Container Service for Kubernetes:migrate-controllerをインストールし、権限を付与する

onectlを使用してmigrate-controllerをインストールし、権限を付与する (推奨)

1. オンプレミスマシンにonectlをインストールします。 詳細については、「onectlを使用した登録済みクラスターの管理」をご参照ください。

2. 次のコマンドを実行して、migrate-controllerに対するRAM権限を付与します。

   onectl ram-user grant --addon migrate-controller

   期待される出力:

   Ram policy ack-one-registered-cluster-policy-migrate-controller granted to ram user ack-one-user-ce313528c3 successfully.

3. 次のコマンドを実行してmigrate-controllerをインストールします。

   onectl addon install migrate-controller

   期待される出力:

   Addon migrate-controller, version **** installed.

   onectlは、Alibaba Cloudアカウントに属するすべてのOSSバケットに対する権限を付与します。 指定したOSSバケットに権限を付与する場合は、次の操作を実行して、onectlによって付与されたOSS権限を変更します。 migrate-controllerを手動でインストールし、権限を付与することもできます。 詳細については、「migrate-controllerの手動インストールと権限付与」をご参照ください。

   OSS権限の変更: 次の内容に基づいてカスタムポリシーを変更します。 ポリシーの変更方法の詳細については、「カスタムポリシーのドキュメントと説明の変更」をご参照ください。

   説明

   mybackupsをOSSバケットの名前に置き換えます。 詳細なOSS権限を付与する方法の詳細については、「RAMを使用したOSS権限の管理」をご参照ください。

   カスタムポリシーの表示

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "oss:PutObject",
           "oss:GetObject",
           "oss:DeleteObject",
           "oss:GetBucket",
           "oss:ListObjects",
           "oss:ListBuckets",
           "oss:GetBucketStat"
         ],
         "Resource": [
           "acs:oss:*:*:mybackups",
           "acs:oss:*:*:mybackups/*"
         ],
         "Effect": "Allow"
       },
       {
         "Effect": "Allow",
         "Action": [
           "ecs:CreateSnapshot",
           "ecs:DeleteSnapshot",
           "ecs:DescribeSnapshotGroups",
           "ecs:CreateAutoSnapshotPolicy",
           "ecs:ApplyAutoSnapshotPolicy",
           "ecs:CancelAutoSnapshotPolicy",
           "ecs:DeleteAutoSnapshotPolicy",
           "ecs:DescribeAutoSnapshotPolicyEX",
           "ecs:ModifyAutoSnapshotPolicyEx",
           "ecs:DescribeSnapshots",
           "ecs:DescribeInstances",
           "ecs:CopySnapshot",
           "ecs:CreateSnapshotGroup",
           "ecs:DeleteSnapshotGroup"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "hbr:CreateVault",
           "hbr:CreateBackupJob",
           "hbr:DescribeVaults",
           "hbr:DescribeBackupJobs2",
           "hbr:DescribeRestoreJobs",
           "hbr:SearchHistoricalSnapshots",
           "hbr:CreateRestoreJob",
           "hbr:AddContainerCluster",
           "hbr:DescribeContainerCluster",
           "hbr:DescribeRestoreJobs2"
         ],
         "Resource": "*"
       }
     ]
   }

4. 登録済みクラスターとOSSバケットが存在するリージョンの内部ネットワークを指すルートを作成します (オプション)

   登録済みクラスターがcloud Enterprise Network (CEN) 、Express Connect、またはVPNを介して仮想プライベートクラウド (VPC) に接続され、登録済みクラスターがOSSバケットのリージョンにある場合、バックアップセンターはデフォルトでOSSバケットの内部エンドポイントにアクセスし、ダウンロード速度を向上させます。 したがって、OSSバケットが存在するリージョンの内部ネットワークを指すルートを作成する必要があります。

   • データセンターをVPCに接続する方法の詳細については、「データセンターをAlibaba Cloudに接続するために使用される方法」をご参照ください。

   • OSSバケットの内部エンドポイントとVIP範囲の詳細については、「OSSバケットとVIP範囲の内部エンドポイント」をご参照ください。

コンソールを使用してmigrate-controllerをインストールし、権限を付与する

手順1: 関連する権限の付与

登録済みクラスターのRAMユーザーを作成し、クラウドリソースにアクセスする権限をRAMユーザーに付与してから、RAMユーザーのAccessKeyペアを作成する必要があります。

