Container Service for Kubernetes:migrate-controller のインストールと権限の付与

onectl を使用して migrate-controller をインストールし、権限を付与する (推奨)

1. オンプレミスマシンに onectl をインストールします。 詳細については、「onectl を使用して登録済みクラスターを管理する」をご参照ください。

2. 次のコマンドを実行して、migrate-controller に RAM 権限を付与します。

   onectl ram-user grant --addon migrate-controller

   期待される出力:

   Ram policy ack-one-registered-cluster-policy-migrate-controller granted to ram user ack-one-user-ce313528c3 successfully.

3. 次のコマンドを実行して、migrate-controller をインストールします。

   onectl addon install migrate-controller

   期待される出力:

   Addon migrate-controller, version **** installed.

   onectl コマンドは、Alibaba Cloud アカウントに属するすべての OSS バケットに対する権限を付与します。 指定された OSS バケットに権限を付与するには、onectl によって付与された OSS 権限を変更します。 または、「migrate-controller を手動でインストールし、権限を付与する」こともできます。

   OSS 権限の変更: 次の内容に基づいてカスタムポリシーを変更します。 ポリシーの変更方法については、「カスタムポリシーのドキュメントと説明を変更する」をご参照ください。

   説明

   mybackups を OSS バケットの名前に置き換えます。 詳細な OSS 権限の付与方法については、「RAM を使用して OSS 権限を管理する」をご参照ください。

   カスタムポリシーを表示する

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "oss:PutObject",
           "oss:GetObject",
           "oss:DeleteObject",
           "oss:GetBucket",
           "oss:ListObjects",
           "oss:ListBuckets",
           "oss:GetBucketStat"
         ],
         "Resource": [
           "acs:oss:*:*:mybackups", // 指定のバケット名に変更
           "acs:oss:*:*:mybackups/*" // 指定のバケット名に変更
         ],
         "Effect": "Allow"
       },
       {
         "Effect": "Allow",
         "Action": [
           "ecs:CreateSnapshot",
           "ecs:DeleteSnapshot",
           "ecs:DescribeSnapshotGroups",
           "ecs:CreateAutoSnapshotPolicy",
           "ecs:ApplyAutoSnapshotPolicy",
           "ecs:CancelAutoSnapshotPolicy",
           "ecs:DeleteAutoSnapshotPolicy",
           "ecs:DescribeAutoSnapshotPolicyEX",
           "ecs:ModifyAutoSnapshotPolicyEx",
           "ecs:DescribeSnapshots",
           "ecs:DescribeInstances",
           "ecs:CopySnapshot",
           "ecs:CreateSnapshotGroup",
           "ecs:DeleteSnapshotGroup"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "hbr:CreateVault",
           "hbr:CreateBackupJob",
           "hbr:DescribeVaults",
           "hbr:DescribeBackupJobs2",
           "hbr:DescribeRestoreJobs",
           "hbr:SearchHistoricalSnapshots",
           "hbr:CreateRestoreJob",
           "hbr:AddContainerCluster",
           "hbr:DescribeContainerCluster",
           "hbr:DescribeRestoreJobs2",
           "hbr:CancelBackupJob",
           "hbr:CancelRestoreJob"
         ],
         "Resource": "*"
       }
     ]
   }

4. (オプション) 登録済みクラスターと OSS バケットが存在するリージョンの内部ネットワークを指すルートを作成する

   登録済みクラスターが Cloud Enterprise Network (CEN)、Express Connect、または VPN 経由で VPC に接続されており、登録済みクラスターが OSS バケットのリージョンに存在する場合、バックアップセンターはダウンロード速度を向上させるために、デフォルトで OSS バケットの内部エンドポイントにアクセスします。 したがって、OSS バケットが存在するリージョンの内部ネットワークを指すルートを作成する必要があります。

   • データセンターを VPC に接続する方法の詳細については、「データセンターを Alibaba Cloud に接続するために使用される方法」をご参照ください。

   • OSS バケットの内部エンドポイントと VIP 範囲の詳細については、「OSS バケットの内部エンドポイントと VIP 範囲」をご参照ください。

5. (オプション) Cloud Backup が API Gateway にアクセスすることを承認する。 中国 (Ulanqab)、中国 (Heyuan)、および中国 (Guangzhou) リージョンにあるクラスターのデータをバックアップまたは復元する場合にのみ承認が必要です。 詳細については、「手順 3 (オプション): Cloud Backup が API Gateway にアクセスすることを承認する」をご参照ください。

コンソールを使用して migrate-controller をインストールし、権限を付与する

手順 1: 関連する権限を付与する

登録済みクラスターの RAM ユーザーを作成し、クラウド リソースにアクセスするための権限を RAM ユーザーに付与してから、RAM ユーザーの AccessKey ペアを作成する必要があります。

1. RAM ユーザーを作成します。 RAM ユーザーの作成方法については、「RAM ユーザーを作成する」をご参照ください。

2. 次のカスタムポリシーを作成します。 詳細については、「[JSON] タブでのカスタムポリシーの作成」をご参照ください。

   次のポリシーでは、oss:**** は OSS 権限、ecs:**** は ECS スナップショット権限、hbr:**** は Cloud Backup 権限を示します。

