2.1 Installation d’OpenText Identity Console CE 24.4 (v1.9)
2.1.3 Installation d'OpenText Identity Console en tant que conteneur Docker
Cette section contient les procédures suivantes :
Recommandations en matière de sécurité
-
Aucune contrainte de ressources n'est définie par défaut pour les conteneurs Docker. Ainsi, chaque conteneur dispose d'un accès à toutes les ressources de l'UC et mémoire fournies par le kernel de l'hôte. Vous devez également vous assurer qu'un conteneur en cours d'exécution ne consomme pas plus de ressources et n'épuise pas les autres conteneurs en cours d'exécution en définissant des limites pour le volume de ressources utilisables par un conteneur.
-
Le conteneur Docker doit veiller à ce qu'une limite fixe soit appliquée à la mémoire utilisée par le conteneur à l'aide du drapeau --memory dans la commande docker run.
-
Le conteneur Docker doit veiller à ce qu'une limite soit appliquée à la quantité d'UC utilisée par un conteneur en cours d'exécution à l'aide du drapeau --cpuset-cpus dans la commande docker run.
-
-
Le drapeau --pids-limit doit avoir la valeur 300 pour restreindre le nombre de threads du kernel générés à tout moment dans le conteneur. Ceci permet d'éviter les attaques par déni de service (DoS).
-
Vous devez définir la stratégie de redémarrage de conteneur en cas d'échec sur la valeur 5 à l'aide du drapeau --restart dans la commande docker run.
-
Vous ne devez utiliser le conteneur qu'une fois que l'état de santé est (Sain) lorsque le conteneur est activé. Pour vérifier l'état de santé du conteneur, exécutez la commande suivante :
docker ps <container_name/ID> -
Le conteneur Docker démarre toujours en tant qu'utilisateur non-root (nds). Par mesure de sécurité supplémentaire, activez la réassignation de l'espace de noms utilisateur sur le daemon pour éviter les attaques par élévation de privilèges à partir du conteneur. Pour plus d'informations sur la réassignation de l'espace de noms utilisateur, reportez-vous à la section Isolate containers with a user namespace (Isoler les conteneurs avec un espace de noms).
Installation d'OpenText Identity Console en tant que conteneur Docker
REMARQUE :OpenText Identity Console peut être configuré avec ou sans OSP. Si vous choisissez de le configurer avec OSP, vous devez d’abord déployer le conteneur OSP, puis le conteneur OpenText Identity Console. Veillez à modifier le fichier edirapi.conf pour inclure les valeurs souhaitées pour le déploiement.
Pour installer OpenText Identity Console en tant que conteneur Docker :
les paramètres de configuration, les exemples de valeurs et les exemples mentionnés dans cette procédure sont fournis uniquement à des fins de référence. Veillez à ne pas les utiliser directement dans votre environnement de production.
-
Connectez-vous au portail de téléchargements et de licences de logiciels (Software License and Download) et accédez à la page de téléchargements de logiciels.
-
Sélectionnez les éléments suivants :
-
Produit : OpenText eDirectory
-
Nom du produit : OpenText eDirectory per User Sub SW E-LTU
-
Version : 9.2, 9.3
-
-
Téléchargez le fichier IdentityConsole_<version>_Container_tar.zip.
-
L'image doit être chargée dans le registre Docker local. Extrayez et chargez le fichier IdentityConsole_<version>_Containers.tar.gz à l'aide des commandes suivantes :
tar -xvf IdentityConsole_version_Containers.tar.gz
docker load --input identityconsole.tar.gz
-
Créez le conteneur Docker OpenText Identity Console à l'aide de la commande suivante :
docker create --name identityconsole-container-name --env ACCEPT_EULA=Y --network=network-type --volume volume-name:/config/ identityconsole:version
Exemple
docker create --name identityconsole-container-1 --env ACCEPT_EULA=Y --network=host --volume IDConsole-volume:/config/ identityconsole:version
REMARQUE :
-
Vous pouvez accepter le contrat de licence EULA en affectant la valeur « Y » à la variable d'environnement ACCEPT_EULA. Vous pouvez également accepter ce contrat dans l'invite qui s'affiche au démarrage du conteneur à l'aide de l'option -it de la commande Docker create en mode interactif.
