Operator-Reconcile und Service-Zertifikate

1 Das Reconcile-Modell

Ein Operator führt nicht nur einmal Befehle aus. Er vergleicht fortlaufend Soll und Ist und korrigiert Abweichungen.

2 Cluster prüfen

Du brauchst einen angemeldeten Benutzer, der ein Projekt anlegen darf. Prüfe zuerst den ClusterOperator und seine Namespaces.

oc whoami
oc get co service-ca
oc get pods -n openshift-service-ca
oc get pods -n openshift-service-ca-operator

3 Sollzustand anlegen

Der Service fordert über eine Annotation ein Serving-Certificate an. Eine getrennte ConfigMap fordert das Trust-Bundle an.

oc new-project operator-reconcile-lab

@'
apiVersion: v1
kind: Service
metadata:
  name: echo-tls
  annotations:
    service.beta.openshift.io/serving-cert-secret-name: echo-tls
spec:
  selector:
    app: echo
  ports:
    - name: https
      port: 8443
      targetPort: 8443
---
apiVersion: v1
kind: ConfigMap
metadata:
  name: service-ca-bundle
  annotations:
    service.beta.openshift.io/inject-cabundle: "true"
'@ | oc apply -f -

oc new-project operator-reconcile-lab

oc apply -f - <<'EOF'
apiVersion: v1
kind: Service
metadata:
  name: echo-tls
  annotations:
    service.beta.openshift.io/serving-cert-secret-name: echo-tls
spec:
  selector:
    app: echo
  ports:
    - name: https
      port: 8443
      targetPort: 8443
---
apiVersion: v1
kind: ConfigMap
metadata:
  name: service-ca-bundle
  annotations:
    service.beta.openshift.io/inject-cabundle: "true"
EOF

Für die Zertifikaterzeugung muss hinter dem Service noch kein Pod laufen. Der leere Selector ist für dieses Lab in Ordnung. Echte TLS-Verbindungen benötigen später natürlich einen Endpoint und einen Prozess, der tls.crt und tls.key einliest.

4 Ergebnis lesen

Aus zwei Annotationen entstehen zwei verwaltete Ergebnisse. Lies Metadaten und Schlüssel, aber gib den privaten Schlüssel nicht aus.

oc get service,secret,configmap -n operator-reconcile-lab
oc describe secret echo-tls -n operator-reconcile-lab
oc get configmap service-ca-bundle -n operator-reconcile-lab -o yaml
oc get service echo-tls -n operator-reconcile-lab -o yaml

Das Zertifikat ist für den internen Servicenamen gedacht, zum Beispiel echo-tls.operator-reconcile-lab.svc. Die CA-ConfigMap kommt in den Client-Pod. Das TLS-Secret wird in den Server-Pod gemountet.

5 Drift erzeugen und Rotation beobachten

Das Secret ist abgeleiteter Ist-Zustand. Löschen ist hier eine kontrollierte Störung und löst eine neue Abstimmung aus.

Terminal 1: beobachten

oc get secret echo-tls -n operator-reconcile-lab --watch

Terminal 2: UID merken und Secret löschen

$before = oc get secret echo-tls -n operator-reconcile-lab -o jsonpath='{.metadata.uid}'
oc delete secret echo-tls -n operator-reconcile-lab
for ($i = 0; $i -lt 60; $i++) {
  $after = oc get secret echo-tls -n operator-reconcile-lab -o jsonpath='{.metadata.uid}' 2>$null
  if ($LASTEXITCODE -eq 0 -and $after) { break }
  Start-Sleep -Seconds 1
}
if (-not $after) { throw "Secret wurde nicht innerhalb von 60 Sekunden neu erzeugt." }
"vorher: $before"
"nachher: $after"

before=$(oc get secret echo-tls -n operator-reconcile-lab -o jsonpath='{.metadata.uid}')
oc delete secret echo-tls -n operator-reconcile-lab
after=''
for i in $(seq 1 60); do
  after=$(oc get secret echo-tls -n operator-reconcile-lab -o jsonpath='{.metadata.uid}' 2>/dev/null) && break
  sleep 1
done
test -n "$after" || { echo 'Secret wurde nicht innerhalb von 60 Sekunden neu erzeugt.' >&2; exit 1; }
printf 'vorher: %s\nnachher: %s\n' "$before" "$after"

6 Vom Ergebnis zum Controller zurückverfolgen

Status, Events und Logs beantworten drei verschiedene Fragen: Ist der ClusterOperator gesund? Was geschah im Projekt? Was meldet der Controller selbst?

oc get co service-ca -o yaml
oc get events -n operator-reconcile-lab --sort-by=.lastTimestamp
oc get deploy,pods -n openshift-service-ca
oc logs -n openshift-service-ca deployment/service-ca --since=10m

Falls der Deployment-Name in deiner Version abweicht, zuerst mit oc get deploy -n openshift-service-ca ermitteln und dann an oc logs deployment/<name> übergeben.

7 Optional: eine echte Custom Resource

Nur ausführen, wenn OpenShift GitOps bereits installiert ist. Dieser Teil kann auf einer kleinen SNO zusätzliche CPU und RAM belegen.

Die Installation des Operators steht in Einen Operator installieren mit OLM. Prüfe anschließend API und Schema, statt eine Version blind anzunehmen:

oc api-resources | Select-String -Pattern 'argocd'
oc explain argocd
oc explain argocd.spec.server.route

oc api-resources | grep -i argocd
oc explain argocd
oc explain argocd.spec.server.route

Wenn argocds.argoproj.io vorhanden ist und oc explain die Felder bestätigt, lege eine minimale CR an:

oc new-project argocd-reconcile-lab

@'
apiVersion: argoproj.io/v1beta1
kind: ArgoCD
metadata:
  name: lab
  namespace: argocd-reconcile-lab
spec:
  server:
    route:
      enabled: false
'@ | oc apply -f -

oc get argocd lab -n argocd-reconcile-lab -o yaml
oc get deploy,pods,service -n argocd-reconcile-lab --watch

Hier ist die ArgoCD-CR der Sollzustand. Der GitOps-Operator erzeugt daraus Deployments, Pods, Services, Secrets und Statusbedingungen. Vergleiche metadata.generation mit status und prüfe die ownerReferences eines erzeugten Objekts.

oc get argocd lab -n argocd-reconcile-lab -o jsonpath='{.metadata.generation}{"\n"}{.status}{"\n"}'
oc get deployment -n argocd-reconcile-lab -o yaml

8 Grenzen und typische Fallen

9 Sauber aufräumen

Beide Labs sind in eigenen Projekten isoliert. Das Löschen der Projekte entfernt ihre erzeugten Ressourcen.

oc delete project operator-reconcile-lab

# nur falls der optionale ArgoCD-Teil ausgeführt wurde:
oc delete project argocd-reconcile-lab

Der OpenShift-GitOps-Operator selbst bleibt installiert. Wenn du auch ihn entfernen möchtest, folge dem Aufräumabschnitt der OLM-Anleitung.

10 Lernkontrolle