高度なクラスタ管理アドオンの設定（一部のリージョンのみ）

開始前に

ACMアドオンをインストールする前に、以下の前提条件の手順と情報を確認してください。

1. ACMプランの種類を 確認し、どのプランを利用するかを決める。 ACM for Virtualizationでは、管理クラスタはベアメタルワーカーノードで実行することを推奨します。
2. クラスタが以下の要件を満たしていることを確認してください。
   • ハブクラスタ は、 RHCOS を実行する少なくとも 3 ワーカーノードと、最低 6 VCPU、 64GB RAM を持つ VPC クラスタでなければなりません。 高可用性を実現するには、クラスタが3つのゾーンにまたがって、ゾーンごとに少なくとも1つのワーカーノードを持つようにしてください。
   • 各管理クラスタには、 RHCOSを実行するワーカーノードが最低 3台必要で、最低 6VCPUと 64GB RAMが必要です。
   • また、 ACM for Virtualization プランを使用する場合は、 ベアメタルワーカーノードの使用を推奨します。 ACM for Kubernetes プランでは、管理クラスタはベアメタルノードまたは VSIのいずれかを実行できる。
3. ACMアドオンによって 自動的にインストールされるオペレータと、拡張機能としてインストールできる オプションのオペレータを 確認します。
4. IBM Cloud Kubernetes Service、クラスタの Administratorプラットフォーム・アクセス・ロールとManagerサービス・アクセス・ロールが 必要です。
5. 少なくとも3つのワーカーノードを持つVPCクラスタが必要です。 各ワーカーノードには最低4CPUと 16GB RAMが必要です。 高可用性を実現するには、クラスタが3つのゾーンにまたがって、ゾーンごとに少なくとも1つのワーカーノードを持つようにしてください。
6. ACMに使用する信頼できるプロファイルをクラスタ上に作成 します。
7. ACMで管理するクラスタごとに、管理対象のクラスタのアクセストークンとサーバ URL を使用してハブクラスタ上にシークレットを作成する必要があります。 このステップは、インストールの前でも後でも構いません。 ACMのための秘密準備 」を参照。
8. CLIをインストールまたはアップデート する。

ACMの信頼できるプロフィールを作成する

ACMに使用する信頼済みプロファイルを作成する手順に従ってください。

1. 手順に従って、 信頼できるプロフィールを作成して ください。 プロファイルの条件では、必ず以下のアクセスを指定してください。

   • 名前空間が等しい場合にアクセスを許可する kube-system
   • Satellite サービスの役割 - Satellite Link 管理者、読者
   • Kubernetes Service 役割 - マネージャー、編集者
   • 課金サービスの役割 - リーダー、オペレーター

2. 信頼済みプロファイルを作成したら、コンソールの 「信頼済みプロファイル」 ページからIDをコピーします。

3. 信頼されたプロファイルのIDを使用して、以下のシークレットを作成する。 以下のテキストを保存し、認証情報を入力してください。 ステップに従って手動でシークレットを作成することもできますし、シェルスクリプトを使用して クラスタ内で自動的にシークレットを作成 することもできます。

   IBMCLOUD_AUTHTYPE=pod-identity
   IBMCLOUD_PROFILEID=<TRUSTED-PROFILE-ID>
   

4. クラスタ内に、信頼済みプロファイルの認証情報を含むシークレットを作成します。 以下のYAMLを ibm-cloud-credentials.yaml というファイルに保存する。 ibm-credentials.env: フィールドに、信頼済みプロファイルの ID を入力します。

   apiVersion: v1
   data:
     ibm-credentials.env: # Trusted profile ID
   kind: Secret
   metadata:
     name: ibm-cloud-credentials
     namespace: kube-system
   type: Opaque
   

5. アカウントにログインします。 該当する場合は、適切なリソース・グループをターゲットにします。 クラスターのコンテキストを設定します。

6. クラスター内にシークレットを作成します。

   kubectl apply -f ibm-cloud-credentials.yaml
   

ACMのための秘密の準備

ACMで管理するクラスタごとに、管理対象のクラスタのアクセストークンとサーバ URL を含むシークレットをハブクラスタ上に作成する必要があります。

ACMアドオンのインストールプロセス中にマネージドクラスタをインポートする場合は、インストールを開始する前に以下の手順を完了してください。 アドオンをハブクラスタにインストールした後でシークレットの作成と管理クラスタのインポートを行う場合は、CLIで 追加の手順を 実行します。

管理するクラスタごとに以下の手順を実行します。

1. ACMで管理したいクラスタ上でコマンドを実行し、サーバを見つける URL。 出力で、 マスター URL の値を見つけてメモする。 これはシークレットで参照するサーバー URL。 この URL は、次のステップでも使用する。

   ibmcloud oc cluster get -c <cluster_name_or_ID>
   

   出力例。

   NAME:                           mycluster
   ID:                             1234567
   State:                          normal
   Created:                        2025-01-22T19:22:16+0000
   Location:                       dal10
   Master URL:                     https://c100-e.<region>.containers.cloud.ibm.com:<port>
   ...
   

