前提条件

• クラスターに対するマネージャーのサービス・アクセス役割があることを確認します。
• KMS プロバイダーをセットアップします。
• 取得する apikey、または access_key_id そして secret_access_keyIBM Cloud Object Storage サービス資格情報。 サービス資格情報は、アプリが実行する必要があるバケット操作に対して十分なものでなければならないことに注意してください。 例えば、アプリがバケットからデータを読み込む場合、シークレットに表示されるサービス資格情報は、最低でもリーダー 権限を持っていなければなりません。

クラスターでのオブジェクト・ストレージ・シークレットの作成

IBM Cloud Object Storageのシークレットをクラスターに作成するには、以下の手順を実行します。

クラスター内の PVC から新規バケットを作成するときに Key Protect 暗号化を統合する場合は、 IBM Cloud Object Storage シークレット の作成時にルート・キー CRN を含める必要があります。 Key Protect 暗号化を既存のバケットに追加できないことに注意してください。 暗号化は、新規バケットを作成する場合にのみ使用できます。 暗号化に使用されているルート鍵が削除されると、関連するバケット内のすべてのファイルにアクセスできなくなります。

• Red Hat OpenShift クラスターにアクセスします。

1. IBM Cloud Object Storage サービス・インスタンスの GUID を取得します。

   ibmcloud resource service-instance <service_name> | grep GUID
   

2. サービス資格情報を保管する Kubernetes シークレットを作成します。 以下のいずれかの例を選択して、シークレットを作成します。

   • API キーを使用する create secret コマンドの例。

     oc create secret generic cos-write-access --type=ibm/ibmc-s3fs --from-literal=api-key=<api_key> --from-literal=service-instance-id=<service_instance_guid>
     

   • HMAC 認証を使用する create secret コマンドの例。

     oc create secret generic cos-write-access --type=ibm/ibmc-s3fs --from-literal=access-key=<access_key_ID> --from-literal=secret-key=<secret_access_key>    
     

   • KMS プロバイダーで暗号化を有効にするための秘密構成ファイルの例。

     1. 以下の YAML をファイルに保存します。

        apiVersion: v1
        data:
            access-key: xxx
            secret-key: xxx
            kp-root-key-crn: <CRN> # Key Protect or HPCS root key crn in base64 encoded format
        kind: Secret
        metadata:
            name: cos-write-access
        type: ibm/ibmc-s3fs
        

        api-key

        以前に IBM Cloud Object Storage サービス資格情報から取得した API キーを入力します。 HMAC 認証を使用する場合は、代わりに access-key および secret-key を指定します。

        access-key

        以前に IBM Cloud Object Storage サービス資格情報から取得したアクセス・キー ID を入力します。 OAuth2 認証を使用する場合は、代わりに api-key を指定します。

        secret-key

        以前に IBM Cloud Object Storage サービス資格情報から取得したシークレット・アクセス・キーを入力します。 OAuth2 認証を使用する場合は、代わりに api-key を指定します。

        service-instance-id

        以前に取得した IBM Cloud Object Storage サービス・インスタンスの GUID を入力します。

        kp-root-key-crn

        base64 エンコードの Key Protect ルート鍵の CRN を入力して、 Key Protect 暗号化を使用します。

     2. クラスターに秘密を適用する。

        kubectl apply -f <secret_name>
        

3. クラスター内のシークレットを取得し、出力を確認します。

   oc get secret
   

   出力例

   NAME                  TYPE                                  DATA   AGE
   cos-write-access      ibm/ibmc-s3fs                         2      7d19h
   default-au-icr-io     kubernetes.io/dockerconfigjson        1      55d
   default-de-icr-io     kubernetes.io/dockerconfigjson        1      55d
   ...
   

4. IBM Cloud Object Storage プラグインをインストールするか、またはプラグインが既にインストールされている場合は IBM Cloud Object Storage バケットの構成を決定してください。

5. オプション: デフォルトのストレージ・クラスにシークレットを追加します。 ストレージ・クラス・リファレンス