設定 IBM Transformation Advisor

CASE インストーラーの構成

インストール・アクションのオプション:

oc ibm-pak launch \
    $CASE_NAME \
    --version $CASE_VERSION \
    --inventory v2InstallProduct \
    --namespace $TA_PROJECT \
    --action install \
    --args "[OPTIONS]"
 

--licenseType <true|false>          : REQUIRED: Must be used and set to a valid license type.
--acceptLicense <true|false>        : REQUIRED: Must be used and set to true to proceed with install.
--installIbmCatalog <true|false>    : OPTIONAL: If set to true, the IBM operator catalog will be installed if it is not already. Default is false.
--secret <secret>                   : OPTIONAL: Specify a secret to use to pull the Tranformation Advisor images from entitle registry.
--registry <registry>               : OPTIONAL: Specified entitled registry, e.g. cp.icr.io.
--user <user>                       : OPTIONAL: Specify user to access the entitled registry.
--pass <password>                   : OPTIONAL: Specify password for user to access entitled registry.
--persistence <true|false>          : OPTIONAL: If persistence is required for Transformation Advisor (Default is true).
--accessMode <accessMode>           : OPTIONAL: storage accessMode. Default is ReadWriteOnce.
--persistenceClaimCouchDB <claim>   : OPTIONAL: Use an existing persistence claim for CouchDB.
--persistenceClaimNeo4j <claim>     : OPTIONAL: Use an existing persistence claim for Neo4j.
--storageClass <storage class>      : OPTIONAL: Recommended way use persistence with Transformation Advisor. Specify a valid storage class to use.
--supplementalGroups [gid,...]      : OPTIONAL: May be used if using file system based storage to ensure database container has read/write permission for the storage.
--hostName <hostname>               : OPTIONAL: hostname to access cluster. Transformation Advisor will discover and set this value. It should not need to be changed for most environments.
--apiEndpoint <apiEndpoint>         : OPTIONAL: API url for the cluster. Transformation Advisor will discover and set this value. It should not need to be changed for most environments.
--authIssuerEndpoint <aiEndpoint>   : OPTIONAL: Auth issuer endpoint for the cluster. Transformation Advisor will discover and set this value. It should not need to be changed for most environments.
--publicUrlServer                   : OPTIONAL: See docs for more information. Transformation Advisor will discover and set this value. It should not need to be changed for most environments.
--publicUrlUI                       : OPTIONAL: See docs for more information. Transformation Advisor will discover and set this value. It should not need to be changed for most environments.
--customCACert <file path>          : OPTIONAL: Specify file to use as custom CA cert.
--authConfigFile <file path>        : OPTIONAL: Specify file to use to configure third party authentication.
--namespaceScoped <true|false>      : OPTIONAL: If ommitted, defaults to false. This will make the operator to be insalled into openshift-operators namespace and manage all the namespaces, operand will go into namespace specified by --namespace attribute. If set to true, operator and operand are installed into namespace specified by --namespace attribute.
--taHelp                            : OPTIONAL: Display options available
 

アンインストール・アクションのオプション:

oc ibm-pak launch \
    $CASE_NAME \
    --version $CASE_VERSION \
    --case ibm-transadv \
    --inventory v2InstallProduct \
    --namespace $TA_PROJECT \
    --action uninstall \
    --args "[OPTIONS]"
 

--uninstallIbmCatalog <true|false>    : OPTIONAL: If set to true, the IBM operator catalog will be uninstalled. Default is false.
--uninstallTaCatalog <true|false>     : OPTIONAL: If set to true, the IBM operator catalog will be uninstalled. Default is false.
 

