Comprensione dell'utilizzo disconnesso

Cosa significa utilizzo disconnesso?

Quando le ubicazioni Satellite e Red Hat OpenShift on IBM Cloud sono disconnesse dalla region managed-from parent in IBM Cloud, possono ancora essere eseguite con alcune limitazioni per una determinata quantità di tempo. Le limitazioni dell'utilizzo disconnesso non includono correzioni di sicurezza e avvisi. Per ulteriori informazioni, vedi Utilizzo disconnesso per componente.

Come posso impostare per quanto tempo il mio token di accesso è valido?

Modificare il valore del parametro accessTokenMaxAgeSeconds per impostare la validità del token in secondi. Per ulteriori informazioni, vedi Impostazione del tempo di utilizzo disconnesso.

Cosa succede quando il mio token scade?

Dopo la scadenza del token, perdi la capacità di lavorare con l'ubicazione. Quando si esegue un comando, si ricevono messaggi di errore come error: You must be logged in to the server (Unauthorized). Per ripristinare, è necessario riconnettersi all'ubicazione ed eseguire nuovamente l'accesso per richiamare un nuovo token. Non ricaricare i nodi prima che l'ubicazione sia riconnessa. Se si ricaricano i nodi mentre l'ubicazione è disconnessa, l'ubicazione non verrà ripristinata.

Devo ricreare l'ubicazione?

No, non è necessario creare nuovamente l'ubicazione. È possibile ricollegare la posizione esistente e ripetere l'autenticazione per continuare a lavorare con la posizione.

Come si effettua una nuova autenticazione?

Riconnettere prima la propria ubicazione e quindi accedere nuovamente con le proprie credenziali.

Devo recuperare il backup etcd ?

Se si utilizzano host RHCOS, non è necessario ripristinare il backup etcd. La posizione si ripristina automaticamente dopo la riconnessione e la nuova autenticazione. Le sedi che utilizzano RHEL richiedono un etcd e di ripristino.

Cosa succede se una località rimane disconnessa per più di 7 giorni?

Una volta ripristinata la connessione, è necessario sostituire tutti gli host della sede con la nuova infrastruttura. Il limite massimo di 7 giorni deriva dal valore predefinito del limite massimo di accessTokenMaxAgeSeconds, pari a 604.800 secondi, come configurato nel server OpenShift OAuth.

Come faccio a sapere quando riconnettere una località?

È possibile prendere una nota o impostare un promemoria per riconnettere l'ubicazione prima della scadenza della finestra di 7 giorni. Il timer viene avviato quando si richiede il token.

Impostazione del tempo di utilizzo disconnesso

IBM Cloud Satellite consente alle sedi e ai cluster di Red Hat OpenShift on IBM Cloud di funzionare in modalità disconnessa dalla regione managed-from di riferimento su IBM Cloud per un massimo di 168 ore (7 giorni). Questo limite è determinato dal valore massimo supportato per " accessTokenMaxAgeSeconds " (604800 secondi) nella configurazione del server OpenShift OAuth.

È possibile modificare questa impostazione cambiando il valore di " accessTokenMaxAgeSeconds " per tutti i client OAuth. Il valore predefinito per il parametro accessTokenMaxAgeSeconds è 86400 secondi.

Il valore accessTokenMaxAgeSeconds inizia a contare l'ultima volta che l'utente è stato autenticato, non quando l'ubicazione è disconnessa. Nota che un utente deve avere accesso a IAM per autenticarsi.

1. Ottieni i tuoi client OAuth eseguendo oc get oauthclients.

   Output di esempio

   NAME                           SECRET                                        WWW-CHALLENGE   TOKEN-MAX-AGE   REDIRECT URIS
   console                        OBXIvSxQx2t5ANYe5-xAEylpsbdytupjyjJicScdFsE   false           default         https://console-openshift-console.sl-disc2b-be7d0adc45c89a3b4c1f8e7bc127f800-0000.eu-de.containers.appdomain.cloud/auth/callback
   openshift-browser-client       Mohc6XH48KzDywCWf-oP2SaKbI70KL1O              false           default         https://sb5041d7cf0af9630b92f-6b64a6ccc9c596bf59a86625d8fa2202-ce00.eu-de.satellite.appdomain.cloud:30048/oauth/token/display
   

2. Ottieni i tuoi token di accesso “ OAuth ” eseguendo il comando oc get oauthaccesstokens.

3. Per ogni client OAuth recuperato nel passaggio 1, impostare il valore accessTokenMaxAgeSeconds eseguendo il comando oc edit oauthclients console e aggiungendo accessTokenMaxAgeSeconds: 604800 come prima riga. Si noti che è necessario ripetere questo passaggio per tutti i propri client OAuth.

4. Facoltativamente, eseguire oc get oauthclients console -o yaml per controllare se la prima riga del file yaml è stata aggiornata in accessTokenMaxAgeSeconds: 604800.

5. Aggiorna il tuo cluster eseguendo ibmcloud ks cluster master refresh --cluster CLUSTERID per rendere effettive le modifiche.

6. Eseguire il seguente comando per verificare che il valore " accessTokenMaxAgeSeconds " sia stato aggiornato per i client OAuth.

   oc get oauthclients -o json | jq -j '.items[]|"Name:\t", .metadata.name, "\t", "value:\t", .accessTokenMaxAgeSeconds, "\n"'
   

Utilizzo disconnesso per componente

Le seguenti tabelle illustrano il comportamento e le limitazioni dei diversi componenti quando l'ubicazione è disconnessa.