1. RAM ユーザーを作成します。 RAMユーザーの作成方法については、「RAMユーザーの作成」をご参照ください。

2. 次のカスタムポリシーを作成します。 詳細については、「JSONタブでカスタムポリシーを作成する」をご参照ください。

   次のポリシーでは、oss:**** はOSS権限、ecs:**** はECSスナップショット権限、hbr:**** はCloud Backup権限を示します。

   カスタムポリシーの表示

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "oss:PutObject",
           "oss:GetObject",
           "oss:DeleteObject",
           "oss:GetBucket",
           "oss:ListObjects",
           "oss:ListBuckets",
           "oss:GetBucketStat"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "ecs:CreateSnapshot",
           "ecs:DeleteSnapshot",
           "ecs:DescribeSnapshotGroups",
           "ecs:CreateAutoSnapshotPolicy",
           "ecs:ApplyAutoSnapshotPolicy",
           "ecs:CancelAutoSnapshotPolicy",
           "ecs:DeleteAutoSnapshotPolicy",
           "ecs:DescribeAutoSnapshotPolicyEX",
           "ecs:ModifyAutoSnapshotPolicyEx",
           "ecs:DescribeSnapshots",
           "ecs:DescribeInstances",
           "ecs:CopySnapshot",
           "ecs:CreateSnapshotGroup",
           "ecs:DeleteSnapshotGroup"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "hbr:CreateVault",
           "hbr:CreateBackupJob",
           "hbr:DescribeVaults",
           "hbr:DescribeBackupJobs2",
           "hbr:DescribeRestoreJobs",
           "hbr:SearchHistoricalSnapshots",
           "hbr:CreateRestoreJob",
           "hbr:AddContainerCluster",
           "hbr:DescribeContainerCluster",
           "hbr:DescribeRestoreJobs2"
         ],
         "Resource": "*"
       }
     ]
   }

   上記のポリシーは、すべてのOSSバケットに対する権限を付与します。 指定されたOSSバケットに対して読み取りおよび書き込み権限を付与するには、次のテンプレートに基づいてカスタムポリシーを変更します。 mybackupsをOSSバケットの名前に置き換えます。 詳細なOSS権限を付与する方法の詳細については、「RAMを使用したOSS権限の管理」をご参照ください。

   カスタムポリシーの表示

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "oss:PutObject",
           "oss:GetObject",
           "oss:DeleteObject",
           "oss:GetBucket",
           "oss:ListObjects",
           "oss:ListBuckets",
           "oss:GetBucketStat"
         ],
         "Resource": [
           "acs:oss:*:*:mybackups",
           "acs:oss:*:*:mybackups/*"
         ],
         "Effect": "Allow"
       },
       {
         "Effect": "Allow",
         "Action": [
           "ecs:CreateSnapshot",
           "ecs:DeleteSnapshot",
           "ecs:DescribeSnapshotGroups",
           "ecs:CreateAutoSnapshotPolicy",
           "ecs:ApplyAutoSnapshotPolicy",
           "ecs:CancelAutoSnapshotPolicy",
           "ecs:DeleteAutoSnapshotPolicy",
           "ecs:DescribeAutoSnapshotPolicyEX",
           "ecs:ModifyAutoSnapshotPolicyEx",
           "ecs:DescribeSnapshots",
           "ecs:DescribeInstances",
           "ecs:CopySnapshot",
           "ecs:CreateSnapshotGroup",
           "ecs:DeleteSnapshotGroup"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "hbr:CreateVault",
           "hbr:CreateBackupJob",
           "hbr:DescribeVaults",
           "hbr:DescribeBackupJobs2",
           "hbr:DescribeRestoreJobs",
           "hbr:SearchHistoricalSnapshots",
           "hbr:CreateRestoreJob",
           "hbr:AddContainerCluster",
           "hbr:DescribeContainerCluster",
           "hbr:DescribeRestoreJobs2"
         ],
         "Resource": "*"
       }
     ]
   }

3. カスタムポリシーをRAMユーザーにアタッチします。 詳細については、「RAMユーザーへの権限付与」をご参照ください。

4. RAMユーザーのAccessKeyペアを作成します。 詳細については、「AccessKey の作成」をご参照ください。

5. クラスターにシークレットを作成します。

   AccessKeyペアがクラスター内でのみ使用されるようにするには、クラスターにalibaba-addon-Secretという名前のシークレットを作成してAccessKeyペアを格納する必要があります。 これにより、情報漏洩のリスクが低減される。

   1. 次のコマンドを実行して、csdrという名前空間を作成します。

      kubectl create ns csdr

   2. 次のコマンドを実行して、alibaba-addon-Secretという名前のシークレットを作成します。

      kubectl -n csdr create secret generic alibaba-addon-secret --from-literal='access-key-id=<your AccessKey ID>' --from-literal='access-key-secret=<your AccessKey Secret>'

      <your AccessKey ID> と <your AccessKey Secret> を、前の手順で取得したAccessKeyペアに置き換えます。

手順2: migrate-controllerのインストール

migrate-controllerをインストールします。 詳細については、「手順1: migrate-controllerのインストール」をご参照ください。

手順3 (オプション): 登録済みクラスターとOSSバケットが存在するリージョンの内部ネットワークを指すルートを作成する

登録済みクラスターがCEN、Express Connect、またはVPNを介してVPCに接続され、登録済みクラスターがOSSバケットのリージョンにある場合、バックアップセンターはデフォルトでOSSバケットの内部エンドポイントにアクセスし、ダウンロード速度を向上させます。 したがって、OSSバケットが存在するリージョンの内部ネットワークを指すルートを作成する必要があります。

• データセンターをVPCに接続する方法の詳細については、「データセンターをAlibaba Cloudに接続するために使用される方法」をご参照ください。

• OSSバケットの内部エンドポイントとVIP範囲の詳細については、「OSSバケットとVIP範囲の内部エンドポイント」をご参照ください。