サードパーティ認証を設定する

サードパーティ OAuthClient を更新するか OAuthApp

URL リダイレクト OAuthClient または OAuthApp を許可するように設定する必要があります。 Transformation Advisor UIルートにリダイレクトできるように設定する必要があります。

リダイレクトURLは'your-ta-ui-route/auth/callback

例えば、 https://ta.apps.ken.cp.fyre.ibm.com/auth/callback、 https://ta.apps.ken.cp.fyre.ibm.com は Transformation Advisor UIルートです。

このルートはOCP UIのナビゲーションから取得できます： 'Networking -> Routes -> ta-ui-route -> Location

MFA の構成

多要素認証（MFA）を Red Hat OpenShift Container Platform と統合することで、パスワード、ワンタイムパスコード（OTP）、その他サポートされている認証要素など、複数の方法による本人確認をユーザーに要求し、セキュリティを強化します。 Red Hat OpenShift はネイティブにMFAを実施しない。 詳細については、 OpenShift 4 の認証に多要素認証を統合する方法を参照してください。

クライアント ID と秘密鍵

その前に Transformation Advisor3.4.0 の前に、 OAuthClient's または OAuthApp's のクライアントIDとシークレットを更新する必要があります。 Transformation Advisorauthentication.oidc.clientId authentication.oidc.clientSecretを更新する必要があります。

Transformation Advisor3.4.0 をインストールする前に、クライアントIDとクライアントシークレットをシークレット transformation-advisor-secret 。 Transformation Advisor. 以下にコマンドを示します。

oc create secret generic transformation-advisor-secret \
--from-literal=clientId=your-clientId-value \
--from-literal=clientSecret=your-clientSecret-value
 

あるいは、以下のインストール後にシークレットを更新することもできる。 Transformation Advisor. 以下にコマンドを示します。

oc patch secret transformation-advisor-secret \
-p '{"data":{"'"clientId"'": "'"your-clientId-value"'", "'"clientSecret"'": "'"your-clientSecret-value"'"}}' --type=merge
 

その後、 Server ポッドと UI ポッドを削除して、新しいシークレット値をポッドに適用できるようにする必要があるかもしれません。

イグレス・ネットワーク・ポリシーの更新

サードパーティ認証の設定 - UIインストール

IAM

Transformation Advisor は、認証ソースとして IBM Identity and Access Management (IAM) を使用するように構成できる。

1. OpenID Connect (OIDC)の登録をこちらの手順に従って行ってください： https://www.ibm.com/docs/en/cpfs?topic=sign-automated-client-registration-method-3

2. ステップ1のプロセスに従い、 clientId と clientSecret を含むシークレットが作成される。 clientId と clientSecret を Transformation Advisorauthentication.ocp.secretNameを追加する。

3. 以下のように Transformation Advisor 以下のように設定値を更新する：

      description: "IAM"
      identityRequestEndpoint: "https://cp-console.<OCP domain>:443"
      identityRequestEndpointPath: "/idprovider/v1/auth/authorize"
      identityRequestEndpointScope: "openid+profile+email"
      identityRequestEndpointStatePrefix: ""
      tokenRequestEndpoint: "https://cp-console.<OCP domain>:443"
      tokenRequestEndpointPath: "/idprovider/v1/auth/token"
      tokenVerificationEndpoint: "https://cp-console.<OCP domain>:443"
      tokenVerificationEndpointPath: "/idprovider/v1/auth/userInfo"
 

GitHub OAuth

以下は、Github OAuth を使用するために thirdparty 構成オブジェクトで必要な構成の例です。

      description: "github"
      identityRequestEndpoint: "https://github.com"
      identityRequestEndpointPath: "/login/oauth/authorize"
      identityRequestEndpointScope: "openid+offline"
      identityRequestEndpointStatePrefix: ""
      tokenRequestEndpoint: "https://github.com"
      tokenRequestEndpointPath: "/login/oauth/access_token"
      tokenVerificationEndpoint: "https://api.github.com"
      tokenVerificationEndpointPath: "/user"
 

