Accesso ai tuoi endpoint di collegamento Satellite API Red Hat OpenShift

Per impostazione predefinita, gli endpoint di collegamento dell'API di Red Hat OpenShift on IBM Cloud accettano il traffico solo dal piano di controllo IBM Cloud. Configurare un ACL per consentire l'accesso da altre fonti.

È possibile configurare l'ACL per l'endpoint seguendo le istruzioni riportate in Creazione di liste di controllo degli accessi tramite console o eseguendo il seguente comando CLI.

ibmcloud sat acl create --name NAME --location LOCATION --endpoint ENDPOINT --subnet SUBNET [--subnet SUBNET ...]

Per individuare l'endpoint dell'API " Red Hat OpenShift " nella tua istanza di Satellite, esegui il comando ibmcloud sat endpoints --location LOCATION e cerca nell'output l'endpoint il cui nome inizia con openshift-api-.

Le sottoreti che la ACL deve consentire dipendono da dove si sta cercando di accedere al server API, ad esempio da dove si sta cercando di eseguire i comandi kubectl. L'IP di origine effettivo che effettua la chiamata all'endpoint non è sempre quello che ci si aspetterebbe, soprattutto se la chiamata proviene da un cluster o da un'istanza di Kubernetes all'interno di una VPC.

Utilizzare una delle seguenti istruzioni, a seconda dell'ambiente.

Se si opera in VPC, è possibile trovare gli IP di origine utilizzando il seguente comando.

ibmcloud is vpc VPC

Cercare la sezione Cloud Service Endpoint source IP addresses nell'output. Ad esempio:

Cloud Service Endpoint source IP addresses:    Zone         Address
                                               us-south-1   10.22.13.83
                                               us-south-2   10.12.158.57
                                               us-south-3   10.12.164.28

Utilizzare gli IP di origine del Cloud Service Endpoint per configurare la ACL. Ad esempio:

ibmcloud sat acl create --name myOpenShiftACL --location myLocation --endpoint openshift-api-cqv7rh4w0pf9mjcsacd0 --subnet 10.22.13.83 --subnet 10.12.158.57 --subnet 10.12.164.28

Se stai utilizzando un'istanza di VM classica, esegui il seguente comando per individuare l'indirizzo IP della tua istanza del servizio virtuale.

ibmcloud sl vs list

Output di esempio:

id          hostname      domain                          cpu   memory   public_ip        private_ip       datacenter   action
146349551   myhost        mydomain.ibmcloud.private       1     2048     169.48.27.170    10.166.165.5     tor01

Utilizzare l'opzione private_ip dell'istanza del servizio virtuale per configurare l'ACL. Ad esempio:

ibmcloud sat acl create --name myOpenShiftACL --location myLocation --endpoint openshift-api-cqv7rh4w0pf9mjcsacd0 --subnet 10.166.165.5

In tutti gli altri casi, è possibile trovare l'endpoint di collegamento Red Hat OpenShift API Satellite guardando nei log IBM Cloud Log Analysis della propria posizione Satellite. Per aprire questi registri, fare clic su Apri Dashboard sotto Logging for Link. È possibile impostare un filtro nell'istanza di monitoraggio per filtrare il valore necessario. Ad esempio, cercare flowlog: rejected by nel log e si vedrà un IP client rifiutato. Aggiungere una ACL con una sottorete corrispondente a quell'IP per l'endpoint. Questo IP viene registrato quando si utilizzano comandi oc tramite endpoint di collegamento sull'API Red Hat OpenShift. Per ulteriori informazioni, vedere Logging per Satellite.