-
Le paramètre --volume de la commande ci-dessus crée un volume destiné au stockage des données de configuration et de journal. Dans ce cas, nous avons créé un exemple de volume nommé IDConsole-volume.
-
-
Copiez le fichier de certificat de serveur de votre système de fichiers local vers le conteneur en tant que /etc/opt/novell/eDirAPI/cert/keys.pfx à l'aide de la commande ci-dessous. Pour plus d'informations sur la création du certificat de serveur, reportez-vous à la section Conditions préalables.
docker cp <absolute path of server certificate file> <identityconsole-container-name>:/etc/opt/novell/eDirAPI/cert/keys.pfx
Par exemple :
docker cp /home/user/keys.pfx identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/keys.pfx
Lorsque vous vous connectez à plusieurs arborescences OpenText eDirectory, vous devez veiller à obtenir au moins un certificat de serveur keys.pfx pour toutes les arborescences connectées.
-
Copiez le fichier de certificat d'autorité de certification (.pem) de votre système de fichiers local vers le conteneur en tant que /etc/opt/novell/eDirAPI/cert/SSCert.pem à l'aide de la commande ci-dessous. Pour plus d'informations sur l'obtention du certificat d'autorité de certification, reportez-vous à la section Conditions préalables.
docker cp absolute path of CA certificate file identityconsole-container-name:/etc/opt/novell/eDirAPI/cert/SSCert.pem
Par exemple :
docker cp /home/user/SSCert.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert.pem
Si vous devez vous connecter à plusieurs arborescences OpenText eDirectory, reportez-vous à la section Arborescences multiples avec OpenText Identity Console en tant que Docker..
-
Selon que vous souhaitez configurer OpenText Identity Console avec ou sans OSP, modifiez le fichier de configuration edirapi.conf selon vos besoins. Utilisez ensuite la commande suivante pour le copier de votre système de fichiers local vers le conteneur dans /etc/opt/novell/eDirAPI/conf/edirapi.conf :
docker cp absolute path of configuration file identityconsole-container-name:/etc/opt/novell/eDirAPI/conf/edirapi.conf
Exemple
docker cp /home/user/edirapi.conf identityconsole-container-1:/etc/opt/novell/eDirAPI/conf/edirapi.conf
Un exemple de fichier de configuration est présenté ci-dessous (OpenText Identity Console 1.9 et versions ultérieures) :
listen = ":9000" pfxpassword = "novell" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=false auto-fetch=false
Un exemple de fichier de configuration est présenté ci-dessous (Identity Console 1.8 et versions antérieures) :
listen = ":9000" pfxpassword = "novell" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=false edir-hosts = "<adresse_ip>:636"
REMARQUE :Pour accéder à OpenText eDirectory via OpenText Identity Console, il est nécessaire d’ajouter le fichier edir-hosts="x.x.x.x:ldaps_port dans le fichier edirapi.conf.
Exemple : edir-hosts="10.10.10.10:636"
Lorsque vous définissez auto-fetch=true, vous devez d'abord copier le certificat CA dans le conteneur, comme le décrit l'étape 7. Lors des sessions de connexion suivantes, le certificat CA est récupéré automatiquement.
Voici un exemple de fichier de configuration lors de la configuration d’OpenText Identity Console avec OSP :
listen = ":9000" ldapserver = "10.71.39.15:636" ldapuser = "cn=admin,o=novell" ldappassword = "novell" pfxpassword = "novell" osp-token-endpoint = "https://<adresse_ip_osp>:8543/osp/a/idm/auth/oauth2/getattributes" osp-authorize-url = "https://<adresse_ip_osp>:8543/osp/a/idm/auth/oauth2/grant" osp-logout-url = "https://<adresse_ip_osp>:8543/osp/a/idm/auth/app/logout" osp-redirect-url = "https://<adresse_ip_identity_console>:9000/eDirAPI/v1/t/authcoderedirect" osp-client-id = "identityconsole" ospclientpass = "novell" ospcert = "/etc/opt/novell/eDirAPI/cert/SSCert.pem" bcert = "/etc/opt/novell/eDirAPI/cert/" ospmode=true check-origin =true origin = "https://<adresse_ip_identity_console>:9000"
-
Démarrez le conteneur Docker à l'aide de la commande suivante :
docker start identityconsole-container-name
Par exemple :
docker start identityconsole-container-1
REMARQUE :Vous trouverez les fichiers journaux suivants dans le répertoire /var/lib/docker/volumes/<nom_volume>/_data/eDirAPI/var/log :
-
edirapi.log : ce fichier sert à consigner les différents événements dans edirapi et à déboguer les problèmes.
