jeton d'accès au cluster et le serveur URL. Pour plus d'informations sur la création de secrets, voir Working with secrets dans la documentation Kubernetes.

   Exemple de secret.

   apiVersion: v1
   kind: Secret
   metadata:
     name: <secret_name>
     namespace: <secret_namespace>  # The namespace that the secret is to be created in
   type: Opaque
   stringData:
     token: <access_token>
     server: <server_url>
   

Opérateurs de l'ACM

Passez en revue les opérateurs qui sont automatiquement installés par le module complémentaire ACM et les opérateurs optionnels que vous pouvez installer en tant qu'extensions.

Importation de clusters gérés après l'installation d'ACM

Il existe plusieurs façons d'importer des clusters pour les gérer avec ACM. Avant de pouvoir importer un cluster, assurez-vous d'avoir créé le secret requis pour ACM.

Toutes les grappes gérées par ACM doivent appartenir à un ensemble de grappes. Vous pouvez créer un nouvel ensemble de clusters ou ajouter des clusters à l'ensemble de clusters Default. Si aucun ensemble de clusters n'est spécifié, les clusters gérés sont ajoutés à l'option Default.

Mise à jour ou suppression d'un cluster géré

Pour supprimer ou mettre à jour le cluster géré d'une instance ACM, vous devez modifier la section managedClusters de la ressource personnalisée ACM sur le cluster concentrateur.

1. Exécutez la commande pour modifier la ressource ACM.

   oc edit acmhub <resource_name>
   

2. Dans la section managedClusters de la ressource, ajoutez l'ID du cluster, le nom du secret du cluster créé pour ACM, l'espace de noms pour le secret et l'action que vous voulez mettre en œuvre pour le cluster. Voir l'exemple ci-dessous pour la mise en forme. Pour l'action, précisez Delete ou Update. Notez que pour supprimer un cluster, vous n'avez pas besoin du secret ou de l'espace de noms secret.

   L'exemple suivant supprime cluster_id_1 et met à jour cluster_id_2.

   managedclusters:
     - clusterid: "cluster_id_1"
       action: "Delete"
     - clusterid: "cluster_id_2"
       secretname: "managed-secret-2"
       secretnamespace: "managed-namespace-2" # The namespace that the secret was created in
       action: "Update"  
   

3. Sauvegardez et appliquez les modifications.

Mise à jour de la version de l'ACM

Exécutez la commande pour mettre à jour le module complémentaire vers une nouvelle version.

ibmcloud oc cluster addon update acm --cluster <cluster_id> --version <add-on_version>

Pour vérifier que le module complémentaire a été mis à jour, dressez la liste des modules complémentaires de votre cluster. Dans le résultat, recherchez les détails de l'extension ACM.

ibmcloud oc cluster addon ls --cluster <cluster_id>

Suppression du module complémentaire ACM

Suivez les étapes pour supprimer le module complémentaire ACM.

1. Supprimez la ressource ACM du cluster du concentrateur.

   oc delete acmhub <resource_name>
   

2. Une fois la ressource supprimée, supprimez le module complémentaire ACM. Spécifiez le même ID de cluster.

   ibmcloud oc cluster addon disable acm -f --cluster <cluster_id>