Esecuzione dei comandi ibmcloud, ibmcloud oc e ibmcloud cr da una lista di indirizzi autorizzati

Se le politiche di rete aziendali impediscono l'accesso dal proprio sistema locale agli endpoint pubblici tramite proxy o liste di autorizzazione, per eseguire i comandi ibmcloud, ibmcloud oc e ibmcloud cr è necessario consentire l'accesso TCP per IBM Cloud, Red Hat OpenShift on IBM Cloud e IBM Cloud Container Registry.

1. Aggiungi cloud.ibm.com alla tua lista dei siti autorizzati, consentendo l'accesso alla porta 443.

2. Verifica la tua connessione accedendo a IBM Cloud tramite questo endpoint API.

   ibmcloud login -a https://cloud.ibm.com/
   

3. Aggiungi containers.cloud.ibm.com alla tua lista dei siti autorizzati, consentendo l'accesso alla porta 443.

4. Verifica la tua connessione. Se l'accesso è configurato correttamente, nell'output vengono visualizzati messaggi simili ai seguenti.

   curl https://containers.cloud.ibm.com/global/v1/versions
   

   Output di esempio

   {"kubernetes":[{"major":1,"minor":19,"patch":16,"default":false,"end_of_service":""},{"major":1,"minor":20,"patch":13,"default":false,"end_of_service":""},{"major":1,"minor":21,"patch":7,"default":true,"end_of_service":""},{"major":1,"minor":22,"patch":4,"default":false,"end_of_service":""}],"openshift":[{"major":3,"minor":11,"patch":542,"default":false,"end_of_service":"2022-06-06T12:00:00+0000"},{"major":4,"minor":6,"patch":47,"default":false,"end_of_service":""},{"major":4,"minor":7,"patch":37,"default":false,"end_of_service":""},{"major":4,"minor":8,"patch":21,"default":true,"end_of_service":""}]}
   

5. Consenti l'accesso alle regioniIBM Cloud Container Registry che intendi utilizzare sulla porta 443 nel tuo allowlist. Il registro globale archivia le immagini pubbliche fornite da IBM e i registri regionali archiviano le tue proprie immagini pubbliche e private. Se la tua lista di autorizzazioni è basata sugli indirizzi IP, puoi verificare quali indirizzi IP sono abilitati quando consenti l'accesso agli endpoint del servizio regionale IBM Cloud Container Registry consultando questa tabella.

6. Verifica la tua connessione. Il seguente è un esempio per il registro regionale Stati Uniti Est e Stati Uniti Sud. Se l'accesso è configurato correttamente, nell'output viene restituito un messaggio del giorno. Notare che se non ci sono messaggi, viene restituito un 204.

   curl -i https://us.icr.io/api/v1/messages
   

Esecuzione di comandi oc da dietro un allowlist

Se le politiche di rete aziendali impediscono l'accesso dal proprio sistema locale agli endpoint pubblici tramite proxy o liste di autorizzazione, per eseguire i comandi oc è necessario consentire l'accesso TCP per il cluster.

Quando viene creato un cluster, la porta presente negli URL degli endpoint di servizio viene assegnata in modo casuale all'interno dell'intervallo compreso tra 30000 e 32767. È possibile scegliere se aprire l'intervallo di porte 30000-32767 per qualsiasi cluster che possa essere creato oppure consentire l'accesso a un cluster specifico già esistente.

Prima di cominciare, consenti l'accesso per eseguire i comandi ibmcloud oc.

