先日のブログで IBM Cloud の VPC（Virtual Private Cloud : 仮想プライベートクラウド）上に OpenShift クラスタ環境を構築する手順を紹介しました：
IBM Cloud の VPC(Virtual Private Cloud) でプライベート OpenShift クラスタ環境を構築する
↑で紹介した内容は完全にインターネットと断絶したプライベートクラウドではなく、「プライベートクラウド側からインターネット側へのアクセスは許す」というものでした。デプロイ時に GitHub や DockerHub などを参照する場合はこのような設定になるので（それも許さない場合はこれらに相当する機能も VPC 内に用意する必要があるため）そこまで珍しい構成ではないと思っています。
今回紹介するのはもう１段階緩めのプライベートクラウドと言えるもので、「デプロイしたアプリはパブリックインターネットから利用できるようにする」というものです。OpenShift クラスタのウェブコンソールや oc CLI コマンドの利用は VPC 必須としたたま、コンテナとしてデプロイしたアプリはインターネットからでも利用可能にする、という設計です。OpenShift の管理者機能のみを VPC 内に入れ（VPN 必須として）、クラスタにデプロイしたアプリケーションについては利用制約を設けないというもので、これも現実的には珍しくないプライベートクラウド環境であると思っています。
【構築手順】
この環境を作る上で、まずは前回紹介した VPC での OpenShift 環境が必要です。こちらの内容を参照して仮想プライベートクラウド内に OpenShift クラスタを構築しておいてください：
IBM Cloud の VPC(Virtual Private Cloud) でプライベート OpenShift クラスタ環境を構築する
ここまでの環境準備ができ、かつ構築した VPN 接続ができている前提で以下を説明します。改めて IBM Cloud ダッシュボードにログインし、作成した OpenShift クラスタを表示します：
この画面の "OpenShift Web コンソール" ボタンをクリックしてコンソール画面を表示します（VPN 接続していないとエラーになります）：
OpenShift ウェブコンソール画面が表示されたら右上の ID 部分をクリックし「ログインコマンドのコピー」を選択します：
"Display Token" をクリックすると oc CLI でのログインコマンドが表示されます。"oc login" で始まるコマンドを確認します：
ここまでできたら CLI で IBM Cloud (ibmcloud)および OpenShift (oc)環境にログインします：
ログイン後、まずはドメイン名を調べます。以下のコマンドを入力します：
実行結果の "Subdomain" 欄（上図では "kkimura-mycluster-jp-tok2-6fe57c7eaf38abe6232341d97eae54c0-i000.jp-tok.containers.appdomain.cloud）を確認します。これが IBM Cloud から割り振られたドメイン名です。途中 i000 となっている部分がプライベートドメインであることを意味しています（i00x がプライベート、000x がパブリック）。パブリック用にこの x を１つカウントアップして（i000 -> 0001 として）以下のような IngressController 作成用 yaml ファイル（ingresscontroller-0001.yaml）を作成します：
そしてこれを実行します：
成功すると router-public という Pod が作成されているはずです：
この時、裏側でパブリックロードバランサーが作成されています。ロードバランサーのホスト名を確認します。結果の EXTERNAL-IP（下の場合であれば "b881dcc5-jp-tok-lb.appdomain.cloud）が確認できます：
パブリック用ドメイン名とロードバランサーのホスト名を紐づけて DNS 登録します：
サービスをパブリックルーターで公開します。--hostname には 0001 のドメイン名に任意のサブドメインを指定します：
これでパブリッククラウドへの公開ができたはずです。VPN 接続を切ってから curl やウェブブラウザ等で --hostname に指定したホストに HTTP アクセスし、正しくアクセスできることを確認します：
（VPN 接続してプライベートアクセスした場合）
（VPN 接続を切ってからパブリックアクセスした場合）
プライベートネットワークにデプロイしてアプリケーションがパブリックインターネット経由でもアクセスできるようになりました。今回紹介した内容はパブリックインターネットから HTTP でアクセスする例でしたが、HTTPS でアクセスする場合の方法は別の機会に紹介するつもりです。
（参照）
IBM Cloud の VPC(Virtual Private Cloud) でプライベート OpenShift クラスタ環境を構築する
↑で紹介した内容は完全にインターネットと断絶したプライベートクラウドではなく、「プライベートクラウド側からインターネット側へのアクセスは許す」というものでした。デプロイ時に GitHub や DockerHub などを参照する場合はこのような設定になるので（それも許さない場合はこれらに相当する機能も VPC 内に用意する必要があるため）そこまで珍しい構成ではないと思っています。
今回紹介するのはもう１段階緩めのプライベートクラウドと言えるもので、「デプロイしたアプリはパブリックインターネットから利用できるようにする」というものです。OpenShift クラスタのウェブコンソールや oc CLI コマンドの利用は VPC 必須としたたま、コンテナとしてデプロイしたアプリはインターネットからでも利用可能にする、という設計です。OpenShift の管理者機能のみを VPC 内に入れ（VPN 必須として）、クラスタにデプロイしたアプリケーションについては利用制約を設けないというもので、これも現実的には珍しくないプライベートクラウド環境であると思っています。
【構築手順】
この環境を作る上で、まずは前回紹介した VPC での OpenShift 環境が必要です。こちらの内容を参照して仮想プライベートクラウド内に OpenShift クラスタを構築しておいてください：
IBM Cloud の VPC(Virtual Private Cloud) でプライベート OpenShift クラスタ環境を構築する
ここまでの環境準備ができ、かつ構築した VPN 接続ができている前提で以下を説明します。改めて IBM Cloud ダッシュボードにログインし、作成した OpenShift クラスタを表示します：
この画面の "OpenShift Web コンソール" ボタンをクリックしてコンソール画面を表示します（VPN 接続していないとエラーになります）：