-
edirapi_audit.log : ce fichier sert à consigner les événements d'audit d'edirapi. Ce journal respecte le format d'audit CEF.
-
container-startup.log : ce fichier sert à capturer les journaux d'installation du conteneur Docker OpenText Identity Console.
Arborescences multiples avec OpenText Identity Console en tant que Docker
Pour connecter OpenText Identity Console 1.9 à plusieurs arborescences OpenText eDirectory lorsque la récupération automatique est désactivée, vous devez copier les certificats d’autorité de certification de toutes les arborescences OpenText eDirectory dans le répertoire /etc/opt/novell/eDirAPI/cert/.
OpenText Identity Console 1.8 permet de se connecter à plusieurs arborescences en obtenant un seul certificat CA de l'arborescence.
Par exemple, si vous vous connectez à trois arborescences OpenText eDirectory, vous devez copier les trois certificats CA dans le conteneur Docker :
docker cp /home/user/SSCert1.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert1.pem
docker cp /home/user/SSCert2.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert2.pem
docker cp /home/user/SSCert3.pem identityconsole-container-1:/etc/opt/novell/eDirAPI/cert/SSCert3.pem
Exécutez les commandes suivantes pour redémarrer OpenText Identity Console :
docker restart <identityconsole-container-name>
Exemple :
docker restart identityconsole-container-1
Déploiement du conteneur OSP
Pour déployer le conteneur OSP, procédez comme suit :
-
Connectez-vous au portail de téléchargements et de licences de logiciels (Software License and Download) et accédez à la page de téléchargements de logiciels.
-
Sélectionnez les éléments suivants :
-
Produit : OpenText eDirectory
-
Nom du produit : OpenText eDirectory per User Sub SW E-LTU
-
Version : 9.2
-
OpenText Identity Console en mode autonome
-
-
Téléchargez et extrayez le fichier IdentityConsole_<version>_Containers_tar.zip.
-
Pour installer OpenText Identity Console dans le conteneur OSP, un fichier Keystore (tomcat.ks) est requis.
Effectuez les étapes suivantes pour générer le fichier Keystore :
-
Créez un dossier certs dans le répertoire /opt/.
-
Exécutez la commande suivante pour créer un fichier Keystore (tomcat.ks) :
keytool -genkey -alias osp -keyalg RSA -storetype pkcs12 -keystore /opt/certs/tomcat.ks -validity 3650 -keysize 2048 -dname "CN=blr-osp48-demo.labs.blr.novell.com" -keypass novell -storepass novell
REMARQUE :assurez-vous que l'adresse IP de l'ordinateur comporte le nom CN ou le nom d'hôte complet. Par exemple : CN=xx.xx.xx.xx.
-
Exécutez la commande suivante pour créer une requête de signature de certificat. Par exemple : cert.csr.
keytool -certreq -v -alias osp -file /opt/certs/cert.csr -keypass novell -keystore /opt/certs/tomcat.ks -storepass novell
-
Transmettez le fichier cert.csr créé à Identity Console et obtenez le fichier cert.der en procédant comme suit :
-
Lancez OpenText Identity Console en tant qu'administrateur.
-
Cliquez sur > et sélectionnez le fichier.
-
Accédez à > et sélectionnez le bouton d'option .
-
Cliquez sur et cochez les cases suivantes :
-
-
Cliquez sur >
> adresse IP ou nom DNS du serveur OSP > > .Le message s'affiche.
-
Cliquez sur .
-
Téléchargez le certificat cert.der émis et copiez-le dans /opt/certs/.
-
-
Copiez le fichier SSCert.der d'OpenText eDirectory vers /opt/certs.
