Rotazione dei certificati Red Hat OpenShift

Red Hat OpenShift per VMware utilizza certificati client kubelet che devono essere ruotati periodicamente per motivi di sicurezza. Red Hat OpenShift automatizza principalmente il processo di rotazione, ma richiede l'approvazione manuale delle richieste di firma dei certificati (CSR).Pertanto, è importante comprendere il programma di rotazione dei certificati di Red Hat OpenShift per evitare certificati scaduti.

I certificati iniziali creati durante l'installazione scadono in 24 ore dopo la loro creazione.IBM il processo di automazione dell'azienda, che installa Red Hat OpenShift, gestisce l'approvazione dei CSR per questa rotazione iniziale, che avviene eseguendo uno script sul bastione per le prime 30 ore.Lo script è denominato /root/approve-csr.sh mentre il suo file di log /root/approve-csr.log.

Per una corretta esecuzione dello script, le credenziali kubeadmin iniziali devono essere le stesse finché la rotazione del certificato iniziale viene completata.Non modificare le credenziali kubeadmin per le prime 24 ore.Se le credenziali vengono modificate, devi monitorare ed approvare le CSR per la rotazione del certificato iniziale.Per ulteriori informazioni, vedere Approvazione dei CSR per le macchine.

Non riavviare le macchine virtuali (VM) del cluster Red Hat OpenShift o il bastione VM fino a quando non è stata effettuata la prima rotazione dei certificati.

Dopo la rotazione del certificato iniziale, i certificati vengono rinnovati ogni 30 giorni.Devi stabilire un processo per approvare le CSR per ogni rotazione del certificato.Secondo Red Hat®, è possibile approvare le CSR quando raggiungono l'80% del loro periodo di scadenza, ovvero dopo circa 25 giorni di vita delle CSR.

Se non si approvano i CSR in tempo e i certificati scadono, è possibile recuperare i certificati del piano di controllo scaduti e rendere nuovamente operativo il cluster Red Hat OpenShift. Per ulteriori informazioni, vedere Recupero dei certificati del piano di controllo scaduti.

Ridimensionamento delle macchine virtuali di Red Hat OpenShift

1. Accedere al bastione VM utilizzando SSH.
2. Diventa l'utente root: sudo -i
3. Spegnere il target VM: ssh core@<vm-ip> sudo shutdown -h 0
4. Dopo aver spento VM, ridimensionare VM in vCenter Server.
5. Accendi la VM.
6. Nella console Red Hat OpenShift, andare su Compute > Nodi e attendere che il sito VM riavviato torni in stato di Ready.
7. Completare i passaggi precedenti per tutte le macchine virtuali.

Modifica della chiave SSH sul bastione Red Hat OpenShift VM

La coppia di chiavi SSH generata durante l'installazione si trova sul bastione Red Hat OpenShift VM.La posizione della coppia di chiavi SSH è visualizzata nella pagina dei dettagli del servizio Red Hat OpenShift. Questa chiave SSH è stata installata su tutte le macchine virtuali del cluster per consentire l'accesso SSH dal bastione senza richiedere una password.

Si consiglia di generare e utilizzare una nuova coppia di chiavi SSH per sostituire la chiave esistente. Per ulteriori informazioni su come generare una nuova coppia di chiavi SSH, vedere Come aggiornare le chiavi ssh dopo l'installazione in Red Hat OpenShift. È necessario eseguire i comandi dal bastione VM. Per ulteriori informazioni sull'accesso al bastion, vedi Dettagli del bastion.

Espansione del cluster Red Hat OpenShift con più lavoratori

Per espandere il cluster Red Hat OpenShift aggiungendo altre macchine virtuali worker, completare i seguenti passaggi:

1. Creare un worker VM dal modello RHCOREOS:

   1. Assicurarsi che VM sia connesso alla stessa rete delle altre macchine virtuali di Red Hat OpenShift.
   2. Non accendere ancora il sito VM perché sono necessari altri passaggi di configurazione.