Per concedere l'accesso per un cluster specifico:

1. Accedi alla CLI IBM Cloud. Immetti le tue credenziali IBM Cloud quando richiesto. Se hai un account federato, includi l'opzione --sso.

   ibmcloud login [--sso]
   

2. Se il cluster si trova in un gruppo di risorse diverso da quello di default, specifica tale gruppo di risorse. Per visualizzare il gruppo di risorse a cui appartiene ciascun cluster, esegui ibmcloud oc cluster ls. Nota: devi disporre almeno del ruolo Visualizzatore per il gruppo di risorse.

   ibmcloud target -g RESOURCE_GROUP_NAME
   

3. Richiama il nome del tuo cluster.

   ibmcloud oc cluster ls
   

4. Richiama gli URL degli endpoint del servizio per il tuo cluster.

   • Se viene popolato solo il campo Private Service Endpoint URL, ottieni questo URL. I tuoi utenti del cluster autorizzati possono accedere al master tramite questo endpoint sulla rete privata.
   • Se vengono popolati entrambi i campi Public Service Endpoint URL e Private Service Endpoint URL, ottieni i due URL. I tuoi utenti del cluster autorizzati possono accedere al master tramite l'endpoint pubblico sulla rete pubblica o l'endpoint privato sulla rete privata.

   ibmcloud oc cluster get --cluster CLUSTER_NAME_OR_ID
   

   Output di esempio

   ...
   Public Service Endpoint URL:    https://c3.<region>.containers.cloud.ibm.com:30426
   Private Service Endpoint URL:   https://c3-private.<region>.containers.cloud.ibm.com:31140
   ...
   

5. Consenti l'accesso agli URL e alle porte degli endpoint del servizio che hai ottenuto nel passo precedente. Se la tua lista di autorizzazioni è basata sugli indirizzi IP, puoi verificare quali indirizzi IP sono abilitati quando consenti l'accesso agli URL degli endpoint del servizio consultando questa tabella.

6. Verifica la tua connessione.

   • Se l'endpoint del servizio cloud pubblico è abilitato:

       curl --insecure <public_service_endpoint_URL>/version
       ```
       Comando di esempio
       ```sh {: pre}
       curl --insecure https://c3.<region>.containers.cloud.ibm.com:31142/version
       ```
       Output di esempio
       ```json {: screen}
       {
           "major": "1",
           "minor": "7+",
           "gitVersion": "v1.7.4-2+eb9172c211dc41",
           "gitCommit": "eb9172c211dc4108341c0fd5340ee5200f0ec534",
           "gitTreeState": "clean",
           "buildDate": "2017-11-16T08:13:08Z",
           "goVersion": "go1.8.3",
           "compiler": "gc",
           "platform": "linux/amd64"
       }
       ```
   * Se è abilitato solo l'endpoint del servizio cloud privato, è necessario trovarsi all'interno della rete privata IBM Cloud oppure connettersi alla rete privata tramite una connessione VPN per verificare la connessione al master. **Nota**: devi [esporre l'endpoint master tramite un programma di bilanciamento del carico privato](/docs/openshift?topic=openshift-cluster-access-private-vpc) in modo che gli utenti possano accedere al master tramite una VPN o una connessione IBM Cloud&reg; Direct Link.
   ```sh {: pre}
       curl --insecure <private_service_endpoint_URL>/version
       ```
       Comando di esempio
       ```sh {: pre}
       curl --insecure https://c3-private.<region>.containers.cloud.ibm.com:31142/version
       ```
       Output di esempio
       ```json {: screen}
       {
           "major": "1",
           "minor": "7+",
           "gitVersion": "v1.7.4-2+eb9172c211dc41",
           "gitCommit": "eb9172c211dc4108341c0fd5340ee5200f0ec534",
           "gitTreeState": "clean",
           "buildDate": "2017-11-16T08:13:08Z",
           "goVersion": "go1.8.3",
           "compiler": "gc",
           "platform": "linux/amd64"
       }
       ```
   

7. Facoltativo: ripeti questa procedura per ogni cluster che devi esporre.

Esecuzione di comandi calicoctl da dietro un allowlist

Se le politiche di rete aziendali impediscono l'accesso dal proprio sistema locale agli endpoint pubblici tramite proxy o liste di autorizzazione, per eseguire i comandi calicoctl è necessario consentire l'accesso TCP per i comandi Calico.

Prima di cominciare, consenti l'accesso per eseguire i comandi ibmcloud e i comandi oc.

1. Richiama l'indirizzo IP dall'URL master che hai utilizzato per consentire i comandi oc.

2. Ottieni la porta per etcd.

   oc get cm -n kube-system cluster-info -o yaml | grep etcd_host
   

3. Consenti l'accesso alle politiche Calico tramite l'indirizzo IP dell'URL master e la porta etcd.

Concessione dell'accesso al registro di immagini Red Hat OpenShift in un allowlist

Se si configura un percorso esterno sicuro per il registro delle immagini interno, oppure per accedere a un bucket di IBM Cloud Object Storage che esegue il backup del registro delle immagini interno in un cluster VPC, è necessario autorizzare l'accesso per il registro interno e per gli endpoint IBM Cloud Object Storage nell'elenco delle autorizzazioni aziendali.

1. Se si crea un percorso esterno per il registro delle immagini interno Red Hat OpenShift, è necessario consentire l'accesso al dominio *.containers.appdomain.cloud in modo da poter accedere al percorso image-registry-openshift-image-registry.<cluster_name>-<ID_string>.<region>.containers.appdomain.cloud dalla rete aziendale.

2. Cluster VPC: se è necessario accedere a un bucket di IBM Cloud Object Storage che contiene il backup del registro delle immagini interno Red Hat OpenShift, oppure se è necessario accedere in altro modo a IBM Cloud Object Storage dalla rete aziendale, consentire l'accesso al dominio *.cloud-object-storage.appdomain.cloud.

Consentire l'accesso da un cluster a un altro servizio

Per consentire l'ingresso dal tuo cluster a un altro servizio, modifica la allowlist di tale servizio o la allowlist in loco.

1. Ottieni le Worker Zones e i VPCs in cui è stato creato il tuo cluster.

   ibmcloud oc cluster get -c <cluster>
   

   Output di esempio

   ...
   Worker Zones:                   us-south-1, us-south-2, us-south-3
   Ingress Subdomain:              vpc-prod.us-south.containers.appdomain.cloud
   Ingress Secret:                 vpc-prod
   Creator:                        -
   Public Service Endpoint URL:    https://c2.us-south.containers.cloud.ibm.com:20267
   Private Service Endpoint URL:   https://c2.private.us-south.containers.cloud.ibm.com:20267
   Pull Secrets:                   enabled in the default namespace
   VPCs:                           ff537d43-a5a4-4b65-9627-17eddfa5237b
   ...
   

2. Per le zone di lavoro e i VPC che hai trovato, assicurati di aver abilitato un gateway pubblico sulle sottoreti VPC in ogni zona di lavoro.