-
Exécutez les commandes suivantes pour importer le certificat d'autorité de certification (SSCert.der) et le certificat de serveur (cert.der) dans le fichier Keystore tomcat.ks.
keytool -import -trustcacerts -alias root -keystore /opt/certs/tomcat.ks -file /opt/certs/SSCert.der -storepass novell -noprompt
keytool -import -alias osp -keystore /opt/certs/tomcat.ks -file /opt/certs/cert.der -storepass novell -noprompt
-
-
Créez un dossier /data.
-
Copiez le fichier tomcat.ks depuis /opt/certs et collez-le dans le dossier data.
-
À partir de la version de conteneur OpenText Identity Console extraite, copiez les fichiers osp-edirapi-silent.properties dans le dossier data.
-
Modifiez le fichier de propriétés osp-edirapi-silent selon vos besoins. Voici un exemple de fichier de propriétés en mode silencieux :
# Silent file for osp with edirapi ## Static contents Do not edit - starts INSTALL_OSP=true DOCKER_CONTAINER=y EDIRAPI_PROMPT_NEEDED=y UA_PROMPT_NEEDED=n SSPR_PROMPT_NEEDED=n RPT_PROMPT_NEEDED=n CUSTOM_OSP_CERTIFICATE=y ## Static contents Do not edit - ends # OSP Details SSO_SERVER_HOST=osp.example.com (osp confiugred serevr IP address) SSO_SERVER_SSL_PORT=8543 OSP_COMM_TOMCAT_KEYSTORE_FILE=/config/tomcat.ks OSP_COMM_TOMCAT_KEYSTORE_PWD=novell SSO_SERVICE_PWD=novell OSP_KEYSTORE_PWD=novell IDM_KEYSTORE_PWD=novell OSP_CUSTOM_NAME="Identity Console" USER_CONTAINER="o=novell" ADMIN_CONTAINER="o=novell" MASTER_KEYSTORE_PWD=novell # IDConsole Details IDCONSOLE_HOST=192.168.1.1 (IdentityConsole confiugred serevr IP address) IDCONSOLE_PORT=9000 EDIRAPI_TREENAME=ed913 (Tree name should be in lowercase) #If ENABLE_CUSTOM_CONTAINER_CREATION is set to y #ie., when you have user and admin container different from o=data # and they need to be created in eDir #then CUSTOM_CONTAINER_LDIF_PATH should be entered as well ENABLE_CUSTOM_CONTAINER_CREATION=n #ENABLE_CUSTOM_CONTAINER_CREATION=y #CUSTOM_CONTAINER_LDIF_PATH=/config/custom-osp.ldif # eDir Details ID_VAULT_HOST=192.168.1.1 (eDir/ID_Vault confiugred serevr IP address) ID_VAULT_LDAPS_PORT=636 ID_VAULT_ADMIN_LDAP="cn=admin,o=novell" ID_VAULT_PASSWORD=novell
REMARQUE :pour éviter les contraintes d'espace lors de l'utilisation du fichier de propriétés silencieuses (texte DOS), vous devez convertir le fichier texte DOS au format UNIX à l'aide de l'outil dos2unix. Exécutez la commande ci-dessous pour convertir le fichier texte de fins de ligne DOS en fins de ligne UNIX :
dos2unix nom_fichier
Par exemple :
dos2unix exemple_fichier
-
Exécutez la commande suivante pour charger l'image OSP :
docker load --input osp.tar.gz
-
Déployez le conteneur à l'aide de la commande suivante :
docker run -d --name OSP_Container --network=host -e SILENT_INSTALL_FILE=/config/osp-edirapi-silent.properties -v /data:/config osp:<version>Par exemple :
docker run -d --name OSP_Container --network=host -e SILENT_INSTALL_FILE=/config/osp-edirapi-silent.properties -v /data:/config osp:6.6.6
REMARQUE :après avoir déployé le conteneur OSP, installez et configurez OpenText Identity Console avec les détails du serveur OSP.
