Auf Satellite-Linkendpunkte der Red Hat OpenShift-API zugreifen

Standardmäßig sind Ihre Endpunkte für den Link Satellite der Red Hat OpenShift on IBM Cloud-API so geschützt, dass sie nur Datenverkehr von der IBM Cloud-Steuerungsebene akzeptieren. Um von anderen Quellen auf sie zuzugreifen, müssen Sie eine Zugriffskontrollliste (ACL) für Ihren Endpunkt konfigurieren.

Sie können die ACL für Ihren Endpunkt konfigurieren, indem Sie den Anweisungen unter Erstellen von Zugriffskontrolllisten über die Konsole folgen oder den folgenden CLI-Befehl ausführen.

ibmcloud sat acl create --name NAME --location LOCATION --endpoint ENDPOINT --subnet SUBNET [--subnet SUBNET ...]

Um den API-Endpunkt Red Hat OpenShift in Ihrem Satellite-Speicherort zu finden, führen Sie aus und ibmcloud sat endpoints --location LOCATION suchen Sie in der Ausgabe nach dem Endpunkt, dessen Name mit beginnt openshift-api-.

Die Subnetze, die Ihre ACL zulassen muss, hängen davon ab, von wo aus Sie versuchen, auf den API-Server zuzugreifen, z. B. von wo aus Sie versuchen, kubectl Befehle auszuführen. Die tatsächliche Quell-IP, die den Endpunkt aufruft, ist möglicherweise nicht die, für die Sie sie halten, insbesondere wenn Ihre Quelle von einem Kubernetes-Cluster oder einer Instanz in einer VPC stammt.

Befolgen Sie je nach Ihrer Umgebung eine der folgenden Anleitungen.

Wenn Sie in einer VPC arbeiten, können Sie Ihre Quell-IPs mit dem folgenden Befehl finden.

ibmcloud is vpc VPC

Achten Sie auf den Abschnitt Cloud Service Endpoint source IP addresses in der Ausgabe. Zum Beispiel:

Cloud Service Endpoint source IP addresses:    Zone         Address
                                               us-south-1   10.22.13.83
                                               us-south-2   10.12.158.57
                                               us-south-3   10.12.164.28

Verwenden Sie die Quell-IPs des Cloud-Service-Endpunkts, um Ihre ACL zu konfigurieren. Zum Beispiel:

ibmcloud sat acl create --name myOpenShiftACL --location myLocation --endpoint openshift-api-cqv7rh4w0pf9mjcsacd0 --subnet 10.22.13.83 --subnet 10.12.158.57 --subnet 10.12.164.28

Wenn Sie einen klassischen VM verwenden, führen Sie den folgenden Befehl aus, um die IP-Adresse Ihrer virtuellen Service-Instanz zu ermitteln.

ibmcloud sl vs list

Beispielausgabe:

id          hostname      domain                          cpu   memory   public_ip        private_ip       datacenter   action
146349551   myhost        mydomain.ibmcloud.private       1     2048     169.48.27.170    10.166.165.5     tor01

Verwenden Sie die private_ip Ihrer virtuellen Dienstinstanz, um Ihre ACL zu konfigurieren. Zum Beispiel:

ibmcloud sat acl create --name myOpenShiftACL --location myLocation --endpoint openshift-api-cqv7rh4w0pf9mjcsacd0 --subnet 10.166.165.5

In allen anderen Fällen finden Sie den Red Hat OpenShift API Satellite Link-Endpunkt, indem Sie in den IBM Cloud Log Analysis Protokolle für Ihren Satellite Standort. Um diese Protokolle zu öffnen, klicken Sie auf Dashboard öffnen unter Protokolle für Link. Sie können einen Filter in der Überwachungsinstanz einrichten, um den benötigten Wert herauszufiltern. Suchen Sie beispielsweise im Protokoll nach flowlog: rejected by und Sie werden eine abgewiesene Client-IP sehen. Fügen Sie eine ACL mit einem Subnetz hinzu, das dieser IP für Ihren Endpunkt entspricht. Diese IP wird protokolliert, wenn Sie oc Befehle über den Link-Endpunkt der Red Hat OpenShift API verwenden. Weitere Informationen finden Sie unter Aufzeichnung für Satellite.