Rotación de los certificados Red Hat OpenShift

Red Hat OpenShift para VMware utiliza certificados de cliente de kubelet que deben rotarse periódicamente por razones de seguridad. Red Hat OpenShift automatiza principalmente el proceso de rotación, pero requiere la aprobación manual de solicitudes de firma de certificados (CSR).Por lo tanto, es importante comprender la planificación de rotación de certificados de Red Hat OpenShift para evitar certificados caducados.

Los certificados iniciales que se crean durante la instalación caducan 24 horas después de su creación.El proceso de automatización de IBM, que instala Red Hat OpenShift, maneja la aprobación de los CSR para esta rotación inicial, que se realiza ejecutando un script en el bastión durante las primeras 30 horas.El script se llama /root/approve-csr.sh y su archivo de registro, /root/approve-csr.log.

Para que el script se ejecute correctamente, las credenciales iniciales de kubeadmin deben ser las mismas hasta que se haya completado la rotación de certificados inicial. No modifique las credenciales de kubeadmin durante las primeras 24 horas.Si se cambian las credenciales, debe supervisar y aprobar las CSR para la rotación de certificados inicial.Para obtener más información, consulte Aprobación de los CSR para sus máquinas.

No reinicie ninguna de las máquinas virtuales (VM) de clúster de Red Hat OpenShift o la máquina vritual bastión hasta que se realice la primera rotación de certificado.

Después de la rotación de certificados inicial, los certificados se renuevan cada 30 días.Debe establecer un proceso para aprobar las CSR para cada rotación de certificados.Según Red Hat®, puede aprobar las CSR cuando alcanzan el 80% de su período de caducidad, que es de aproximadamente 25 días en la vida útil de las CSR.

Si no aprueba las CSR a tiempo y los certificados caducan, puede recuperarse de los certificados del plano de control caducados y volver a poner en funcionamiento el clúster de Red Hat OpenShift. Para obtener más información, consulte Recuperación de certificados de plano de control caducados.

Cambie el tamaño de sus máquinas virtuales Red Hat OpenShift

1. Inicie sesión en la máquina virtual de bastión utilizando SSH.
2. Conviértase en el usuario root: sudo -i
3. Concluya la máquina virtual de destino: ssh core@<vm-ip> sudo shutdown -h 0
4. Después de apagar la máquina virtual, cambie el tamaño de la máquina virtual en vCenter Server.
5. Encienda la VM.
6. En la consola de Red Hat OpenShift, vaya a Calcular > Nodos y espere hasta que la máquina virtual que se ha reiniciado vuelva a estar en un estado Listo.
7. Complete los pasos anteriores para todas las máquinas virtuales.

Cambio de la clave SSH en el bastión Red Hat OpenShift VM

El par de claves SSH que se genera durante la instalación se encuentra en la VM bastión de Red Hat OpenShift.La ubicación del par de claves SSH se visualiza en la página de detalles del servicio de Red Hat OpenShift. Esta clave SSH se ha instalado en todas las máquinas virtuales de clúster para permitir los inicios de sesión SSH desde el bastión sin necesidad de contraseña.

Se recomienda generar un nuevo par de claves SSH y utilizarlo para sustituir la clave existente.Para más información sobre cómo generar un nuevo Par de claves SSH, consulte Cómo actualizar las claves ssh después de la instalación en Red Hat OpenShift. Debe ejecutar los mandatos desde la VM bastión. Para obtener más información sobre el inicio de sesión en el bastión, consulte Detalles del bastión.

Ampliación del clúster Red Hat OpenShift con más trabajadores

Para expandir el clúster de Red Hat OpenShift añadiendo más máquinas virtuales de trabajo, realice los pasos siguientes:

1. Cree un trabajador VM a partir de la plantilla RHCOREOS:

   1. Asegúrese de que la máquina virtual esté conectada a la misma red que las demás máquinas virtuales de trabajador de Red Hat OpenShift.
   2. No encienda este VM todavía porque se requieren más pasos de configuración.