ボックスOAuth

以下は、Box OAuth を使用するために thirdparty 構成オブジェクトで必要な構成の例です。

      description: "box"
      identityRequestEndpoint: "https://account.box.com"
      identityRequestEndpointPath: "/api/oauth2/authorize"
      identityRequestEndpointScope: "root_readonly"
      identityRequestEndpointStatePrefix: ""
      tokenRequestEndpoint: "https://api.box.com"
      tokenRequestEndpointPath: "/oauth2/token"
      tokenVerificationEndpoint: "https://api.box.com"
      tokenVerificationEndpointPath: "/2.0/users/me"
 

サードパーティ認証の設定 - CASE インストール

CASE install アクションで、 --authConfigFile オプションを使用してサードパーティ認証設定ファイルを指定する。

以下は、 GitHub OAuthを使用したファイルの例である：

ファイルのフォーマットを変更しないでください。

# set to true to disable authentication on UI server
TA_AUTH_UI_DISABLED=false
# set to true to disable authentication on Liberty server
TA_AUTH_LIBERTY_DISABLED=false

# OAuth2 Server client id
TA_AUTH_OIDC_CLIENT_ID=xxx
# OAuth2 Server client secret
TA_AUTH_OIDC_CLIENT_SECRET=xxx

# endpoint to request identity of the OAuth2 Server, no tailing /
TA_AUTH_IDENTITY_REQUEST_ENDPOINT=https://github.com
# path of the endpoint to request identity to OAuth2 Server, with heading /
TA_AUTH_IDENTITY_REQUEST_ENDPOINT_PATH=/login/oauth/authorize
# OAuth2 scope
TA_AUTH_IDENTITY_REQUEST_ENDPOINT_SCOPE=openid+offline
# some OAuth2 state requires minimum length, default to empty
TA_AUTH_CALLBACK_STATE_PREFIX_PADDING=

# endpoint to request token of the OAuth2 Server, no tailing /
TA_AUTH_TOKEN_REQUEST_ENDPOINT=https://github.com
# path of the endpoint to request token of the OAuth2 Server, with heading /
TA_AUTH_TOKEN_REQUEST_ENDPOINT_PATH=/login/oauth/access_token

# endpoint to verify tokens of the OAuth2 Server, no tailing /
TA_AUTH_TOKEN_VERIFICATION_ENDPOINT=https://api.github.com
# path to the endpoint to verify tokens of the OAuth2 Server, with heading /
TA_AUTH_TOKEN_VERIFICATION_ENDPOINT_PATH=/user
 

Bring Your Own Key (BYOK) の有効化

内部TLSに使用する証明書（このセクションの残りの部分ではcertと呼ぶ）と鍵は自分で用意することができる。

次のような場合を想定します。

1. 公開証明書は public.crt で、秘密鍵は private.pem。
2. Transformation Advisor は、 ta ネームスペースにインストールされているか、インストールされる予定である。

証明書と鍵のペアを取得する方法の例を以下に示します。独自の証明書と鍵も同じ形式になります。

openssl req -newkey rsa:2048 -nodes -keyout private.pem -x509 -days 730 -out public.crt -subj "/C=IE/ST=Cork/L=Cork/O=IBM/CN=internal.ta.ibm.com" -addext "subjectAltName=DNS:ta-couchdb.<namespace>.svc,DNS:*.ta-couchdb.<namespace>.svc,DNS:*.ta-couchdb.<namespace>.svc.cluster.local,DNS:ta-couchdb.<namespace>.svc.cluster.local
 

独自の証明書と鍵のペアを取得したら、以下の手順に従って証明書と鍵を有効化します。

1. ta ネームスペースに切り替えるか、インストールしていなければ作成する。 Transformation Advisor.