2. Preparare un file di accensione dei lavoratori sul bastione:

   1. Per ulteriori informazioni sull'accesso al bastion, vedi Dettagli del bastion.
   2. Nella directory di installazione sul bastion, individua il file di inserimento di lavoro denominato worker.ign. Crea una versione base64 di questo file tramite il comando base64 -w0 worker.ign > worker.ign.b64. Il contenuto del file appena creato worker.ign.b64 verrà utilizzato nella fase successiva.

3. Impostare gli attributi di VM:

   1. Prima di iniziare, spegnere il sito VM. Quindi, accedere alla finestra Parametri di configurazione, selezionare il nuovo lavoratore VM e fare clic su Azioni > Modifica impostazioni.
   2. Nella finestra Modifica impostazioni, fare clic sulla scheda Opzioni VM. A sinistra, fare clic su Avanzate per espandere la sezione Avanzate della finestra. Quindi, scorrere fino a Parametri di configurazione sulla sinistra. Fare clic su Modifica configurazione.
   3. La finestra Parametri di configurazione potrebbe contenere un lungo elenco di parametri esistenti per il sito VM. Per aggiungere un valore, fare clic su Aggiungi parametri di configurazione. Vengono visualizzati due campi vuoti, denominati Nome e Valore, da completare. Utilizzare questo processo per le 3 fasi seguenti.
   4. Creare un valore chiamato guestinfo.ignition.config.data e impostarlo sul contenuto del file base64-encoded ignition config worker.ign.b64 creato in precedenza.
   5. Creare un valore chiamato guestinfo.ignition.config.data.encoding e impostarlo sulla stringa base64.
   6. Creare un valore chiamato disk.EnableUUID e impostarlo sulla stringa TRUE.
   7. Dopo aver creato i nuovi parametri, fare clic due volte su OK per chiudere le finestre aperte.

4. Creare un binding DHCP per il worker VM:

   1. Accedere a NSX-T™.
   2. Andate su Rete > Segmenti.
   3. Modificare il segmento ocp-internal.
   4. Espandere DHCP Static Bindings e fare clic su Set per aprire la finestra Set Static Bindings.
   5. Esaminare l'elenco dei binding esistenti e prendere nota del prossimo indirizzo IP disponibile.
   6. Esaminare uno dei binding dei lavoratori esistenti per esaminare le informazioni necessarie in seguito. Prendere nota dell'indirizzo del gateway e delle opzioni DHCP. Per visualizzare le opzioni DHCP, fare clic su Imposta accanto a Opzioni DHCP. Nella finestra Opzioni, selezionare Opzioni generiche dall'elenco Selezione opzione DHCP. Prendere nota delle opzioni impostate.
   7. Chiudere il binding esistente che si stava esaminando per tornare alla finestra Imposta binding statici.
   8. Fare clic su Aggiungi IPV4 Static Binding. Completare i dettagli del nuovo lavoratore, comprese le opzioni DHCP annotate in precedenza.
   9. Al termine, fare clic su Salva per confermare le modifiche.

5. Aggiungere un worker ai pool di Load Balancer:

   1. Andate su Networking > Load Balancer > Pool di server.
   2. Modificare il pool di server ocp-apps.
   3. Nella finestra di modifica, sotto Membri/Gruppo, fare clic sul collegamento numerico blu. L'impostazione predefinita è 3.
   4. Quando si apre la finestra Configura membri del pool di server, fare clic su Aggiungi membro.
   5. Inserire il nome e l'indirizzo IP del nuovo lavoratore. Lasciare vuoto il numero di porta.
   6. Fare clic su Salva e poi su Applica.

6. Creare i record DNS per il nuovo lavoratore:

   1. Accedere al server AD NS dell'istanza VCF for Classic - Automated.
   2. Tramite il gestore DNS, aggiungi un nuovo record A alla zona ocp corrispondente. Quando si crea il record A, assicurarsi che sia selezionata l'opzione per creare un record PTR associato.

