Accesso ai tuoi endpoint di collegamento Satellite API Red Hat OpenShift

Per impostazione predefinita, gli endpoint del link dell'API " Red Hat OpenShift on IBM Cloud " ( Satellite ) sono protetti in modo da accettare il traffico proveniente esclusivamente dal piano di controllo IBM Cloud. Per accedervi da altre fonti, è necessario configurare un elenco di controllo degli accessi (ACL) per l'endpoint.

È possibile configurare l'ACL per l'endpoint seguendo le istruzioni riportate in Creazione di liste di controllo degli accessi tramite console o eseguendo il seguente comando CLI.

ibmcloud sat acl create --name NAME --location LOCATION --endpoint ENDPOINT --subnet SUBNET [--subnet SUBNET ...]

Per individuare l'endpoint dell'API " Red Hat OpenShift " nella tua istanza di Satellite, esegui il comando ibmcloud sat endpoints --location LOCATION e cerca nell'output l'endpoint il cui nome inizia con openshift-api-.

Le sottoreti che la ACL deve consentire dipendono da dove si sta cercando di accedere al server API, ad esempio da dove si sta cercando di eseguire i comandi kubectl. L'IP di origine effettivo che sta chiamando l'endpoint potrebbe non essere quello che si pensa, soprattutto se la sorgente proviene da un cluster o da un'istanza Kubernetes in VPC.

Utilizzare una delle seguenti istruzioni, a seconda dell'ambiente.

Se si opera in VPC, è possibile trovare gli IP di origine utilizzando il seguente comando.

ibmcloud is vpc VPC

Cercare la sezione Cloud Service Endpoint source IP addresses nell'output. Ad esempio:

Cloud Service Endpoint source IP addresses:    Zone         Address
                                               us-south-1   10.22.13.83
                                               us-south-2   10.12.158.57
                                               us-south-3   10.12.164.28

Utilizzare gli IP di origine del Cloud Service Endpoint per configurare la ACL. Ad esempio:

ibmcloud sat acl create --name myOpenShiftACL --location myLocation --endpoint openshift-api-cqv7rh4w0pf9mjcsacd0 --subnet 10.22.13.83 --subnet 10.12.158.57 --subnet 10.12.164.28

Se stai utilizzando un'istanza di VM classica, esegui il seguente comando per individuare l'indirizzo IP della tua istanza del servizio virtuale.

ibmcloud sl vs list

Output di esempio:

id          hostname      domain                          cpu   memory   public_ip        private_ip       datacenter   action
146349551   myhost        mydomain.ibmcloud.private       1     2048     169.48.27.170    10.166.165.5     tor01

Utilizzare l'opzione private_ip dell'istanza del servizio virtuale per configurare l'ACL. Ad esempio:

ibmcloud sat acl create --name myOpenShiftACL --location myLocation --endpoint openshift-api-cqv7rh4w0pf9mjcsacd0 --subnet 10.166.165.5

In tutti gli altri casi, è possibile trovare l'endpoint di collegamento Red Hat OpenShift API Satellite guardando nei log IBM Cloud Log Analysis della propria posizione Satellite. Per aprire questi registri, fare clic su Apri Dashboard sotto Logging for Link. È possibile impostare un filtro nell'istanza di monitoraggio per filtrare il valore necessario. Ad esempio, cercare flowlog: rejected by nel log e si vedrà un IP client rifiutato. Aggiungere una ACL con una sottorete corrispondente a quell'IP per l'endpoint. Questo IP viene registrato quando si utilizzano comandi oc tramite endpoint di collegamento sull'API Red Hat OpenShift. Per ulteriori informazioni, vedere Logging per Satellite.