Container Service for Kubernetes:migrate-controller のインストールと権限の設定

onectl を使用したコンポーネントのインストールおよび権限の設定（推奨）

1. ローカルマシンに onectl をインストールおよび設定します。詳細については、「onectl を使用した登録済みクラスターの管理」をご参照ください。

2. 以下のコマンドを実行して、migrate-controller コンポーネントの RAM 権限を設定します。

   onectl ram-user grant --addon migrate-controller

   期待される出力：

   Ram policy ack-one-registered-cluster-policy-migrate-controller granted to ram user ack-one-user-ce313528c3 successfully.

3. 以下のコマンドを実行して、バックアップサービスコンポーネントをインストールします。

   onectl addon install migrate-controller

   期待される出力：

   Addon migrate-controller, version **** installed.

   onectl は、すべての OSS バケットに対する OSS 権限を自動的に設定します。特定の OSS バケットに対する権限を設定する必要がある場合は、onectl が生成した権限を変更するか、「コンポーネントの手動インストールおよび権限の設定」を行ってください。

   OSS 権限の変更：作成したカスタムポリシーの内容を、以下の内容に置き換えます。ポリシーの変更方法については、「カスタムポリシーの内容および説明の変更」をご参照ください。

   説明

   以下のポリシー内の mybackups を、ご利用の OSS バケット名に置き換えてください。細かい粒度の OSS 権限付与については、「RAM を使用した OSS 権限の管理」をご参照ください。

   カスタムポリシーの表示

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "oss:PutObject",
           "oss:GetObject",
           "oss:DeleteObject",
           "oss:GetBucket",
           "oss:ListObjects",
           "oss:ListBuckets",
           "oss:GetBucketStat"
         ],
         "Resource": [
           "acs:oss:*:*:mybackups",
           "acs:oss:*:*:mybackups/*"
         ],
         "Effect": "Allow"
       },
       {
         "Effect": "Allow",
         "Action": [
           "ecs:CreateSnapshot",
           "ecs:DeleteSnapshot",
           "ecs:DescribeSnapshotGroups",
           "ecs:CreateAutoSnapshotPolicy",
           "ecs:ApplyAutoSnapshotPolicy",
           "ecs:CancelAutoSnapshotPolicy",
           "ecs:DeleteAutoSnapshotPolicy",
           "ecs:DescribeAutoSnapshotPolicyEX",
           "ecs:ModifyAutoSnapshotPolicyEx",
           "ecs:DescribeSnapshots",
           "ecs:DescribeInstances",
           "ecs:CopySnapshot",
           "ecs:CreateSnapshotGroup",
           "ecs:DeleteSnapshotGroup"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "hbr:CreateVault",
           "hbr:CreateBackupJob",
           "hbr:DescribeVaults",
           "hbr:DescribeBackupJobs2",
           "hbr:DescribeRestoreJobs",
           "hbr:SearchHistoricalSnapshots",
           "hbr:CreateRestoreJob",
           "hbr:AddContainerCluster",
           "hbr:DescribeContainerCluster",
           "hbr:DescribeRestoreJobs2",
           "hbr:CancelBackupJob",
           "hbr:CancelRestoreJob"
         ],
         "Resource": "*"
       }
     ]
   }

4. （任意）登録済みクラスターと同じリージョンにある OSS の内部 CIDR ブロックへのルートを設定します。

   CEN、Express Connect、または VPN を介してクラウド VPC に接続された登録済みクラスターの場合、登録済みクラスターと OSS が同じリージョンにあると、バックアップセンターは自動的に内部ネットワーク経由で OSS ドメイン名にアクセスし、バックアップのデータ取得速度を向上させます。この場合、当該リージョンの OSS の内部 CIDR ブロックへのルートを設定する必要があります。

   • オンプレミスデータセンターをクラウド VPC に接続する方法については、「接続方法の概要」をご参照ください。

   • OSS の内部ドメイン名と VIP CIDR ブロックの対応関係については、「エンドポイントおよびバケットドメイン名を用いた OSS へのアクセス」をご参照ください。

5. （任意）Cloud Backup サービスによる API Gateway の利用権限の付与

   これは、中国 (ウランチャブ)、中国 (河源)、または中国 (広州) リージョンでクラスターのバックアップまたは復元を行う場合にのみ必要な権限付与です。手順については、「（任意）ステップ 3：Cloud Backup サービスによる API Gateway の利用権限の付与」をご参照ください。

コンソールからのコンポーネントのインストールおよび権限の設定

ステップ 1：権限の設定

登録済みクラスター用の RAM ユーザーを作成し、クラウドリソースへのアクセス権限を付与したうえで、AccessKey を作成します。

1. RAM ユーザーを作成します。詳細については、「RAM ユーザーの作成」をご参照ください。

2. 以下の例に示すカスタムポリシーを作成します。詳細については、「スクリプトエディタを使用したカスタムポリシーの作成」をご参照ください。

   以下のポリシーでは、oss: で始まる操作は OSS 権限、ecs: で始まる操作は ECS ディスクスナップショット関連の権限、hbr: で始まる操作は Cloud Backup 権限を表します。

