将服务证书手动绑定到群集

开始之前：

• 确保您具有以下角色：
  • 编辑者或管理员IBM Cloud 您想要绑定服务的集群的 IAM 平台访问角色。
  • Writer 或 Manager IBM Cloud IAM 服务访问角色，用于要在其中绑定服务的 Red Hat OpenShift 项目。
• 访问 Red Hat OpenShift 集群。

您可以通过完成以下步骤将服务证书手动添加到群集中。

1. 获取您想要添加到集群中的服务的实例名称。

   ibmcloud resource service-instances
   

2. 创建服务密钥。 更多信息，请参阅 命令参考。

   ibmcloud resource service-key-create NAME [ROLE] --instance-name SERVICE_INSTANCE
   

3. 复制 Credentials 部分，并将其保存到名为 creds 的无扩展名文件中。

4. 创建一个使用您创建的凭据文件的 Kubernetes 密码。

   kubectl create secret generic my-secret --from-file=path/to/creds
   

使用 service bind CLI 向群集添加服务

绑定时可以使用现有的服务证书吗？

运行 service bind 命令时，可选择指定 --key 参数，并提供现有服务凭据的名称。IBM Cloud 服务绑定会自动使用现有服务凭据创建 Kubernetes 保密信息。

如果我的现有凭证是一次性查看凭证怎么办？

service bind 命令不支持自带一次性查看凭据。 因此，如果要使用 service bind 命令，请不要指定 --key 参数。 运行不带 --key 的命令将为您创建一组新的凭据。

如果您想要使用一次性查看的凭据，则必须 手动将服务绑定到您的集群。 此选项允许您使用现有的一次性查看凭据。

如果我想使用使用私有云服务终端的服务凭据，该怎么办？

默认情况下，service bind 命令使用公共云服务端点创建服务凭据。 要使用私有云服务端点，必须为使用私有云服务端点的服务手动创建服务凭据，然后使用 --key 选项指定现有服务凭据的名称。 如果您计划携带自己的证书，请确保您现有的证书不是一次性查看证书。 更多信息，请参阅 一次性凭证。

您的服务可能还不支持私有云服务端点。

查看以下章节，了解将服务证书绑定到群集的步骤。

使用 IBM Cloud 服务绑定可自动为 IBM Cloud 服务创建服务凭证，并将这些凭证存储在 Kubernetes 私钥中。

如果您的服务支持私有云服务端点，您可以使用私有云服务端点手动创建服务凭据，然后使用 --key 选项指定凭据名称。

开始之前：

• 确保您具有以下角色：
  • 编辑者或管理员IBM Cloud 您想要绑定服务的集群的 IAM 平台访问角色。
  • Writer 或 Manager IBM Cloud IAM 服务访问角色，用于要在其中绑定服务的 Red Hat OpenShift 项目。
• 访问 Red Hat OpenShift 集群。

要将 IBM Cloud 服务添加到集群：

1. 创建 IBM Cloud 服务的实例。

   • 某些 IBM Cloud 服务仅在精选区域中可用。 仅当服务在与您的集群相同的区域中可用时，才可将服务绑定到集群。 此外，如果想要在华盛顿专区中创建服务实例，必须使用 CLI。
   • 对于启用 IAM 的服务：必须在集群所在的资源组中创建服务实例。 一个服务只能在一个资源组中进行创建，并且在此之后无法进行更改。
   • 请确保服务名称的格式为 myservice 或 example.com。 不允许使用空格和下划线。

2. 检查创建的服务类型，并记下服务实例名称。

   ibmcloud resource service-instances
   

   示例输出

   NAME                          Location   State    Type               Tags
   <iam_service_instance_name>   <region>   active   service_instance
   

3. 确定要用于添加服务的群集项目。

   oc get namespaces
   

4. 将服务绑定到群集，为使用公共云服务端点的服务创建服务凭据，并将凭据存储在 Kubernetes secret 中。 如果已有服务凭据，请使用 --key 选项指定凭据名称。 对于启用了 IAM 的服务，凭据会以 Writer 服务访问角色自动创建，但也可以使用 --role 选项指定不同的服务访问角色。 如果使用 --key 选项，请勿包含 --role 选项。

   如果计划使用自己的凭据，请确保现有凭据不是一次性查看凭据，或者使用建议的方式将服务凭据手动保存到群集。 更多信息，请参阅 一次性凭证。

   ibmcloud oc cluster service bind --cluster <cluster_name_or_ID> --namespace <project> --service <service_instance_name> [--key <service_instance_key>] [--role <IAM_service_role>]
   

   服务凭据创建成功后，会创建一个名为 binding-<service_instance_name> 的 Kubernetes secret。

   示例输出

   ibmcloud oc cluster service bind --cluster mycluster --namespace myproject --service cleardb
   Binding service instance to namespace...
   OK
   Namespace:         myproject
   Secret name:     binding-<service_instance_name>
   

