고급 클러스터 관리 애드온 설정(일부 지역에만 해당)

시작하기 전에

ACM 애드온을 설치하기 전에 다음 필수 단계와 정보를 검토하세요.

1. ACM 요금제 유형을 검토하고 어떤 요금제를 사용할지 결정하세요. 가상화용 ACM의 경우, 관리형 클러스터에서 베어메탈 워커 노드를 실행하는 것이 좋습니다.
2. 클러스터가 다음 요구 사항을 충족하는지 확인하세요.
   • 허브 클러스터는 RHCOS를 실행하는 작업자 노드 3개 이상과 최소 6개의 VCPU 및 64GB RAM이 있는 VPC 클러스터여야 합니다. 고가용성을 위해 클러스터에 3개 영역에 걸쳐 영역당 작업자 노드가 하나 이상 있어야 합니다.
   • 각 관리형 클러스터에는 RHCOS를 실행하는 작업자 노드가 3개 이상 있어야 하며, 최소 6개의 VCPU와 64GB RAM이 있어야 합니다.
   • 또한 가상화용 ACM 요금제를 사용하려는 경우 베어메탈 워커 노드를 사용하는 것이 좋습니다. Kubernetes 플랜의 경우 관리형 클러스터는 베어메탈 노드 또는 VSI를 실행할 수 있습니다.
3. ACM 애드온에 의해 자동으로 설치되는 연산자와 개선 사항으로 설치할 수 있는 선택적 연산자를 검토하세요.
4. IBM Cloud Kubernetes Service 에서 클러스터에 대한 관리자 플랫폼 액세스 역할과 관리자 서비스 액세스 역할이 있어야 합니다.
5. 최소 3개의 워커 노드가 있는 VPC 클러스터가 있어야 합니다. 각 작업자 노드에는 최소 4개의 CPU와 16GB RAM이 있어야 합니다. 고가용성을 위해 클러스터에 3개 영역에 걸쳐 영역당 작업자 노드가 하나 이상 있어야 합니다.
6. 클러스터에서 ACM에 사용할 신뢰할 수 있는 프로필을 만듭니다.
7. ACM으로 관리하려는 각 클러스터에 대해, 관리되는 클러스터의 액세스 토큰과 서버 URL 를 사용하여 허브 클러스터에 시크릿을 만들어야 합니다. 이 단계는 설치 전이나 후에 완료할 수 있습니다. ACM용 비밀 번호 준비하기를 참조하세요.
8. CLI를 설치하거나 업데이트합니다.

ACM을 위한 신뢰할 수 있는 프로필 만들기

ACM에 사용할 신뢰할 수 있는 프로필을 만들려면 다음 단계를 따르세요.

1. 신뢰할 수 있는 프로필을 만들려면 다음 단계를 따르세요. 프로필 조건에서 다음 액세스 권한을 지정해야 합니다.

   • 네임스페이스가 다음과 같을 때 액세스 허용 kube-system
   • Satellite 서비스 역할 - Satellite Link 관리자, 리더
   • Kubernetes Service 역할 - 관리자, 편집자
   • 청구 서비스 역할 - 리더, 운영자

2. 신뢰할 수 있는 프로필을 만든 후 콘솔의 신뢰할 수 있는 프로필 페이지에서 ID를 복사합니다.

3. 신뢰할 수 있는 프로필의 ID를 사용하여 다음 비밀 번호를 만듭니다. 다음 텍스트를 저장하고 자격 증명을 입력합니다. 단계에 따라 수동으로 비밀번호를 만들거나 셸 스크립트를 사용하여 클러스터에 비밀번호를 자동으로 만들 수 있습니다.

   IBMCLOUD_AUTHTYPE=pod-identity
   IBMCLOUD_PROFILEID=<TRUSTED-PROFILE-ID>
   

4. 클러스터에 신뢰할 수 있는 프로필의 자격 증명을 포함하는 비밀을 만듭니다. 다음 YAML을 ibm-cloud-credentials.yaml 이라는 파일에 저장합니다. ibm-credentials.env: 필드에 신뢰할 수 있는 프로필의 ID를 입력합니다.

   apiVersion: v1
   data:
     ibm-credentials.env: # Trusted profile ID
   kind: Secret
   metadata:
     name: ibm-cloud-credentials
     namespace: kube-system
   type: Opaque
   

5. 계정에 로그인하십시오. If applicable, target the appropriate resource group. 클러스터에 대한 컨텍스트를 설정하십시오.

6. 클러스터의 시크릿을 작성하십시오.

   kubectl apply -f ibm-cloud-credentials.yaml
   

ACM을 위한 비밀 준비

ACM으로 관리하려는 각 클러스터에 대해 관리되는 클러스터의 액세스 토큰과 서버를 포함하는 시크릿을 허브 클러스터에 만들어야 합니다( URL ).

ACM 애드온 설치 프로세스 중에 관리되는 클러스터를 가져오려면 설치를 시작하기 전에 다음 단계를 완료하세요. 허브 클러스터에 애드온을 설치한 후에 비밀을 만들고 관리되는 클러스터를 가져오기로 선택한 경우에는 CLI로 추가 단계를 완료하여 이 작업을 수행할 수 있습니다.

관리하려는 각 클러스터에 대해 다음 단계를 완료합니다.