      # switch the project
      oc project ta
    

   または

      # create ta ns if it's not already there
      oc create ns ta
    

2. を削除する。 Transformation Advisor 秘密 transformation-advisor-secret が存在すれば、それを削除する。

   oc delete secret transformation-advisor-secret
    

3. CASE インストーラーを使用してインストールする場合は、 --customCACert <public.crt> を渡します。ここで、 <public.crt> は public.crt ファイルの絶対パスです。

   OpenShift UI を使用してインストールする場合は、カスタム・リソース YAML 内の caCert プロパティーを更新します。 UIからカスタムリソースYAMLにアクセスする詳細については、 インストールを参照してください。

   カスタム・リソース YAML 内の caCert の例を以下に示します。

         tls:
           enabled: true
           caCert: |
             -----BEGIN CERTIFICATE-----
             MIIDKjCCAhICCQCjbqTC95dw+jANBgkqhkiG9w0BAQsFADBXMQswCQYDVQQGEwJJ
             RTENMAsGA1UECAwEQ29yazENMAsGA1UEBwwEQ29yazEMMAoGA1UECgwDSUJNMRww
             GgYDVQQDDBNpbnRlcm5hbC50YS5pYm0uY29tMB4XDTIwMDEyMDEzMjkxMVoXDTIy
             MDExOTEzMjkxMVowVzELMAkGA1UEBhMCSUUxDTALBgNVBAgMBENvcmsxDTALBgNV
             BAcMBENvcmsxDDAKBgNVBAoMA0lCTTEcMBoGA1UEAwwTaW50ZXJuYWwudGEuaWJt
             LmNvbTCCASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBAKMIGfSptUnimmxZ
             IdVK6uLscJQetel+MX7u4viIaBwdd/IGDE7GHDHEYYFmEfv+gYbVT1+EAkdiLtHG
             SutUMPxpbUyv1xCW+9z3nDInHKzZxHMJJwB5j4+oVq+XkdXzZu2hwuoc0aA7Ek3r
             L6FFPIQi9bcmayuOa7HRpH43+86JuJF8tcx1MrDxWzBJraZNuvDVLs574qr/eM2d
             x5N+qkJqwOy94k0eH+x7kAKRp6vBEcVR+I/HHYDZSnC4UNEX8I/NbCS3wMUXysC9
             lcC2vsIKrCRSn9Fu/ixWwlGy6QV1my4H6ZPtvJV56fcS42523KTDbT628Xa9B3/p
             cX0WZWMCAwEAATANBgkqhkiG9w0BAQsFAAOCAQEADIyp9A4p46DZ6brEbL0e+wWf
             bnnymf1QZWcz4xrrMW2CcKBmRqFIPFPBpSEbCKlsFaZex5863z7dsa5SU7fHRdHF
             Yk9t8mGu2B+yZF6nW4biPmezaDLPi9VUomxcd+/rxWKhZJIufWXxs22AOhNQHeeK
             PSjP8RPCh1Gny7kC3jUz1Q/wd4QF/OGeu+Xf5jhERpJPfjKMtPMPJPGiPYSqhYQM
             VA6G83nZVlPDtnFJ28AzZU2/YtvCzhU66Ua5PjbSG1w6QsXZt/lE3E9utcJ+MNQi
             3JwrLp4/97cupXsGmPPmkvH50LB8ex/N/ra6QOLGLm0gU218yXu7KezOfZNkTw==
             -----END CERTIFICATE-----
    

   手動でコピーして、所定の場所にペーストできます。 インデントが重要であることを忘れないでほしい。 証明書の各行には、caCert の行よりも 2 つ多くスペースが入ります。

4. 秘密を再現する Transformation Advisor 秘密

       # create key.p12
       openssl pkcs12 -export -inkey private.pem -in public.crt -name default -out key.p12 -passout pass:plain-text-password
   
       # base64 encode private.pem and public.crt
       base64 -w 0 ./private.pem > private-base64
       base64 -w 0 ./public.crt > public-base64
       # on Mac
       # base64 ./private.pem > private-base64
       # base64 ./public.crt > public-base64
   