5. 验证 Kubernetes 私钥中的服务凭证。

   1. 获取私钥的详细信息并记录 binding 值。 binding 值采用 base64 编码，并且以 JSON 格式保存服务实例的凭证。

      oc get secrets binding-<service_instance_name> --namespace=<project> -o yaml
      

      示例输出

      apiVersion: v1
      data:
      binding: <binding>
      kind: Secret
      metadata:
        annotations:
          service-instance-id: 1111aaaa-a1aa-1aa1-1a11-111aa111aa11
          service-key-id: 2b22bb2b-222b-2bb2-2b22-b22222bb2222
        creationTimestamp: 2018-08-07T20:47:14Z
        name: binding-<service_instance_name>
        namespace: <project>
        resourceVersion: "6145900"
        selfLink: /api/v1/namespaces/default/secrets/binding-mycloudant
        uid: 33333c33-3c33-33c3-cc33-cc33333333c
      type: Opaque
      

   2. 对 binding 值进行解码。

      echo "<binding>" | base64 -D
      

      示例输出

      {"apikey":"<API_key>","host":"<ID_string>-bluemix.cloudant.com","iam_apikey_description":"Auto generated apikey during resource-key operation for Instance - crn:v1:bluemix:public:cloudantnosqldb:us-south:a/<ID_string>::","iam_apikey_name":"auto-generated-apikey-<ID_string>","iam_role_crn":"crn:v1:bluemix:public:iam::::serviceRole:Writer","iam_serviceid_crn":"crn:v1:bluemix:public:iam-identity::a/1234567890brasge5htn2ec098::serviceid:ServiceId-<ID_string>","password":"<ID_string>","port":443,"url":"https://<ID_string>-bluemix.cloudant.com","username":"123b45da-9ce1-4c24-ab12-rinwnwub1294-bluemix"}
      

   3. 可选：在 IBM Cloud 仪表板中，将在先前步骤中解码的服务凭证与针对服务实例找到的服务凭证进行比较。

6. 既然您的服务已绑定到集群，就必须配置应用程序以访问 Kubernetes 私钥中的服务凭证。

从应用程序访问服务凭证

要从应用程序访问 IBM Cloud 服务实例，必须使存储在 Kubernetes 私钥中的服务凭证可用于应用程序。

服务实例凭证采用 base64 编码并且以 JSON 格式存储在私钥中。 要访问私钥中的数据，请从以下选项中进行选择：

• 将私钥作为卷安装到 pod
• 在环境变量中引用私钥

开始之前：

• 确保您具有 kube-system 项目的 Writer 或 Manager IBM Cloud IAM 服务访问角色。
• 访问 Red Hat OpenShift 集群。
• 向集群添加 IBM Cloud 服务。

从集群中除去服务

如果不想使用绑定到群集的 IBM Cloud 服务，可以手动从群集中删除 Kubernetes 秘密和访问该秘密的 pod。

1. 列出与群集绑定的服务，并注明服务名称和服务绑定的项目。

   ibmcloud oc cluster service ls --cluster
   

   示例输出

   OK
   Service   Instance GUID                          Key                                                                  Namespace   
   myservice 12345ab1-1234-1abc-a12b-12abc12a12ab   kube-a1a12abcd12a123abc1a12ab1a1234ab7.abcdefg0p1abcd123lgg.default   default  
   

2. 在服务绑定的项目中列出 Kubernetes 保密信息，并查找名称符合 binding-<service_name> 格式的保密信息。

   oc get secrets -n <project> | grep Opaque
   

   示例输出

   binding-myservice   Opaque     1      3d23h
   

3. 检索访问此私钥的所有 pod。

   oc get pods --all-namespaces -o=jsonpath='{range .items[*]}{"\n"}{.metadata.name}{":\t"}{range .spec.volumes[*]}{.secret.secretName}{" "}{end}{end}' | grep "<secret_name>"
   

   如果 CLI 输出为空，说明集群中不存在安装此私钥的 pod。

4. 如果有安装了此私钥的 pod，请除去该 pod 或除去管理该 pod 的部署，或者更新该 pod 和部署 YAML 以改为使用其他私钥。

   • 要除去 pod 或部署，请执行以下操作：

     oc delete pod <pod_name> -n <project>
     

     oc delete deployment <deployment_name> -n <project>
     

   • 要更新现有 pod 或部署，请执行以下操作：
     1. 获取 pod 或部署 YAML 文件。

        oc get pod <pod_name> -o yaml
        

        oc get deployment <deployment_name> -o yaml
        

     2. 复制 YAML 文件，并在 spec.volumes 部分中，更改要使用的私钥的名称。
     3. 在集群中应用更改。

        oc apply -f pod.yaml
        

        oc apply -f deployment.yaml
        

     4. 验证是否使用更新的卷规范创建了新 pod。

        oc get pods
        

        oc describe pod <pod_name>
        

5. 除去私钥。

   oc delete secret <secret_name> -n <project>
   

6. 验证私钥是否已除去。

   oc get secrets -n <project>
   

7. 可选。 除去 IBM Cloud 服务实例。

   ibmcloud resource service-instance-delete <service_name>