2. Red Hat OpenShift oauth サーバーのトークンエンドポイントを取得します。 <master_URL> を前のステップで見つけた URL で置き換える。 出力される値はアクセストークンではないことに注意。

   curl <master_URL>/.well-known/oauth-authorization-server | jq -r .token_endpoint
   

   出力例。

   <token_endpoint>/oauth/token
   

3. 先ほど取得したエンドポイントを使用して、クラスターにログインします。 <URL> を、前のステップで見つけた oauth サーバーの <token_endpoint> に置き換える。 出力から、 Location 応答に含まれる <access_token> を見つける。 シークレットに含めるアクセストークンです。

   curl 要求の例:

   curl -u 'apikey:<API_key>' -H "X-CSRF-Token: a" '<URL>/oauth/authorize?client_id=openshift-challenging-client&response_type=token' -vvv
   

   出力例。 <access_token>はLocationの応答文字列に含まれる。

   < HTTP/1.1 302 Found
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Expires: 0
   < Expires: Fri, 01 Jan 2030 00:00:00 GMT
   < Location: <token_endpoint>/oauth/token/implicit#access_token=<access_token>&expires_in=86400&scope=user%3Afull&token_type=Bearer
   ...
   

4. ハブ・クラスタ上で、クラスタ・アクセストークンとサーバ URL を含むシークレットを作成します。 シークレットの作成については、 Kubernetes ドキュメントの Working with secrets を参照してください。

   秘密の例。

   apiVersion: v1
   kind: Secret
   metadata:
     name: <secret_name>
     namespace: <secret_namespace>  # The namespace that the secret is to be created in
   type: Opaque
   stringData:
     token: <access_token>
     server: <server_url>
   

ACMオペレーター

ACMアドオンによって自動的にインストールされるオペレータと、拡張機能としてインストールできるオプションのオペレータを確認します。

ACMインストール後の管理クラスタのインポート

ACMで管理するクラスタをインポートするには、いくつかの方法がある。 クラスタをインポートする前に、 ACMに必要なシークレットが作成 されていることを確認してください。

ACMによって管理されるすべてのクラスタは、クラスタセットに属していなければならない。 新しいクラスタ・セットを作成することも、 Default クラスタ・セットにクラスタを追加することもできます。 クラスタ・セットが指定されていない場合、管理クラスタは Default オプションに追加されます。

管理クラスタの更新または削除

ACMインスタンスからマネージドクラスタを削除または更新するには、ハブクラスタ上のACMカスタムリソースの managedClusters セクションを編集する必要があります。

1. コマンドを実行してACMリソースを編集する。

   oc edit acmhub <resource_name>
   

2. リソースの managedClusters ・セクションに、クラスタID、ACM用に作成したクラスタ・シークレットの名前、シークレットの名前空間、クラスタに実装するアクションを追加します。 書式については以下の例を参照のこと。 アクションには、 Delete または Update を指定する。 クラスタを削除するには、secretやsecret名前空間は必要ないことに注意してください。

   次の例は、cluster_id_1 を削除し、 cluster_id_2 を更新します。

   managedclusters:
     - clusterid: "cluster_id_1"
       action: "Delete"
     - clusterid: "cluster_id_2"
       secretname: "managed-secret-2"
       secretnamespace: "managed-namespace-2" # The namespace that the secret was created in
       action: "Update"  
   

3. 変更を保存して適用します。

ACMバージョンのアップグレード

コマンドを実行して、アドオンを新しいバージョンにアップグレードします。

ibmcloud oc cluster addon update acm --cluster <cluster_id> --version <add-on_version>

アドオンが更新されたことを確認するには、クラスタのアドオンを一覧表示します。 出力で、ACMアドオンの詳細を探す。

ibmcloud oc cluster addon ls --cluster <cluster_id>

ACMアドオンの削除

ACMアドオンを削除する手順に従ってください。

1. ハブクラスタからACMリソースを削除します。

   oc delete acmhub <resource_name>
   

2. リソースが削除されたら、ACMアドオンを削除する。 同じクラスタIDを指定する。

   ibmcloud oc cluster addon disable acm -f --cluster <cluster_id>