1. ACM으로 관리하려는 클러스터에서 다음 명령을 실행하여 서버를 찾습니다. URL. 출력에서 마스터 URL 값을 찾아서 기록합니다. 시크릿에서 참조할 서버는 URL 입니다. 다음 단계에서도 URL 을 사용합니다.

   ibmcloud oc cluster get -c <cluster_name_or_ID>
   

   출력 예.

   NAME:                           mycluster
   ID:                             1234567
   State:                          normal
   Created:                        2025-01-22T19:22:16+0000
   Location:                       dal10
   Master URL:                     https://c100-e.<region>.containers.cloud.ibm.com:<port>
   ...
   

2. Red Hat OpenShift oauth 서버의 토큰 엔드포인트를 가져옵니다. <master_URL> 을 이전 단계에서 찾은 URL 으로 바꿉니다. 출력의 값은 액세스 토큰이 아니라는 점에 유의하세요.

   curl <master_URL>/.well-known/oauth-authorization-server | jq -r .token_endpoint
   

   출력 예.

   <token_endpoint>/oauth/token
   

3. 이전에 검색한 엔드포인트로 클러스터에 로그인하십시오. <URL> 을 이전 단계에서 찾은 oauth 서버의 <token_endpoint> 으로 바꿉니다. 출력에서 위치 응답에 포함된 <access_token> 을 찾습니다. 비밀에 포함할 액세스 토큰입니다.

   curl 요청 예:

   curl -u 'apikey:<API_key>' -H "X-CSRF-Token: a" '<URL>/oauth/authorize?client_id=openshift-challenging-client&response_type=token' -vvv
   

   출력 예. <access_token>은 위치 응답 문자열에 포함됩니다.

   < HTTP/1.1 302 Found
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Expires: 0
   < Expires: Fri, 01 Jan 2030 00:00:00 GMT
   < Location: <token_endpoint>/oauth/token/implicit#access_token=<access_token>&expires_in=86400&scope=user%3Afull&token_type=Bearer
   ...
   

4. 허브 클러스터에서 클러스터 액세스 토큰과 서버가 포함된 비밀을 만듭니다 URL. 비밀 번호 생성에 대한 자세한 내용은 Kubernetes 문서에서 비밀 번호로 작업하기를 참조하세요.

   비밀 예시.

   apiVersion: v1
   kind: Secret
   metadata:
     name: <secret_name>
     namespace: <secret_namespace>  # The namespace that the secret is to be created in
   type: Opaque
   stringData:
     token: <access_token>
     server: <server_url>
   

ACM 운영자

ACM 애드온에 의해 자동으로 설치되는 연산자와 개선 사항으로 설치할 수 있는 선택적 연산자를 검토하세요.

ACM을 설치한 후 관리되는 클러스터 가져오기

ACM으로 관리할 클러스터를 가져오는 방법에는 여러 가지가 있습니다. 클러스터를 가져오기 전에 ACM에 필요한 비밀번호를 만들었는지 확인하세요.

ACM으로 관리되는 모든 클러스터는 클러스터 세트에 속해야 합니다. 새 클러스터 집합을 만들거나 Default 클러스터 집합에 클러스터를 추가할 수 있습니다. 클러스터 집합을 지정하지 않으면 관리되는 클러스터가 Default 옵션에 추가됩니다.

관리형 클러스터 업데이트 또는 제거하기

ACM 인스턴스에서 관리형 클러스터를 제거하거나 업데이트하려면 허브 클러스터에서 ACM 사용자 지정 리소스의 managedClusters 섹션을 편집해야 합니다.

1. 명령을 실행하여 ACM 리소스를 편집합니다.

   oc edit acmhub <resource_name>
   

2. 리소스의 managedClusters 섹션에서 클러스터 ID, ACM용으로 만든 클러스터 비밀 이름, 비밀의 네임스페이스, 클러스터에 대해 구현하려는 작업을 추가합니다. 서식 지정은 아래 예시를 참조하세요. 작업의 경우 Delete 또는 Update 을 지정합니다. 클러스터를 삭제하려면 시크릿 또는 시크릿 네임스페이스가 필요하지 않습니다.

   다음 예제는 cluster_id_1 을 삭제하고 cluster_id_2 을 업데이트합니다.

   managedclusters:
     - clusterid: "cluster_id_1"
       action: "Delete"
     - clusterid: "cluster_id_2"
       secretname: "managed-secret-2"
       secretnamespace: "managed-namespace-2" # The namespace that the secret was created in
       action: "Update"  
   

3. 변경을 저장하고 적용하십시오.

ACM 버전 업그레이드하기

명령을 실행하여 애드온을 새 버전으로 업그레이드합니다.

ibmcloud oc cluster addon update acm --cluster <cluster_id> --version <add-on_version>

애드온이 업데이트되었는지 확인하려면 클러스터 애드온을 나열하세요. 출력에서 ACM 애드온 세부 정보를 찾습니다.

ibmcloud oc cluster addon ls --cluster <cluster_id>

ACM 애드온 삭제하기

ACM 애드온을 삭제하려면 다음 단계를 따르세요.

1. 허브 클러스터에서 ACM 리소스를 삭제합니다.

   oc delete acmhub <resource_name>
   

2. 리소스가 삭제된 후 ACM 애드온을 제거합니다. 동일한 클러스터 ID를 지정합니다.

   ibmcloud oc cluster addon disable acm -f --cluster <cluster_id>