   カスタムポリシーの表示

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "oss:PutObject",
           "oss:GetObject",
           "oss:DeleteObject",
           "oss:GetBucket",
           "oss:ListObjects",
           "oss:ListBuckets",
           "oss:GetBucketStat"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "ecs:CreateSnapshot",
           "ecs:DeleteSnapshot",
           "ecs:DescribeSnapshotGroups",
           "ecs:CreateAutoSnapshotPolicy",
           "ecs:ApplyAutoSnapshotPolicy",
           "ecs:CancelAutoSnapshotPolicy",
           "ecs:DeleteAutoSnapshotPolicy",
           "ecs:DescribeAutoSnapshotPolicyEX",
           "ecs:ModifyAutoSnapshotPolicyEx",
           "ecs:DescribeSnapshots",
           "ecs:DescribeInstances",
           "ecs:CopySnapshot",
           "ecs:CreateSnapshotGroup",
           "ecs:DeleteSnapshotGroup"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "hbr:CreateVault",
           "hbr:CreateBackupJob",
           "hbr:DescribeVaults",
           "hbr:DescribeBackupJobs2",
           "hbr:DescribeRestoreJobs",
           "hbr:SearchHistoricalSnapshots",
           "hbr:CreateRestoreJob",
           "hbr:AddContainerCluster",
           "hbr:DescribeContainerCluster",
           "hbr:DescribeRestoreJobs2",
           "hbr:CancelBackupJob",
           "hbr:CancelRestoreJob"
         ],
         "Resource": "*"
       }
     ]
   }

   上記のポリシーでは、すべての OSS バケットに対する権限が付与されます。特定の OSS バケットに対して読み取りおよび書き込み権限を指定する必要がある場合は、以下の例に示すようにポリシーを変更してください。ポリシー内の mybackups を、ご利用の OSS バケット名に置き換えてください。細かい粒度の OSS 権限付与については、「RAM を使用した OSS 権限の管理」をご参照ください。

   カスタムポリシーの表示

   {
     "Version": "1",
     "Statement": [
       {
         "Action": [
           "oss:PutObject",
           "oss:GetObject",
           "oss:DeleteObject",
           "oss:GetBucket",
           "oss:ListObjects",
           "oss:ListBuckets",
           "oss:GetBucketStat"
         ],
         "Resource": [
           "acs:oss:*:*:mybackups",
           "acs:oss:*:*:mybackups/*"
         ],
         "Effect": "Allow"
       },
       {
         "Effect": "Allow",
         "Action": [
           "ecs:CreateSnapshot",
           "ecs:DeleteSnapshot",
           "ecs:DescribeSnapshotGroups",
           "ecs:CreateAutoSnapshotPolicy",
           "ecs:ApplyAutoSnapshotPolicy",
           "ecs:CancelAutoSnapshotPolicy",
           "ecs:DeleteAutoSnapshotPolicy",
           "ecs:DescribeAutoSnapshotPolicyEX",
           "ecs:ModifyAutoSnapshotPolicyEx",
           "ecs:DescribeSnapshots",
           "ecs:DescribeInstances",
           "ecs:CopySnapshot",
           "ecs:CreateSnapshotGroup",
           "ecs:DeleteSnapshotGroup"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "hbr:CreateVault",
           "hbr:CreateBackupJob",
           "hbr:DescribeVaults",
           "hbr:DescribeBackupJobs2",
           "hbr:DescribeRestoreJobs",
           "hbr:SearchHistoricalSnapshots",
           "hbr:CreateRestoreJob",
           "hbr:AddContainerCluster",
           "hbr:DescribeContainerCluster",
           "hbr:DescribeRestoreJobs2",
           "hbr:CancelBackupJob",
           "hbr:CancelRestoreJob"
         ],
         "Resource": "*"
       }
     ]
   }

3. 作成したカスタムポリシーを RAM ユーザーに付与します。詳細については、「RAM ユーザーの権限管理」をご参照ください。

4. RAM ユーザーの AccessKey を作成します。詳細については、「AccessKey の取得」をご参照ください。

5. クラスター内に Secret を作成します。

   AccessKey 情報をクラスター内でのみ安全に使用できるようにするため、まず AccessKey 情報を用いて、クラスター内に alibaba-addon-secret という名前の Secret を展開する必要があります。これにより、情報漏洩のリスクを低減できます。

   1. 以下のコマンドを実行して、csdr 名前空間を作成します。

      kubectl create ns csdr

   2. 以下のコマンドを実行して、alibaba-addon-secret という名前の Secret を作成します。

      kubectl -n csdr create secret generic alibaba-addon-secret --from-literal='access-key-id=<your AccessKey ID>' --from-literal='access-key-secret=<your AccessKey Secret>'

      上記コマンド内の <your AccessKey ID> および <your AccessKey Secret> を、直前のステップで取得した AccessKey 情報に置き換えてください。

ステップ 2：migrate-controller バックアップサービスコンポーネントのインストール

「migrate-controller バックアップサービスコンポーネントのインストール」をご参照ください。

（任意）ステップ 3：登録済みクラスターと同じリージョンにある OSS の内部 CIDR ブロックへのルートの設定

CEN、Express Connect、または VPN を介してクラウド VPC に接続された登録済みクラスターの場合、登録済みクラスターと OSS が同じリージョンにあると、バックアップセンターは自動的に内部ネットワーク経由で OSS ドメイン名にアクセスし、バックアップのデータ取得速度を向上させます。この場合、当該リージョンの OSS の内部 CIDR ブロックへのルートを設定する必要があります。

• オンプレミスデータセンターをクラウド VPC に接続する方法については、「接続方法の概要」をご参照ください。

• OSS の内部ドメイン名と VIP CIDR ブロックの対応関係については、「エンドポイントおよびバケットドメイン名を用いた OSS へのアクセス」をご参照ください。

（任意）ステップ 4：Cloud Backup サービスによる API Gateway の利用権限の付与

これは、中国 (ウランチャブ)、中国 (河源)、または中国 (広州) リージョンでクラスターのバックアップまたは復元を行う場合にのみ必要な権限付与です。手順については、「（任意）ステップ 3：Cloud Backup サービスによる API Gateway の利用権限の付与」をご参照ください。