쉘 스크립트를 사용하여 시크릿 자동 작성

1. 신뢰할 수 있는 프로파일 작성 단계를 수행하십시오. 프로파일의 조건 에서 다음 액세스 권한을 지정하십시오.

   • 네임스페이스 가 kube-system 인 경우 액세스 허용
   • Satellite 서비스 역할- Satellite Link 관리자, 독자
   • Kubernetes Service 역할-관리자, 편집자
   • 청구 서비스 역할-독자, 운영자

2. 다음 스크립트를 generate-secret.sh 파일에 저장하십시오.

   IBMCLOUD_AUTHTYPE=
   SECRET=
   error() {
       if [[ $? != 0 ]]; then
           echo "$1"; exit 1
       fi
   }
   #validate_arguments validates the arguments provided to the script
   validate_arguments() {
       if [[ "$#" -eq 1 ]]; then
       if [[ "$1" == "-h" ]] || [[ "$1" == "--help" ]]; then
           usage; exit 1
       fi
       fi
           #number of arguments provided to the script must be 2
       if [[ "$#" -ne 2 ]]; then
           echo "Invalid number of arguments provided"
           usage; exit 1
       fi
       #1st argument must be 'iam' or 'pod-identity'
       if [[ "$1" != "iam" ]] && [[ "$1" != "pod-identity" ]]; then
           echo "Provide a valid auth-type"
           usage; exit 1
       fi
       IBMCLOUD_AUTHTYPE=$1
       SECRET=$2
   }
   #usage - prints the usage for execution of script
   usage() {
       echo "USAGE:
       bash generate-secret.sh <auth-type> <apikey/profile-id>
       auth-type: auth-type should be either iam or pod-identity. Provide iam to use api
   key, pod-identity to use trusted profile"
   }
   #main
   main() {
       validate_arguments "$@"
       auth_type="IBMCLOUD_AUTHTYPE=$IBMCLOUD_AUTHTYPE"
       secret=
       if [[ "$IBMCLOUD_AUTHTYPE" == "iam" ]]; then
           secret="IBMCLOUD_APIKEY=$SECRET"
       else
           secret="IBMCLOUD_PROFILEID=$SECRET"
       fi
       encodedValue=$(echo -e "$auth_type\n$secret" | base64)
       #on certain os, base64 encoding introduces newline, removing the same here.
       encodedValue=${encodedValue//$'\n'/}
       #fetch the agent pod name
       agentPodName=$(kubectl get pods -n kube-system | grep ibm-storage-metrics-agent | awk '{print $1}')
       error "$(date +"%b %d %G %H:%M:%S"):  Unable to fetch ODF agent pod."
       if [[ "$agentPodName" == "" ]]; then
           echo "$(date +"%b %d %G %H:%M:%S"):  Error - ibm-storage-metrics-agent pod
   not found"
           exit 1
       fi
       echo "apiVersion: v1
   data:
   ibm-credentials.env: $encodedValue
   kind: Secret
   metadata:
   name: ibm-cloud-credentials
   namespace: kube-system
   type: Opaque" > ibm-cloud-credentials.yaml
       #create the k8s secret
       kubectl apply -f ibm-cloud-credentials.yaml &> /dev/null
       error "$(date +"%b %d %G %H:%M:%S"):  Error creating ibm-cloud-credentials
   secret."
       echo "$(date +"%b %d %G %H:%M:%S"):  Created ibm-cloud-credentials secret"
       #restart the ODF agent pod
       echo "$(date +"%b %d %G %H:%M:%S"):  Restarting $agentPodName pod"
       kubectl delete pod "$agentPodName" -n kube-system &> /dev/null
       error "$(date +"%b %d %G %H:%M:%S"):  Error restarting $agentPodName pod in
   kube-system namespace."
       agentPodStatus=
       for i in {1..12}
       do
           sleep 5
           agentPodStatus=$(kubectl get pods -n kube-system | grep ibm-storage-metrics-agent | awk '{print $3}')
           if [[ "$agentPodStatus" == "Running" ]]; then
               echo "$(date +"%b %d %G %H:%M:%S"):  $i: ODF billing agent is now using
   ibm-cloud-credentials secret"
               rm ibm-cloud-credentials.yaml
               error "Error deleting ibm-cloud-credentials.yaml."
               exit 0
           fi
       done
       error "$(date +"%b %d %G %H:%M:%S"):  Error - ibm-storage-metrics-agent is in
   $agentPodStatus state"
   }
   main "$@"
   

3. generate-secret.sh 스크립트를 실행하고 iam 또는 pod-identity 를 IBMCLOUD_AUTHTYPE 및 PROFILE-ID 또는 API-KEY 로 지정하십시오.

   신뢰할 수 있는 프로파일 ID로 pod-identity 를 사용하여 generate-secret.sh 를 실행하는 예제 명령입니다.

   sh ./generate-secret.sh pod-identity PROFILE-ID
   

   API키와 함께 iam 를 사용하여 generate-secret.sh 를 실행하는 예제 명령입니다.

   sh ./generate-secret.sh iam API-KEY
   

4. 에이전트 팟 (Pod) 을 다시 시작하십시오.

   oc delete pod <ibm-storage-metrics-agent> -n kube-sysem
   

5. 출력에서 secret type 를 찾아 에이전트 팟 (Pod) 의 로그를 가져와서 드라이버가 올바른 신임 정보를 사용하는지 확인하십시오. 예를 들면 "secret-used":"ibm-cloud-credentials","type":"pod-identity"입니다.

   oc logs ibm-storage-metrics-agent-xxx -c storage-secret-sidecar -n kube-system