Red Hat OpenShift

Red Hat OpenShift

Intégration maintenue par Orkyvo (non certifiée par Red Hat) pour OpenShift Container Platform 4.x, OKD 4 et les offres managées (ROSA, ARO, OpenShift Dedicated).

Ce nœud n'est pas le nœud Kubernetes renommé : il utilise les API propres à OpenShift (project.openshift.io, route.openshift.io, build.openshift.io, image.openshift.io, apps.openshift.io, user.openshift.io) et partage seulement avec le nœud Kubernetes ses composants communs (connexion, pagination, contrôle des droits, surveillance par watch). Pour un cluster Kubernetes standard, utilisez le nœud Kubernetes.

Connexion

Cluster privé : un administrateur de la plateforme autorise la plage et le port de l'API pour cette organisation et cette connexion (Administration → Réseaux privés).

« Tester la connexion » lit /version, détecte les API OpenShift (GET /apis), identifie le compte (users/~) et vérifie les droits utilisés (SelfSubjectAccessReview, lecture seule). Les API absentes sont listées avec les opérations qui leur sont incompatibles ; l'action « Détecter les API disponibles » fournit le même diagnostic dans un workflow.

Droits limités au projet (sans cluster-admin)

apiVersion: v1
kind: ServiceAccount
metadata: { name: orkyvo, namespace: boutique }
---
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata: { name: orkyvo, namespace: boutique }
rules:
  - apiGroups: [""]
    resources: [pods, events]
    verbs: [get, list, watch]
  - apiGroups: [apps]
    resources: [deployments, statefulsets]
    verbs: [get, list, watch]
  - apiGroups: [apps.openshift.io]
    resources: [deploymentconfigs]
    verbs: [get, list, watch]
  - apiGroups: [route.openshift.io]
    resources: [routes]
    verbs: [get, list]
  - apiGroups: [image.openshift.io]
    resources: [imagestreams]
    verbs: [get, list]
  - apiGroups: [build.openshift.io]
    resources: [buildconfigs, builds, builds/log]
    verbs: [get, list, watch]
  # Écriture : seulement pour « Démarrer un build »
  - apiGroups: [build.openshift.io]
    resources: [buildconfigs/instantiate]
    verbs: [create]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata: { name: orkyvo, namespace: boutique }
subjects: [{ kind: ServiceAccount, name: orkyvo, namespace: boutique }]
roleRef: { kind: Role, name: orkyvo, apiGroup: rbac.authorization.k8s.io }

Le rôle prédéfini view du projet suffit pour la lecture (oc policy add-role-to-user view -z orkyvo -n boutique). Lister tous les projets ne renvoie que ceux auxquels le compte a accès.

Actions

Démarrage de build sans doublon : la clé de l'étape est inscrite dans triggeredBy du build ; une nouvelle tentative retrouve ce build (existing: true) au lieu d'en démarrer un second. Une réponse réseau perdue au moment du démarrage n'est jamais relancée automatiquement (« Résultat incertain »).

Déclencheurs (fenêtres de watch)

Même mécanisme explicite que le nœud Kubernetes : watch borné depuis le resourceVersion conservé en base, reprise après redémarrage, resynchronisation sur 410 Gone, dédoublonnage.

Erreurs

401 jeton refusé ou expiré · 403 droit manquant (rôle à compléter) · 404 ressource introuvable, ou API OpenShift absente (« opération incompatible ») · 409 conflit · 410 version expirée (resynchronisation) · 429 / 5xx temporaires.

Limites

• Tests automatisés sur API simulées ; test réel recommandé sur OpenShift Local (CRC) ou un cluster de recette : voir docs/INTEGRATIONS.md.