Arrêt et redémarrage d'OpenText Identity Console en tant que conteneur Docker
Pour arrêter, exécutez la commande suivante :
docker stop identityconsole-container-name
Pour redémarrer, exécutez la commande suivante :
docker restart identityconsole-container-name
Pour démarrer, exécutez la commande suivante :
docker start identityconsole-container-name
Gestion de la persistance des données
En plus des conteneurs OpenText Identity Console, des volumes sont également créés pour la persistance des données. Pour utiliser les paramètres de configuration d'un ancien conteneur qui utilise les volumes, procédez comme suit :
-
Arrêtez le conteneur Docker actuel à l'aide de la commande suivante :
docker stop identityconsole-container-name
Exemple :
docker stop identityconsole-container-1
-
Créez le second conteneur en utilisant les données d'application de l'ancien conteneur stockées dans le volume Docker (IDConsole-volume-1).
docker create --name identityconsole-container-name --network=host --volume IDConsole-volume-1:/config/ identityconsole:< version >
Exemple :
docker create --name identityconsole-container-2 --network=host --volume IDConsole-volume-1:/config/ identityconsole:<version>
-
Démarrez le second conteneur à l'aide de la commande suivante :
docker start identityconsole-container-name
Exemple :
docker start identityconsole-container-2
-
(Facultatif) Vous pouvez supprimer le premier conteneur à l'aide de la commande suivante :
docker rm identityconsole-container-name
Exemple :
docker rm identityconsole-container-1
Remplacement du certificat de serveur dans un conteneur Docker
Pour remplacer le certificat de serveur dans le conteneur Docker, procédez comme suit :
-
Exécutez la commande suivante pour copier le nouveau certificat de serveur à un emplacement du conteneur.
Exemple :
docker cp /path/to/new-keys.pfx <container_id/name>:/tmp/new-keys.pfx
-
Connectez-vous au conteneur à l'aide de la commande suivante :
docker exec -it container_name bash
-
Exécutez NLPCERT pour stocker les clés en tant que pseudo-utilisateur :
LD_LIBRARY_PATH=/opt/novell/lib64/:/opt/novell/eDirectory/lib64/:/opt/netiq/common/openssl/lib64/ /opt/novell/eDirAPI/sbin/nlpcert -i /tmp/new-keys.pfx -o /etc/opt/novell/eDirAPI/conf/ssl/private/cert.pem
-
Quittez la console du conteneur à l'aide de la commande suivante :
exit
-
Redémarrez le conteneur à l'aide de la commande suivante :
docker restart container name
2.1.4 Installation d'OpenText Identity Console dans Azure Kubernetes Service
Azure Kubernetes Service (AKS) est un service Kubernetes géré qui vous permet de déployer et de gérer des grappes. Cette section contient les procédures suivantes :
Installation d’OpenText Identity Console dans une grappe AKS
Cette section explique les procédures ci-dessous à suivre pour déployer OpenText Identity Console dans une grappe AKS :
Création d'une instance Azure Container Registry (ACR)
Une instance Azure Container Registry (ACR) est un registre privé Azure destiné aux images de conteneur Docker.
Pour obtenir les étapes détaillées, reportez-vous à la section Créer un registre de conteneurs dans l'article Créer un registre de conteneurs Azure à l'aide du portail Azure ou procédez comme suit pour créer une instance Azure Container Registry (ACR) :
-
Connectez-vous au portail Azure.
-
Accédez à Create a resource (Créer une ressource) > Containers (Conteneurs) > Container Registry (Registre de conteneurs).
-
Dans l'onglet (Concepts de base), spécifiez les valeurs des options (Groupe de ressources) et (Nom du registre). Le nom de registre doit être unique dans Azure et contenir minimum 5 et maximum 50 caractères alphanumériques.
Acceptez les valeurs par défaut des paramètres restants.
-
Cliquez sur (Réviser + créer).
-
Cliquez sur (Créer).
-
Connectez-vous à Azure CLI, puis exécutez la commande suivante pour vous connecter à Azure Container Registry :.
az acr login --name registryname
Exemple :
az acr login --name < idconsole >
-
Récupérez le serveur de connexion de l'instance Azure Container Registry à l'aide de la commande suivante :
az acr show --name registryname --query loginServer --output table
Exemple :
az acr show --name < idconsole > --query loginServer --output table
-
Marquez l'image locale d'OpenText Identity Console avec le nom du serveur de connexion ACR (registryname.azureacr.io) à l'aide de la commande suivante :
docker tag idconsole-image <login server>/idconsole-image
Exemple :
docker tag identityconsole:<version> registryname.azurecr.io/identityconsole:<version>
-
Distribuez l'image marquée dans le registre.
docker push <login server>/idconsole: <version>
Exemple :
docker push registryname.azurecr.io/identityconsole:<version>
-
Récupérez la liste d'images dans le registre à l'aide de la commande suivante :
az acr show --name registryname --query loginServer --output table
Définition d'une grappe Kubernetes
Créez une ressource de service Kubernetes à l'aide du portail Azure ou de CLI.