       # create key and initial vector for AES-CBC-256 (P)
       # key length for aes256 is 256 bits around 32 characters
       TA_TEMP_KEY=`LC_CTYPE=C tr -dc A-Za-z0-9_ < /dev/urandom | head -c 32 | xargs`
       # key length for aes256 is 128 bits around 16 characters
       TA_TEMP_IV=`LC_CTYPE=C tr -dc A-Za-z0-9_ < /dev/urandom | head -c 16 | xargs`
   
       # create transformation-advisor-secret
       oc create secret generic transformation-advisor-secret \
       --from-literal=db_username='plain-text-username' --from-literal=secret='plain-text-password' \
       --from-file=ta_public_key=./public-base64 --from-file=ta_private_key=./private-base64 \
       --from-literal=ta_aes_key=$TA_TEMP_KEY --from-literal=ta_aes_iv=$TA_TEMP_IV \
       --from-file=key.p12=key.p12
    

これで、インストールを進めることができます。

イメージ・プル・シークレットを作成し、権利のあるレジストリ・イメージをプルする

のサポートを利用するためには Transformation Advisor これは、Image Pull Secretを作成し、インストール時にそのレジストリを指定することで行います。 秘密の名前は ibm-entitlement-key でなければならない。 シークレットは、製品インスタンスがインストールされているのと同じネームスペース、またはグローバルに作成する必要があります。

詳しくは、 Image Registry Images Accessのドキュメントを参照してください。 以下は、インスタンス設定ページからシークレットを指定する方法です。 Transformation Advisor インスタンス設定ページから

couchdb:
  imagePullSecret: ibm-entitlement-key

neo4j:
  imagePullSecret: ibm-entitlement-key
  
transadv:
  imagePullSecret: ibm-entitlement-key

transadvui:
  imagePullSecret: ibm-entitlement-key
 

にアクセスするための認証情報を提供する。 Transformation Advisor 内部DBの

Transformation Advisor 初回インストール時に、内部DB ( CouchDB と Neo4j ) と通信するためのランダムな認証情報を作成します。

ただし、この目的のために独自のクレデンシャルを提供することは可能である。

認証情報は、 Kubernetes secret （デフォルトでは transformation-advisor-secret ）オブジェクトに格納される：

TA_TEMP_KEY=`LC_CTYPE=C tr -dc A-Za-z0-9_ < /dev/urandom | head -c 32 | xargs`
TA_TEMP_IV=`LC_CTYPE=C tr -dc A-Za-z0-9_ < /dev/urandom | head -c 16 | xargs`

oc -n <YOUR_TA_INSTANCE_NAMESPACE> create secret generic <YOUR_SECRET_NAME> \
  --from-literal=db_username=<YOUR_COUCHDB_USERNAME> \
  --from-literal=secret=<YOUR_COUCHDB_PASSWORD> \
  --from-literal=db_nonadmin_user=<YOUR_COUCHDB_NONADMIN_USERNAME> \
  --from-literal=db_nonadmin_secret=<YOUR_COUCHDB_NONADMIN_PASSWORD> \
  --from-literal=neo4j_username=<YOUR_NEO4J_USERNAME> \
  --from-literal=neo4j_secret=<YOUR_NEO4J_PASSWORD> \
  --from-literal=neo4j_auth=neo4j/<YOUR_NEO4J_PASSWORD>
 

public-base64 と private-base64 ファイルの作成方法については、本書の Re-create the TA secret セクションをお読みください。

シークレットネームは、インスタンスのインストール時に Transformation Advisor インスタンスのインストール時に提供することができます： .authentication.ocp.secretName

暗号スイートとTLSバージョンの編集

Neo4j、UIコンテナには自動的に暗号スイートが設定される。

Server と CouchDB コンテナについては、インストール時にこれらの変数を変更することで、手動で設定することができる： couchdb.security.cipherSuites と transadv.security.cipherSuites。

前の表でデフォルト値を調べる。 空白で区切られた文字列を追加する。

同様に、TLSバージョンは CouchDB コンテナに対して手動で設定できる。 そのための変数は「couchdb.security.tlsVersionsである。 デフォルト値については前の表を参照のこと。