OpenShift ウェブコンソール画面が表示されたら右上の ID 部分をクリックし「ログインコマンドのコピー」を選択します：
"Display Token" をクリックすると oc CLI でのログインコマンドが表示されます。"oc login" で始まるコマンドを確認します：
ここまでできたら CLI で IBM Cloud (ibmcloud)および OpenShift (oc)環境にログインします：
$ ibmcloud login $ oc login --token=sha256xxxxx（↑で確認したコマンド）
ログイン後、まずはドメイン名を調べます。以下のコマンドを入力します：
$ ibmcloud oc nlb-dns ls -c （OpenShift クラスタ名）
実行結果の "Subdomain" 欄（上図では "kkimura-mycluster-jp-tok2-6fe57c7eaf38abe6232341d97eae54c0-i000.jp-tok.containers.appdomain.cloud）を確認します。これが IBM Cloud から割り振られたドメイン名です。途中 i000 となっている部分がプライベートドメインであることを意味しています（i00x がプライベート、000x がパブリック）。パブリック用にこの x を１つカウントアップして（i000 -> 0001 として）以下のような IngressController 作成用 yaml ファイル（ingresscontroller-0001.yaml）を作成します：
(ingresscontroller-i001.yaml)
apiVersion: operator.openshift.io/v1
kind: IngressController
metadata:
name: public
namespace: openshift-ingress-operator
spec:
replicas: 2
domain: kkimura-mycluster-jp-tok2-6fe57c7eaf38abe6232341d97eae54c0-0001.jp-tok.containers.appdomain.cloud
endpointPublishingStrategy:
loadBalancer:
scope: External
type: LoadBalancerService
そしてこれを実行します：
$ oc create -f ingresscontroller-0001.yaml
成功すると router-public という Pod が作成されているはずです：
$ oc get pods -n openshift-ingress
NAME READY STATUS RESTARTS AGE router-default-58cb7bcc6-6nmtv 1/1 Running 0 6h28m router-default-58cb7bcc6-mxlkd 1/1 Running 0 6h28m router-public-55cf9586d-5qwkv 1/1 Running 0 77s router-public-55cf9586d-bqnv6 1/1 Running 0 77s
この時、裏側でパブリックロードバランサーが作成されています。ロードバランサーのホスト名を確認します。結果の EXTERNAL-IP（下の場合であれば "b881dcc5-jp-tok-lb.appdomain.cloud）が確認できます：
$ oc get svc/router-public -n openshift-ingress
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
router-public LoadBalancer 172.21.233.58 b881dcc5-jp-tok.lb.appdomain.cloud 80:31920/TCP,443:32264/TCP 3m17s
パブリック用ドメイン名とロードバランサーのホスト名を紐づけて DNS 登録します：
$ ibmcloud oc nlb-dns create vpc-gen2 -c kkimura-mycluster-jp-tok2 --lb-host b881dcc5-jp-tok.lb.appdomain.cloud --type public --secret-namespace openshift-ingress
$ ibmcloud oc nlb-dns ls -c kkimura-mycluster-jp-tok2
OK
Subdomain
Target(s) SSL Cert Status SSL Cert Secret Name Secret Namespace Status
kkimura-mycluster-jp-tok2-6fe57c7eaf38abe6232341d97eae54c0-0001.jp-tok.containers.appdomain.cloud b881dcc5-jp-tok.lb.appdomain.cloud creating kkimura-mycluster-jp-tok2-6fe57c7eaf38abe6232341d97eae54c0-0001 openshift-ingress OK
kkimura-mycluster-jp-tok2-6fe57c7eaf38abe6232341d97eae54c0-i000.jp-tok.containers.appdomain.cloud 57a0f594-jp-tok.lb.appdomain.cloud created kkimura-mycluster-jp-tok2-6fe57c7eaf38abe6232341d97eae54c0-i000 openshift-ingress OK
サービスをパブリックルーターで公開します。--hostname には 0001 のドメイン名に任意のサブドメインを指定します：
$ oc expose svc/hostname --name hostname-public --hostname hostname.kkimura-mycluster-jp-tok2-6fe57c7eaf38abe6232341d97eae54c0-0001.jp-tok.containers.appdomain.cloud
これでパブリッククラウドへの公開ができたはずです。VPN 接続を切ってから curl やウェブブラウザ等で --hostname に指定したホストに HTTP アクセスし、正しくアクセスできることを確認します：
（VPN 接続してプライベートアクセスした場合）
（VPN 接続を切ってからパブリックアクセスした場合）
プライベートネットワークにデプロイしてアプリケーションがパブリックインターネット経由でもアクセスできるようになりました。今回紹介した内容はパブリックインターネットから HTTP でアクセスする例でしたが、HTTPS でアクセスする場合の方法は別の機会に紹介するつもりです。
（参照）
コメント