Pour obtenir la procédure détaillée à suivre pour créer une ressource de service Kubernetes dans Azure avec un nœud, reportez-vous à la section Créer un cluster AKS dans le guide de démarrage rapide Azure.
REMARQUE :
-
Veillez à sélectionner Azure CNI en tant que réseau.
-
Sélectionnez le réseau virtuel existant (sur lequel le serveur OpenText eDirectory est déployé dans le sous-réseau).
-
Sélectionnez le registre de conteneurs existant dans lequel l'image OpenText Identity Console est disponible.
Création d'une adresse IP publique SKU standard
Une ressource d'adresse IP publique sous le groupe de ressources de grappe Kubernetes fait office d'adresse IP d'équilibreur de charge pour l'application.
Pour obtenir la procédure détaillée, reportez-vous à l'article Créer une adresse IP publique à l'aide du portail Azure dans le guide Créer une adresse IP publique - Portail.
Configuration de Cloud Shell et connexion à la grappe Kubernetes
Utilisez Cloud Shell, disponible sur le portail Azure pour toutes les opérations.
Pour configurer Cloud Shell sur le portail Azure, reportez-vous à la section Démarrer Cloud Shell dans le guide Bash - Démarrage rapide ou procédez comme suit pour configurer Cloud Shell et vous connecter à la grappe Kubernetes :
-
Dans le portail Azure, cliquez sur le bouton
pour ouvrir Cloud Shell.REMARQUE :pour gérer une grappe Kubernetes, utilisez le client de ligne de commande Kubernetes, kubectl. kubectl est déjà installé si vous utilisez Azure Cloud Shell.
-
Configurez kubectl pour vous connecter à votre grappe Kubernetes à l'aide de la commande suivante :
az aks get-credentials --resource-group "resource group name" --name "Kubernetes cluster name"
Exemple :
az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
-
Vérifiez la liste des nœuds de la grappe à l'aide de la commande suivante :
kubectl get nodes
Déploiement de l'application
Pour déployer OpenText Identity Console, vous pouvez utiliser les exemples de fichiers idc-services.yaml , idc-statefulset.yaml, idc-storageclass.yaml et idc-pvc.yaml.
Vous pouvez également créer vos propres fichiers yaml selon vos besoins.
-
Créez une ressource de classe de stockage à l'aide de la commande suivante :
kubectl apply -f <location of the YAML file>
Exemple :
kubectl apply -f idc-storageclass.yaml
(Facultatif) Pour plus d'informations sur la création et l'utilisation dynamiques d'un volume de persistance avec un partage de fichiers Azure, reportez-vous à l'article Créer et utiliser un volume persistant de manière dynamique avec Azure Files dans Azure Kubernetes Service (AKS).
Voici un exemple de fichier de ressource de classe de stockage :
kind: StorageClass apiVersion: storage.k8s.io/v1 metadata: name: azurefilesc provisioner: kubernetes.io/azure-file mountOptions: - dir_mode=0777 - file_mode=0777 - uid=0 - gid=0 - mfsymlinks - cache=strict - actimeo=30 parameters: skuName: Standard_LRS shareName: fileshare ~
Une ressource de classe de stockage active le provisioning de stockage dynamique. Elle sert à définir la manière dont un partage de fichiers Azure est créé.
-
Consultez les détails de la classe de stockage à l'aide de la commande suivante :
kubectl get sc
-
Créez une ressource pvc à l'aide du fichier idc-pvc.yaml :
kubectl apply -f <location of the YAML file>
Exemple :
kubectl apply -f idc.pvc.yaml
Voici un exemple de fichier de ressource pvc :
apiVersion: v1 kind: PersistentVolumeClaim metadata: name: pvcforsc spec: accessModes: - ReadWriteMany storageClassName: azurefilesc resources: requests: storage: 5GiUne ressource de revendication de volume persistant crée le partage de fichiers. Une revendication de volume persistant (PVC) utilise l'objet Classe de stockage pour provisionner dynamiquement un partage de fichiers Azure.