2. Prepara un archivo de ignición de trabajadores en el bastión:

   1. Para obtener más información sobre el inicio de sesión en el bastión, consulte Detalles del bastión.
   2. En el directorio de instalación del bastión, localice el archivo de ignición de nodo trabajador llamado worker.ign. Cree una versión base64 de este archivo con el mandato base64 -w0 worker.ign > worker.ign.b64. Utilizará el contenido del archivo worker.ign.b64 recién creado en el siguiente paso.

3. Establezca los atributos de VM:

   1. Antes de empezar, apague el VM. A continuación, vaya a la ventana Parámetros de configuración, seleccione el nuevo trabajador VM y haga clic en Acciones > Editar configuración.
   2. En la ventana Editar valores, pulse el separador Opciones de VM. En la parte izquierda, pulse Avanzados para expandir la sección Avanzados en la ventana. A continuación, desplácese hasta Parámetros de configuración a la izquierda.  Haga clic en Editar configuración.
   3. Es posible que la ventana Parámetros de configuración tenga una lista larga de parámetros existentes para la máquina virtual. Para añadir un valor, pulse Añadir parámetros de configuración. Se mostrarán dos campos vacíos que están etiquetados como Nombre y Valor para que los complete. Utilice este proceso para los 3 pasos siguientes.
   4. Cree un valor llamado guestinfo.ignition.config.data y ajústelo al contenido del archivo de configuración de encendido base64-encoded worker.ign.b64 que se creó anteriormente.
   5. Cree un valor llamado guestinfo.ignition.config.data.encoding y ajústelo a la cadena base64.
   6. Cree un valor llamado disk.EnableUUID y ajústelo a la cadena TRUE.
   7. Después de crear los nuevos parámetros, haga clic en Aceptar dos veces para cerrar las ventanas abiertas.

4. Cree un enlace DHCP para la máquina virtual de trabajo:

   1. Inicie sesión en NSX-T™.
   2. Vaya a Redes > Segmentos.
   3. Edite el segmento ocp-internal.
   4. Expanda Enlaces estáticos de DHCP y pulse Establecer para abrir la ventana Establecer enlaces estáticos.
   5. Revise la lista de enlaces existentes y anote la siguiente dirección IP disponible.
   6. Examine uno de los enlaces de trabajador existentes para buscar información que necesitará más adelante. Tome nota de la dirección de la pasarela y las opciones de DHCP. Para ver las opciones de DHCP, pulse Establecer junto a Opciones de DHCP. En la ventana Opciones, seleccione Opciones genéricas en la lista Seleccionar opción DHCP. Tome nota de las opciones que se han definido.
   7. Cierre el enlace existente que estaba examinando para volver a la ventana Establecer enlaces estáticos.
   8. Pulse Añadir enlace estático IPV4. Complete los detalles para el nuevo trabajador, incluidas las opciones de DHCP que ha anotado anteriormente.
   9. Cuando haya terminado, pulse Guardar para confirmar los cambios.

5. Añada un nodo trabajador a las agrupaciones de equilibradores de carga:

   1. Vaya a Redes > Equilibrador de carga > Agrupaciones de servidores.
   2. Edite el grupo de servidores ocp-apps.
   3. En la ventana de edición, en Miembros/Grupo, pulse el enlace numérico de color azul. El valor predeterminado es 3.
   4. Cuando se abre la ventana Configurar miembros de la agrupación de servidores, pulse Añadir miembro.
   5. Escriba el nombre del nuevo trabajador y la dirección IP. Deje el número de puerto vacío.
   6. Haz clic en Guardar y, a continuación, en Aplicar.

6. Cree registros DNS para el nuevo trabajador:

   1. Inicie sesión en el servidor AD NS para su instancia VCF for Classic - Automated.
   2. Mediante DNS Manager, añada un nuevo registro A a la zona ocp correspondiente.Cuando cree el registro A, asegúrese de que está seleccionada la opción de crear registro PTR asociado.

