:onectlを使用した登録済みクラスターの管理

外部クラスターとの通信

onectlを使用して登録済みクラスターを外部クラスターに接続すると、onectlは登録済みクラスターエージェントを外部クラスターにデプロイします。 次に、onectlは、次の方法を順番に使用して、対応するkubeconfigファイルを使用して外部クラスターと通信しようとします。

1. kubeconfigパラメーター

   たとえば、onectlは次のコマンドを実行して ~/.kube/configファイルを使用して外部クラスターと通信し、外部クラスターを登録済みクラスターに接続します。

   onectl cluster connect --cluster-id **** --kubeconfig ~/.kube/config

2. KUBECONFIG環境変数

   上記のコマンドでkubeconfigファイルを指定していない場合、onectlは環境変数kubeconfigで指定したKUBECONFIGファイルを使用します。

3. ~/.onectl/config.jsonファイルのKubeconfig Pathパラメーター

   kubeconfigパラメーターとKUBECONFIG環境変数が設定されていない場合、onectlはkubeconfig Pathパラメーターで指定されたKubeconfigファイルを使用します。 このパラメーターの詳細については、「手順2: onectlのRAMユーザーへのアクセス許可の付与」をご参照ください。

4. ~/.kube/config

   上記のパラメーターが設定されていない場合、onectlは ~/.kube/configファイルを使用します。

登録済みクラスターへの接続

onectlは、登録済みクラスターに接続するときに次の手順を実行します。

1. 登録済みクラスターの接続情報を取得し、agent.yamlという名前のローカルファイルに保存します。

2. 接続情報に基づいて、登録されたクラスタエージェントを外部クラスタにデプロイします。

たとえば、onectlは次のコマンドを実行して、登録済みクラスターと外部クラスターを接続します。

onectl cluster connect --cluster-id ****

期待される出力:

Agent information saved as agent.yaml.
Installing ACK One agent using kubeconfig file **** to connect to registered cluster ****.
Confirm? [Y/n]: y
ACK One agent deployed successfully.
Check the running status of deployment ack-cluster-agent to confirm the connection status of registered cluster ****.

クラスターコンポーネントのRAMユーザー

登録済みクラスターで実行されるコンポーネントは、RAMユーザーのAccessKeyペアを使用してクラウド内のリソースにアクセスする必要があります。 たとえば、logtail-dsコンポーネントは、プロジェクトやLogstoreなどのSimple Log Serviceリソースにアクセスする必要があります。 logtail-dsコンポーネントのRAMユーザーのAccessKeyペアは、クラスターのkube-system名前空間のalibaba-addon-Secretという名前のシークレットに格納されます。

• シークレットがすでにクラスターに存在する場合、onectlはシークレットのAccessKeyペアを使用してクラスターコンポーネントを実行します。

• シークレットが存在しない場合、onectlは自動的にack-one-user-[cluster id prefix] という名前のRAMユーザーを作成し、クラスターコンポーネントを実行します。 たとえば、シークレットが存在しない場合は、次のコマンドを実行してRAMユーザーを作成し、terway-eniipコンポーネントに必要な権限をRAMユーザーに付与できます。

  onectl ram-user grant --addon terway-eniip

  期待される出力:

  Ram user ack-one-user-ce313528c3 created successfully.
  Ram policy ack-one-registered-cluster-policy-terway-eniip granted to ram user ack-one-user-ce313528c3 successfully.
  Secret alibaba-addon-secret created under namespace kube-system in the cluster, it stores the access key and secret of ram user ack-one-user-ce313528c3.

クラスターコンポーネントのインストール

onectlを使用してクラスターコンポーネントをインストールする場合は、管理者権限が必要です。 onectlは、コンポーネントをインストールする前に、登録されたクラスターエージェントのサービスアカウントに管理者権限があるかどうかを確認します。 サービスアカウントに権限がない場合、onectlは自動的に一時管理ロールを作成し、ロールに管理者権限を付与し、サービスアカウントにロールを割り当てます。 コンポーネントのインストール後、onectlは一時的な管理者ロールを自動的に削除して、サービスアカウントから権限を取り消します。

たとえば、登録されたクラスタエージェントに管理者権限がない場合、次のコマンドを実行してエージェントのサービスアカウントに一時的な権限を付与し、コンポーネントのインストール後に権限を取り消すことができます。

onectl addon install logtail-ds

期待される出力:

Cluster role ack-admin-tmp created.
Cluster role binding ack-admin-binding-tmp created.
Addon logtail-ds, version **** installed.
Cluster role ack-admin-tmp deleted.
Cluster role binding ack-admin-binding-tmp deleted.

次のコードブロックは、一時管理ロールのClusterRoleとClusterRoleBindingを示しています。

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: ack-admin-tmp
  labels:
    ack/creator: "ack"
rules:
- apiGroups:
  - '*'
  resources:
  - '*'
  verbs:
  - '*'
- nonResourceURLs:
  - '*'
  verbs:
  - '*'
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: ack-admin-binding-tmp
  namespace: kube-system
  labels:
    ack/creator: "ack"
subjects:
- kind: ServiceAccount
  name: ack
  namespace: kube-system
roleRef:
  kind: ClusterRole
  name: ack-admin-tmp
  apiGroup: rbac.authorization.k8s.io