2.5.6　Mediator選択機能用ロールおよびロールバインディングのKubernetesマニフェストの作成

次に示す要件を満たすように、Mediator選択機能用ロールおよびロールバインディングのKubernetesマニフェストを作成してください。

このロールおよびロールバインディングを使用することで、対象コンテナがMediator選択機能に必要なKubernetesオブジェクトにアクセスできるようにします。

Mediator選択機能用ロールおよびロールバインディングのKubernetesマニフェストの作成要領を次に示します。

＜ロールの作成要領＞

• リソースの種類(.kindフィールド)は、ClusterRoleリソースを指定してください。

• ロールの名称（.metadata.nameフィールド）に、ユーザ任意の名称を指定してください。

• ロールのルール（.rulesフィールド）に、次のとおり指定してください。

  • APIグループ（apiGroups）

    空（コアグループ）

  • リソース（resources）

    services、endpoints

  • アクセス許可（verbs）

    get、list、watch

＜ロールバインディングの作成要領＞

• リソースの種類(.kindフィールド)は、ClusterRoleBindingリソースを指定してください。

• ロールバインディングの名称（.metadata.nameフィールド）に、ユーザ任意の名称を指定してください。

• バインドするロール（.roleRefフィールド）は、次のとおり指定してください。

  • .roleRef.apiGroupフィールドに、「rbac.authorization.k8s.io」を指定してください。

  • .roleRef.kindフィールドに、「ClusterRole」を指定してください。

  • .roleRef.nameフィールドに、ロールで指定したロールの名称を指定してください。

• バインドする対象物（.subjectsフィールド）は、次のとおり指定してください。

  • リストの要素数はOrchestrator、Entity-Service、Participantと同じ数にします。

  • .subjects[].kindフィールドに、「ServiceAccount」を指定してください。

  • .subjects[].nameフィールドに、Orchestrator、Entity-Service、ParticipantのServiceAccountリソースの.metadata.nameフィールドに指定した名称を指定してください。

  • .subjects[].namespaceフィールドに、Orchestrator、Entity-Service、ParticipantのServiceAccountリソースの.metadata.namespaceフィールドに指定したNamespaceを指定してください。

Mediator選択機能用ロールおよびロールバインディングのKubernetesマニフェストの記述例を次に示します。

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: lb-role
rules:
- apiGroups:
  - ""
  resources:
  - services
  - endpoints
  verbs:
  - get
  - list
  - watch
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: lb-role-binding
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: lb-role
subjects:
- kind: ServiceAccount
  name: orchestrator-service-account
  namespace: my-namespace
- kind: ServiceAccount
  name: entity-service-service-account
  namespace: my-namespace
- kind: ServiceAccount
  name: sql-participant-service-account※
  namespace: my-namespace

注※

SQL-Participantを使用する場合の例を記述しています。TCC-Participantを使用する場合は次の記述に置き換えてください。

name: tcc-participant-service-account

ページの先頭へ