ワーカー・ノードのブート・ボリュームの置換

自己管理ノードをクラスタに追加し、その後クラスタの資格証明をローテーションする場合、自己管理ノードのブート・ボリュームを置き換えるには、(「ワーカー・ノードのブート・ボリュームの置換」で説明されているステップに加えて)追加のステップが必要です。クラスタのCA証明書が自己管理ノードcloud-initスクリプトで参照されているため、追加のステップが必要です。

クラスタ資格証明のローテーションの手順に従って、自己管理ノードが追加されたクラスタのCA証明書をすでにローテーションしたとします。自己管理ノードのブート・ボリュームを置換する場合は、まず自己管理ノードのcloud-initスクリプトを変更する必要があります。スクリプトで参照されているクラスタの以前のCA証明書を、クラスタの現在のCA証明書に置き換える必要があります。これらのステップに従います。

1. 次を入力して、自己管理ノードをホストするコンピュート・インスタンスの詳細を取得します:

   oci compute instance get --instance-id <instance-ocid>

   例:

   oci compute instance get --instance-id ocid1.instance.oc1.phx.any______blra

   コンピュート・インスタンスの詳細が返されます。

2. 次のように入力して、ブート・ボリュームOCID (oci compute instance getコマンドの出力のsource-detailsを参照)を見つけてメモします。

   oci compute instance get --instance-id <instance-ocid> --query 'data."source-details"."boot-volume-id"' --raw-output
   

   例:

   oci compute instance get --instance-id ocid1.instance.oc1.phx.any______blra --query 'data."source-details"."boot-volume-id"' --raw-output
   

   出力例:

   ocid1.bootvolume.oc1.phx.aaaa______g4a

   ブート・ボリュームOCIDは、後のステップで使用します。

3. 次のように、出力に示されているmetadata値を見つけます。

   "metadata": {
   "ssh_authorized_keys": "<key-value>",
   "user_data": "<existing-base64-encoded-init-script>"
   }

   ssh_authorized_keysは、ノードへのSSHアクセスが設定されている場合に存在することに注意してください(これは通常ですが、必ずしもそうではありません)。

   例:

   "metadata": {
   "ssh_authorized_keys": "ssh-rsa AAAA_____ example@acme.com",
   "user_data": "IyEv___1234___PSIK"
   }

   user_dataの値は、base64エンコード形式の自己管理ノードとしてクラスタにコンピュート・インスタンスを追加するために最初に使用されたcloud-initスクリプトです。cloud-initスクリプトは、クラスタのKubernetes APIプライベート・エンドポイントと、クラスタの以前のbase64エンコードCA証明書を指定します。
4. 次のように入力して、ssh_authorized_keysおよびuser_data値をコピーし、metadata.jsonという名前の新しいファイルに保存します。

   oci compute instance get --instance-id <instance-ocid> --query 'data.metadata' --raw-output > metadata.json

   metadata.jsonファイルの例:

   {
   "ssh_authorized_keys": "ssh-rsa AAAA_____ user@acme.com",
   "user_data": "IyEv___1234___PSIK"
   }

5. user_dataの値(元のbase64エンコードのcloud-initスクリプト)をコピーし、次のように入力してデコードします。

   echo "<existing-base64-encoded-init-script>" | base64 --decode

   例:

   echo "IyEv___1234___PSIK" | base64 --decode

   デコードされた出力は、元のcloud-initスクリプトです。例:

   #!/usr/bin/env bash
   bash /etc/oke/oke-install.sh \
     --apiserver-endpoint "10.0.0.12" \
     --kubelet-ca-cert "LS0txxxx______Cg=="

   --kubelet-ca-certの値は、クラスタの以前のCA証明書(base64エンコード形式)です。

6. デコードされた出力をmy-cloud-init-fileという名前のテキスト・ファイルとして保存します。
7. 次のように入力して、クラスタの現在のCA証明書(ローテーション後のクラスタのCA証明書)を取得します。

   oci ce cluster create-kubeconfig --cluster-id <cluster-ocid> --region <region-identifier> --file - | grep -oE "LS0t.*"

   クラスタの現在のbase64エンコードCA証明書は、文字LS0tから始まる長い英数字文字列として返されます。例:

   LS0tyyyy______aP==

8. my-cloud-init-fileに保存したcloud-initスクリプトで、元の値--kubelet-ca-certを現在のbase64エンコードCA証明書に置き換え、ファイルを保存します。

   例:

   #!/usr/bin/env bash
   bash /etc/oke/oke-install.sh \
     --apiserver-endpoint "10.0.0.12" \
     --kubelet-ca-cert "LS0tyyyy______aP=="

9. Base64は、更新されたcloud-initスクリプトをmy-cloud-init-fileにエンコードします。たとえば、次のように入力します:

   base64 my-cloud-init-file

   更新されたcloud-initスクリプトはbase64でエンコードされ、長い英数字文字列として返されます。例:

   IyEv___5678___PSIK

10. 前に作成したmetadata.jsonファイルを次のように更新します。

    • 存在する場合は、ssh_authorized_keysの値を変更しないでください。
    • user_dataの値を、更新されたcloud-initスクリプトから作成したbase64エンコードの英数字文字列に変更します。

    例:

    {
          "ssh_authorized_keys": "ssh-rsa AAAA_____ user@acme.com",
          "user_data": "IyEv___5678___PSIK"
    }

11. 前にメモしたブート・ボリュームOCIDを使用して、次を入力して既存のブート・ボリュームの詳細を取得します:

    oci bv boot-volume get --boot-volume-id <boot-volume-ocid> --query 'data.{ "image_id": "image-id", "kms_key_id": "kms-key-id", "boot-volume-size-in-gbs": "boot-volume-size-in-gbs" }' --raw-output

    例:

    oci bv boot-volume get --boot-volume-id ocid1.bootvolume.oc1.phx.aaaa______g4a --query 'data.{ "image_id": "image-id", "kms_key_id": "kms-key-id", "boot-volume-size-in-gbs": "boot-volume-size-in-gbs" }' --raw-output

    出力例:

    {
      "image_id": "ocid1.image.oc1.phx.aaaa____cra",
      "boot-volume-size-in-gbs": 100,
      "kms_key_id": null
    }

12. 出力を使用して、my-instance-source-details.jsonという名前の新しいjsonファイルでコンピュート・インスタンスのsource-detailsプロパティに同じ値を次の形式で指定します。

    {
    "image-id": "<returned-bv-image-ocid>",
    "source-type": "image",
    "boot-volume-size-in-gbs": <returned-bv-size>,
    "kms_key_id": <returned-bv-kms-key-ocid>
    "isPreserveBootVolumeEnabled": true
    }

    oci bv boot-volume getコマンドの出力にnull値があると表示されるmy-instance-source-details.jsonに、ブート・ボリュームのプロパティを含める必要はありません。たとえば、ブート・ボリュームがユーザー管理キーで暗号化されていない場合、kms_key_idの値はnullとして表示されます。

    例:

    {
    "image-id": "ocid1.image.oc1.phx.aaaa____cra",
    "source-type": "image",
    "boot-volume-size-in-gbs": 100,
    "isPreserveBootVolumeEnabled": true
    }

    user_dataプロパティを更新するには(特に、新しいCA証明書でcloud-initスクリプトを更新するには)、image-idの値を指定する必要があります。

13. 次を入力して、自己管理ノードをホストするコンピュート・インスタンスの詳細を更新します

    oci compute instance update --instance-id ocid1.instance.oc1.phx.any______blra --metadata file://metadata.json --source-details file://my-instance-source-details.json
     

14. 次を入力して、自己管理ノードをホストするコンピュート・インスタンスにuser_dataの更新値があることを確認します:

    oci compute instance get --instance-id <instance-ocid>

    例:

    oci compute instance get --instance-id ocid1.instance.oc1.phx.any______blra

    自己管理ノードをホストしているコンピュート・インスタンスに関する更新済の詳細が返されます。

    {
      "data": {
        ...
        "metadata": {
          "ssh_authorized_keys": "ssh-rsa AAAA_____ user@acme.com",
          "user_data": "IyEv___5678___PSIK"
        ...

    user_data値を、新しいクラスタCA証明書を含むbase64エンコードのcloud-initファイルに更新した後、自己管理ノードのブート・ボリュームを置換できるようになりました。

15. 次のように入力して、自己管理ノードのブート・ボリュームを置き換えます。

    oci ce cluster replace-boot-volume-cluster-node --cluster-id <cluster-ocid> --node-id <instance-ocid> [OPTIONS]

    例:

    oci ce cluster replace-boot-volume-cluster-node --cluster-id ocid1.cluster.oc1.phx.aaaa______xoq --node-id ocid1.instance.oc1.phx.any______blra --node-eviction-settings "{\"evictionGraceDuration\": \"PT0M\",\"isForceActionAfterGraceDuration\": true}"

    詳細は、ワーカー・ノードのブート・ボリュームの置換を参照してください。