7. Apruebe las solicitudes de firma de certificado (CSR) procedentes del bastión. Durante el aprovisionamiento del nuevo trabajador, es posible que tenga que aprobar CSR del bastión:

   1. Acceda al bastión como usuario root y cambie al directorio de instalación del bastión. Para obtener más información, consulte Detalles de la base.

   2. Antes de poder ejecutar cualquier comandos, debe autenticarse en Red Hat OpenShift:

      • Si la autenticación no está configurada y está utilizando la cuenta y la contraseña predeterminadas de kubeadmin ejecute el mandato export KUBECONFIG=auth/kubeconfig y verifique que está autenticado ejecutando el mandato ./oc whoami.
      • Si se autentican otros programas de fondo o usuarios, inicie sesión utilizando una de esas cuentas como se explica en la documentación de Red Hat OpenShift, por ejemplo, ejecutando el mandato ./oc login.

   3. Ejecute ./oc get nodes para ver el nuevo trabajador. Si no está en estado Listo, compruebe repetidamente si hay CSR pendientes mediante el comando ./oc get csr, y luego apruebe los CSR mediante el comando ./oc adm certificate approve <csr_name>.Continúe comprobando hasta que la configuración se haya completado y el nuevo trabajador esté en estado Listo.

      Después de que el nuevo trabajador esté en estado Listo, puede ser utilizado por Red Hat OpenShift.

8. Encienda el VM:

   • Una vez encendida la VM, puede supervisar la VM para ver si hay algún problema.La VM obtiene una dirección IP, luego procesa el archivo de ignición y después abre un indicador de inicio de sesión.

   • Una vez que se muestra el aviso de inicio de sesión, es posible que quede cubierto por los mensajes de registro de la consola.Si es necesario, pulse Intro varias veces en la consola. Si el indicador de inicio de sesión está presente pero está cubierto por mensajes de registro de la consola, pulse Intro para volver a mostrar el indicador de inicio de sesión.

   • Si no aparece el aviso de inicio de sesión, es posible que:

     • La VM no recibe una dirección IP. Compruebe la red a la que está conectada la VM. Compruebe también la configuración del enlace DHCP.
     • El valor base64 de worker.ign.64 no es correcto. Es posible que falten algunos caracteres o que tenga caracteres adicionales. Compruebe el valor que desea confirmar.

     Si debe cambiar los valores porque la VM no ha mostrado un indicador de inicio de sesión, apague la VM, cambie los valores necesarios y vuelva a encenderla.

Consideraciones a tener en cuenta al eliminar Red Hat OpenShift para VMware

• Antes de suprimir Red Hat OpenShift for VMware, debe eliminar las máquinas virtuales adicionales que haya creado en el directorio ocp de VMware. La automatización de VMware Solutions solo elimina los elementos desplegados durante la instalación inicial de Red Hat OpenShift (VM, almacenamiento y NSX). No se elimina ningún nodo que se haya desplegado después de la instalación.
• Se eliminan la VXLAN, el DLR y el Edge Gateway que se crearon durante la implementación inicial de Red Hat OpenShift para VMware. Las máquinas virtuales que haya desplegado en VXLAN perderán la conectividad tras la eliminación de Red Hat OpenShift para VMware.
• Si su clúster utiliza el almacenamiento NFS, al eliminar Red Hat OpenShift se elimina el almacén de datos NFS que se añadió durante la instalación.
• Si utiliza un almacén de datos vSAN, suprima los volúmenes persistentes que ya no necesite antes de desinstalar Red Hat OpenShift.Los volúmenes que no se supriman permanecerán en el almacenamiento vSAN después de la desinstalación de Red Hat OpenShift.
• Antes de eliminar el servicio, debe eliminar del almacenamiento cualquier VM personal que se haya desplegado con este servicio. Red Hat OpenShift sólo ordena VM personales no son vSAN-based.