   カスタムポリシーを表示する

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "oss:PutObject",
           "oss:GetObject",
           "oss:DeleteObject",
           "oss:GetBucket",
           "oss:ListObjects",
           "oss:ListBuckets",
           "oss:GetBucketStat"
         ],
         "Resource": "*" // すべての OSS バケットに対する権限
       },
       {
         "Effect": "Allow",
         "Action": [
           "ecs:CreateSnapshot",
           "ecs:DeleteSnapshot",
           "ecs:DescribeSnapshotGroups",
           "ecs:CreateAutoSnapshotPolicy",
           "ecs:ApplyAutoSnapshotPolicy",
           "ecs:CancelAutoSnapshotPolicy",
           "ecs:DeleteAutoSnapshotPolicy",
           "ecs:DescribeAutoSnapshotPolicyEX",
           "ecs:ModifyAutoSnapshotPolicyEx",
           "ecs:DescribeSnapshots",
           "ecs:DescribeInstances",
           "ecs:CopySnapshot",
           "ecs:CreateSnapshotGroup",
           "ecs:DeleteSnapshotGroup"
         ],
         "Resource": "*" // すべての ECS リソースに対する権限
       },
       {
         "Effect": "Allow",
         "Action": [
           "hbr:CreateVault",
           "hbr:CreateBackupJob",
           "hbr:DescribeVaults",
           "hbr:DescribeBackupJobs2",
           "hbr:DescribeRestoreJobs",
           "hbr:SearchHistoricalSnapshots",
           "hbr:CreateRestoreJob",
           "hbr:AddContainerCluster",
           "hbr:DescribeContainerCluster",
           "hbr:DescribeRestoreJobs2",
           "hbr:CancelBackupJob",
           "hbr:CancelRestoreJob"
         ],
         "Resource": "*" // すべての Cloud Backup リソースに対する権限
       }
     ]
   }

   上記のポリシーは、すべての OSS バケットに対する権限を付与します。 指定された OSS バケットに対する読み取りおよび書き込み権限を付与するには、次のテンプレートに基づいてカスタムポリシーを変更します。 mybackups を OSS バケットの名前に置き換えます。 詳細な OSS 権限の付与方法については、「RAM を使用して OSS 権限を管理する」をご参照ください。

   カスタムポリシーを表示する

   {
      // 省略。上記と同じポリシー構造で、"Resource" 部分のみ変更
     "Resource": [
       "acs:oss:*:*:mybackups", // 指定のバケット名に変更
       "acs:oss:*:*:mybackups/*" // 指定のバケット名に変更
     ]
    // 省略
   }

3. カスタムポリシーを RAM ユーザーにアタッチします。 詳細については、「RAM ユーザーに権限を付与する」をご参照ください。

4. RAM ユーザーの AccessKey ペアを作成します。 詳細については、「AccessKey ペアの作成」をご参照ください。

5. クラスターにシークレットを作成します。

   AccessKey ペアがクラスター内でのみ使用されるようにするには、クラスターに alibaba-addon-secret という名前のシークレットを作成して AccessKey ペアを保存する必要があります。 これにより、情報漏えいのリスクが軽減されます。

   1. 次のコマンドを実行して、csdr という名前のネームスペースを作成します。

      kubectl create ns csdr

   2. 次のコマンドを実行して、alibaba-addon-secret という名前のシークレットを作成します。

      kubectl -n csdr create secret generic alibaba-addon-secret --from-literal='access-key-id=<your AccessKey ID>' --from-literal='access-key-secret=<your AccessKey Secret>'

      <your AccessKey ID> と <your AccessKey Secret> は、前の手順で取得した AccessKey ペアに置き換えます。

手順 2: migrate-controller をインストールする

詳細については、「migrate-controller をインストールする」をご参照ください。

手順 3 (オプション): 登録済みクラスターと OSS バケットが存在するリージョンの内部ネットワークを指すルートを作成する

登録済みクラスターが CEN、Express Connect、または VPN 経由で VPC に接続されており、登録済みクラスターが OSS バケットのリージョンに存在する場合、バックアップセンターはダウンロード速度を向上させるために、デフォルトで OSS バケットの内部エンドポイントにアクセスします。 したがって、OSS バケットが存在するリージョンの内部ネットワークを指すルートを作成する必要があります。

• データセンターを VPC に接続する方法の詳細については、「データセンターを Alibaba Cloud に接続するために使用される方法」をご参照ください。

• OSS バケットの内部エンドポイントと VIP 範囲の詳細については、「OSS バケットの内部エンドポイントと VIP 範囲」をご参照ください。

手順 4 (オプション): Cloud Backup が API Gateway にアクセスすることを承認する

中国 (Ulanqab)、中国 (Heyuan)、および中国 (Guangzhou) リージョンにあるクラスターのデータをバックアップまたは復元する場合にのみ承認が必要です。 詳細については、「手順 3 (オプション): Cloud Backup が API Gateway にアクセスすることを承認する」をご参照ください。