Comment gérer la configuration d'OPCP avec opcp-cli

Objectif

Sur une plateforme OVHcloud On-Prem Cloud Platform (OPCP), l'outil opcp-cli installé sur vos contrôleurs gère la configuration du plan de contrôle.

Ce guide explique comment modifier la configuration de votre OPCP avec opcp-cli et appliquer vos modifications.

Prérequis

• Disposer d'un service OPCP actif.
• Disposer d'un accès SSH à votre contrôleur OPCP avec votre compte opcp-admin, qui peut exécuter opcp-cli avec sudo, que votre OPCP soit managé par OVHcloud ou non (consultez le guide « Gestion des droits IAM »).

En pratique

Lancez chaque commande opcp-cli avec sudo. Toutes les commandes et options sont décrites dans opcp-cli --help.

La configuration est stockée sur le contrôleur dans deux fichiers, que vous modifiez uniquement avec opcp-cli :

Une modification n'a aucun effet tant que vous ne l'avez pas appliquée (étape 2).

1. Modifier la configuration

sudo opcp-cli config edit

Le fichier s'ouvre dans vi. N'écrivez que les clés que vous modifiez : les autres paramètres conservent leur valeur par défaut. Exception : une liste qui remplace sa valeur par défaut doit contenir toutes ses entrées, pas seulement celles que vous modifiez. Si une clé existe déjà dans le fichier, modifiez-la plutôt que de l'ajouter une seconde fois.

Lorsque vous l'enregistrez et le fermez, opcp-cli vérifie que le YAML est valide et que les champs obligatoires sont renseignés. Si la vérification échoue, vos modifications sont tout de même enregistrées : relancez la commande pour corriger le fichier avant de l'appliquer.

Pour changer de version d'OPCP, suivez le guide « Comment mettre à jour OPCP ».

2. Appliquer vos modifications

Vérifiez que les versions configurée et déployée de votre OPCP correspondent. Si elles diffèrent, suivez plutôt le guide « Comment mettre à jour OPCP ».

sudo opcp-cli version

Appliquez ensuite vos modifications :

sudo opcp-cli deploy --system

Le déploiement peut durer plus de 10 minutes. Il copie la configuration sur les autres contrôleurs et en enregistre une copie datée dans /opt/opcp/backup/opcp-cli/config/. Les journaux détaillés se trouvent dans /var/log/opcp-cli/opcp-cli.log. Ne supprimez pas les fichiers d'installation de /opt/opcp/artifacts : le déploiement en a besoin.

La plateforme converge ensuite vers la nouvelle configuration en quelques minutes. Vérifiez qu'elle est en bonne santé avec opcp-diag :

sudo opcp-diag run

Si la sortie contient l'avertissement Following kustomizations are unready, suivi de la liste des composants concernés, un déploiement est encore en cours : patientez quelques minutes puis relancez opcp-diag.

Exemples de configuration

Sauf mention contraire, écrivez les modifications ci-dessous dans la configuration de déploiement avec sudo opcp-cli config edit (étape 1). Appliquez ensuite chacune d'elles avec sudo opcp-cli deploy --system (étape 2). Les flux réseau à ouvrir sont listés dans le guide « Prérequis techniques pour le déploiement ».

Configuration matérielle

sudo opcp-cli config edit --hardware

Autorité de certification de confiance

Si la plateforme doit se connecter à un service dont le certificat est signé par votre propre autorité de certification (CA), par exemple un annuaire LDAP en LDAPS, copiez le certificat de la CA (format PEM, extension .crt) sur le contrôleur, puis exécutez :

sudo opcp-cli secrets certificates trust-ca --ca-crt-path <chemin-de-votre-ca>.crt --name <nom-de-la-ca>

Le nom n'accepte que des lettres minuscules, des chiffres et des tirets. Le contrôleur fait immédiatement confiance à la CA, Keycloak en quelques minutes, et les autres composants de la plateforme à leur prochain redémarrage. Appliquez la modification (étape 2) pour ajouter la CA sur les autres contrôleurs.

Sauvegardes S3

Suivez le guide « Comment mettre à jour les buckets S3¹ de sauvegarde ».

Serveurs NTP

ntp:
  servers:
    - "<votre-serveur-ntp-1>"
    - "<votre-serveur-ntp-2>"

Indiquez des adresses IP ou des noms DNS. Pour un nom DNS qui pointe vers plusieurs serveurs, utilisez la clé pools à la place de servers.

Résolveurs DNS

public_forward_resolvers:
  - "<ip-de-votre-resolveur-dns-1>"
  - "<ip-de-votre-resolveur-dns-2>"

Cette liste remplace le résolveur par défaut : listez tous les résolveurs à utiliser.

Transfert des logs vers un serveur syslog

monitoring:
  logs:
    forwarder:
      enabled: true
      syslog:
        enabled: true
        endpoints:
          - host: "<votre-serveur-syslog>"
            port: "514"
            mode: tcp

Écrivez le port entre guillemets. Le mode est tcp (par défaut), tls ou udp. Ajoutez une entrée par serveur syslog.

Endpoints autorisés pour Keycloak

Keycloak ne peut joindre que les services externes listés dans keycloak.allowedEndpoints, comme votre annuaire LDAP.

keycloak:
  allowedEndpoints:
    - host: "<votre-serveur-ldap>"
      port: 636

Ajoutez une entrée par hôte et par port TCP. Les plages réseau ne sont pas prises en charge.

Aller plus loin

Pour une formation ou une assistance technique sur la mise en œuvre de nos solutions, contactez votre commercial ou consultez la page Professional Services pour obtenir un devis et faire analyser votre projet par nos experts.

Échangez avec notre communauté d’utilisateurs.

¹ : S3 est une marque déposée appartenant à Amazon Technologies, Inc. Les services OVHcloud ne sont pas sponsorisés, approuvés, ou affiliés de quelque manière que ce soit.