3. Elenca i gateway pubblici per le sottoreti. Nell'output, per le zone e i VPC in cui si trova il tuo cluster, prendi nota degli indirizzi Floating IP del gateway per le sottoreti.

   ibmcloud is public-gateways
   

   Output di esempio

   ID                                     Name                                       Status      Floating IP      VPC              Zone
   5d308ea5-9f32-43b3-aaae-194d5723a3e5   pgw-b9d45630-c053-11e9-b2f8-79328ce05e7e   available   169.XX.XXX.XX    test-vpc         us-south-1
   f8b95e43-a408-4dc8-a489-ed649fc4cfec   pgw-18a3ebb0-b539-11e9-9838-f3f4efa02374   available   169.XX.XXX.XX    prod             us-south-1
   2ba9a280-fffa-4b0c-bdca-7970f09f9b8a   pgw-73b62bc0-b53a-11e9-9838-f3f4efa02374   available   169.XX.XXX.XX    prod             us-south-2
   057ddef6-631f-4b22-89eb-1e99982a54fa   pgw-64c5cae0-0be2-11ea-8f26-e1565e79a36c   available   52.XX.XXX.XXX    prod             us-south-3
   

4. Aggiungi gli indirizzi IP del gateway pubblico all'elenco dei domini consentiti del tuo servizio o all'elenco dei domini consentiti locale per il traffico in entrata.

5. Ripeti questi passi per ciascun cluster per il quale vuoi consentire il traffico in entrata o in uscita.

Consentire l'accesso a un cluster da un altro servizio

Per consentire l'uscita dal tuo cluster da un altro servizio, modifica l'elenco dei consentiti del servizio o il tuo elenco dei consentiti in loco.

1. Ottieni le sottoreti o gli indirizzi IP del nodo di lavoro.
   • CIDR delle sottoreti dei nodi di lavoro: se prevedi di modificare frequentemente il numero di nodi di lavoro nel tuo cluster, ad esempio se abiliti la funzione di autoscalatura del cluster, potresti preferire non aggiornare l'elenco dei nodi autorizzati per ogni nuovo nodo di lavoro. Puoi invece aggiungere le sottoreti VPC utilizzate dal cluster. Tieni presente che la sottorete VPC potrebbe essere condivisa da nodi di lavoro in altri cluster.
     1. Ottieni le Worker Zones e i VPCs in cui è stato creato il tuo cluster.

        ibmcloud oc cluster get -c <cluster>
        

        Output di esempio

        ...
        Worker Zones:                   us-south-1, us-south-2, us-south-3
        Ingress Subdomain:              vpc-prod.us-south.containers.appdomain.cloud
        Ingress Secret:                 vpc-prod
        Creator:                        -
        Public Service Endpoint URL:    https://c2.us-south.containers.cloud.ibm.com:20267
        Private Service Endpoint URL:   https://c2.private.us-south.containers.cloud.ibm.com:20267
        Pull Secrets:                   enabled in the default namespace
        VPCs:                           ff537d43-a5a4-4b65-9627-17eddfa5237b
        ...
        

     2. Per le sottoreti nelle zone e VPC in cui si trova il tuo cluster, prendi nota del valore Subnet CIDR.

        ibmcloud is subnets
        

        Output di esempio

        ID                                     Name             Status      Subnet CIDR        Addresses   ACL                                                          Public Gateway                             VPC              Zone
        5f5787a4-f560-471b-b6ce-20067ac93439   vpc-prod-dal1    available   10.240.0.0/24      183/256     allow-all-network-acl-ff537d43-a5a4-4b65-9627-17eddfa5237b   -                                          prod             us-south-1
        e3c19786-1c54-4248-86ca-e60aab74ed62   vpc-prod-dal2    available   10.240.64.0/24     183/256     allow-all-network-acl-ff537d43-a5a4-4b65-9627-17eddfa5237b   -                                          prod             us-south-2
        2930a068-51cc-4eca-807b-3f296d0891b4   vpc-prod-dal3    available   10.240.128.0/24    249/256     allow-all-network-acl-ff537d43-a5a4-4b65-9627-17eddfa5237b   -                                          prod             us-south-3
        

   • Indirizzi IP dei singoli nodi di lavoro: se disponi di un numero limitato di nodi di lavoro che eseguono una sola applicazione e non richiedono scalabilità, oppure se desideri aggiungere un solo nodo di lavoro, elenca tutti i nodi di lavoro presenti nel tuo cluster e prendi nota degli indirizzi IP primari. Vengono aggiunti solo questi nodi di lavoro. Se si eliminano o si aggiungono nodi di lavoro al cluster, è necessario aggiornare di conseguenza l'elenco dei nodi autorizzati.

       ibmcloud oc worker ls --cluster <cluster_name_or_ID>
       ```
   

2. Aggiungi i CIDR delle sottoreti o i singoli indirizzi IP dei nodi di lavoro all'elenco dei permessi del tuo servizio o all'elenco dei permessi locale per il traffico in uscita.
3. Ripeti questi passi per ciascun cluster per il quale vuoi consentire il traffico in entrata o in uscita.

Aprire le porte richieste nelle liste pubbliche di permessi