7. Approva eventuali richieste di firma del certificato (CSR) dal bastion. Durante il provisioning del nuovo lavoratore, potrebbe essere necessario approvare le CSR dal bastione:

   1. Accedere al bastion come utente root e passare alla directory di installazione del bastion. Per ulteriori informazioni, vedere Dettagli della base.

   2. Prima di poter eseguire qualsiasi comando, è necessario autenticarsi su Red Hat OpenShift:

      • Se l'autenticazione non è configurata e utilizzi l'account e la password kubeadmin predefiniti, esegui il comando export KUBECONFIG=auth/kubeconfig e verifica di essere autenticato eseguendo il comando ./oc whoami.
      • Se altri backend o utenti sono autenticati, accedere utilizzando uno di questi account come spiegato nella documentazione di Red Hat OpenShift, ad esempio eseguendo il comando ./oc login.

   3. Eseguire ./oc get nodes per vedere il nuovo lavoratore.Se non è in stato di Pronto, verificare ripetutamente la presenza di CSR in attesa con il comando ./oc get csr, quindi approvare le CSR con il comando ./oc adm certificate approve <csr_name>.Continuare a controllare finché la configurazione non è completa e il nuovo worker non è nello stato Pronto.

      Dopo che il nuovo lavoratore è nello stato Ready, può essere utilizzato da Red Hat OpenShift.

8. Accendere il sito VM:

   • Dopo l'accensione di VM, è possibile monitorare il sito VM per verificare se esiste un problema.La VM ottiene un indirizzo IP, quindi elabora il file Ignition e apre un prompt di accesso.

   • Dopo che il prompt di accesso viene visualizzato, potrebbe essere coperto dai messaggi di log della console. Se necessario, premere alcune volte Invio sulla console. Se il prompt di accesso è presente ma coperto dai messaggi di log della console, premere Invio per visualizzare nuovamente il prompt di accesso.

   • Se il prompt di accesso non viene visualizzato, è possibile che:

     • Il sito VM non riceve un indirizzo IP. Controllare la rete a cui è collegato il sito VM. Controllare anche le impostazioni del binding DHCP.
     • Il valore base64 da worker.ign.64 non è corretto. Potrebbe mancare qualche carattere o avere dei caratteri in più. Controllare il valore per confermare.

     Se è necessario modificare le impostazioni perché il sito VM non ha visualizzato un prompt di accesso, spegnere il sito VM, modificare le impostazioni necessarie e riaccenderlo.

Considerazioni sulla cancellazione di Red Hat OpenShift per VMware

• Prima di eliminare Red Hat OpenShift per VMware, è necessario rimuovere eventuali macchine virtuali aggiuntive create nella directory ocp su VMware. L'automazione VMware Solutions rimuove solo gli elementi distribuiti durante l'installazione iniziale di Red Hat OpenShift (VM, storage e NSX). Qualsiasi nodo distribuito dopo l'installazione non viene eliminato.
• VXLAN, DLR e Edge Gateway creati durante la distribuzione iniziale di Red Hat OpenShift per VMware vengono eliminati. Le macchine virtuali distribuite su VXLAN perderanno la connettività dopo la rimozione di Red Hat OpenShift per VMware.
• Se il cluster utilizza lo storage NFS, eliminando Red Hat OpenShift si elimina l'archivio dati NFS aggiunto durante l'installazione.
• Se si utilizza un datastore vSAN, eliminare i volumi persistenti non più necessari prima di disinstallare Red Hat OpenShift.Tutti i volumi che non sono stati eliminati rimarranno nello storage vSAN dopo la disinstallazione di Red Hat OpenShift.
• Prima di eliminare il servizio, è necessario rimuovere dallo storage tutte le macchine virtuali personali che sono state distribuite con questo servizio. Red Hat OpenShift ordina solo le macchine virtuali personali non sono vSAN-based.