-
Téléchargez edirapi.conf, le certificat CA et le certificat de serveur dans Cloud Shell.
Cliquez sur l'icône de
dans Cloud Shell et téléchargez les fichiers edirapi.conf, SSCert.pem et keys.pfx.REMARQUE :le fichier edirapi.conf contient un paramètre « origin » qui permet d'indiquer l'adresse IP à utiliser pour accéder à l'application OpenText Identity Console. (Utilisez l'adresse IP créée dans la section Création d'une adresse IP publique SKU standard.)
L'installation d'OpenText Identity Console nécessite un certificat de serveur (keys.pfx).
Lors de la création du certificat de serveur, veillez à fournir un nom DNS valide dans l'alias de l'objet.
Étapes de création d'un nom DNS valide :
Un pod standard déployé à l'aide de StatefulSet possède un nom DNS au format {nom_statefulset}-{ordinal}.{nom_service}.{espace_noms}.svc.cluster.local
-
Si le nom StatefulSet du fichier idconsole-statefulset.yaml est idconsole-app, nom_statefulset = idconsole-app.
-
S'il s'agit du 1er pod, ordinal = 0.
-
Si vous définissez nom_service dans le fichier idconsole-statefulset.yaml en tant que idconsole, nom_service = idconsole.
-
S'il s'agit de l'espace de noms par défaut, espace_noms = default.
Sortie : idconsole-app-0.idconsole.default.svc.cluster.local
-
-
Créez une ressource configmap dans la grappe Kubernetes qui stocke les fichiers de configuration avec les certificats.
Avant d'exécuter la commande, veillez à ce que les fichiers (edirapi.conf, SSCert.pem et keys.pfx) soient présents dans le répertoire.
kubectl create configmap <confgimapName> --from-file= "path where the files are present"
Exemple :
kubectl create configmap config-data --from-file=/data
-
Consultez les détails de l'objet configmap à l'aide de la commande kubectl describe :
kubectl describe configmap <configmapName>
Exemple :
kubectl describe configmap confg-data
-
Créez une ressource StatefulSet pour déployer le conteneur.
Exécutez la commande suivante pour déployer le conteneur :
kubectl apply -f <location of the YAML file>
Exemple :
kubectl apply -f idc-statefulset.yaml
Voici un exemple de fichier de ressource StatefulSet :
apiVersion: apps/v1 kind: StatefulSet metadata: name: idconsole-app spec: serviceName: idconsole selector: matchLabels: app: idconsole replicas: 1 template: metadata: labels: app: idconsole spec: containers: - name: idconsole-container image: registryname.azurecr.io/identityconsole:<version> env: - name: ACCEPT_EULA value: "Y" ports: - containerPort: 9000 volumeMounts: - name: configfiles mountPath: /config/data - name: datapersistenceandlog mountPath: /config subPath: log volumes: - name: configfiles configMap: name: config-data - name: datapersistenceandlog persistentVolumeClaim: claimName: pvcforsc -
Exécutez la commande suivante pour vérifier l'état du pod déployé :
kubectl get pods -o wide
-
Créez une ressource de service du type loadBalancer.
Le type de service spécifié dans le fichier yaml est loadBalancer.
Créez une ressource de service à l'aide de la commande suivante :
kubectl apply -f <location of the YAML file>
Exemple :
kubectl apply -f ids-service.yaml
Voici un exemple de fichier de ressource de service :
apiVersion: v1 kind: Service metadata: name: idconsole-service labels: run: idconsole-service spec: type: LoadBalancer loadBalancerIP: xx.xx.xx.xx selector: app: idconsole ports: - port: 9000 targetPort: 9000 protocol: TCPVérifiez l'adresse IP externe (ou loadBalancerIP) à l'aide de la commande suivante :
kubectl get svc -o wide
-
Lancez l'URL à l'aide de l'adresse IP externe (ou de l'adresse loadBalancerIP).
Exemple :
https://<adresse_IP_externe>:9000/identityconsole