OpenShift 文档正在迁移，很快将只在 docs.redhat.com（所有 Red Hat 产品文档的所在地）提供。立即体验 新的文档体验。
  1. 文档
    2. history bug_report picture_as_pdf
×

在 GCP 上安装集群并进行网络自定义

在OpenShift Container Platform 4.17版本中，您可以使用自定义网络配置安装集群，该配置安装在安装程序在Google Cloud Platform (GCP)上配置的基础架构上。通过自定义网络配置，您的集群可以与环境中现有的IP地址分配共存，并与现有的MTU和VXLAN配置集成。要自定义安装，请在安装集群之前修改install-config.yaml文件中的参数。

您必须在安装过程中设置大多数网络配置参数，并且只能在运行的集群中修改kubeProxy配置参数。

先决条件

OpenShift Container Platform 的互联网访问

在OpenShift Container Platform 4.17中，您需要访问互联网才能安装集群。

您必须具有互联网访问权限才能

  • 访问OpenShift集群管理器以下载安装程序并执行订阅管理。如果集群具有互联网访问权限并且您没有禁用遥测，则该服务会自动授权您的集群。

  • 访问Quay.io以获取安装集群所需的软件包。

  • 获取执行集群更新所需的软件包。

如果您的集群无法直接访问互联网，您可以在您配置的某些类型的基础架构上执行受限网络安装。在此过程中，您可以下载所需的内容并使用它来填充包含安装包的镜像注册表。对于某些安装类型，您安装集群的环境将不需要互联网访问。在更新集群之前，请更新镜像注册表的内容。

生成集群节点SSH访问的密钥对

在安装 OpenShift Container Platform 期间，您可以向安装程序提供一个 SSH 公钥。此密钥通过 Ignition 配置文件传递到 Red Hat Enterprise Linux CoreOS (RHCOS) 节点，并用于验证对节点的 SSH 访问权限。该密钥将添加到每个节点上 `core` 用户的 `~/.ssh/authorized_keys` 列表中，从而启用无密码身份验证。

密钥传递到节点后，您可以使用密钥对以 `core` 用户身份通过 SSH 登录到 RHCOS 节点。要通过 SSH 访问节点，必须由您本地用户的 SSH 管理私钥身份。

如果您想 SSH 登录到集群节点以执行安装调试或灾难恢复，则必须在安装过程中提供 SSH 公钥。`./openshift-install gather` 命令也要求集群节点上存在 SSH 公钥。

在需要灾难恢复和调试的生产环境中，请勿跳过此步骤。

您必须使用本地密钥，而不是使用平台特定方法（例如 AWS 密钥对）配置的密钥。
步骤

  1. 如果您本地机器上没有现有的 SSH 密钥对用于对集群节点进行身份验证，请创建一个。例如，在使用 Linux 操作系统的计算机上，运行以下命令：

    $ ssh-keygen -t ed25519 -N '' -f <path>/<file_name> (1)
    1 指定新 SSH 密钥的路径和文件名，例如 `~/.ssh/id_ed25519`。如果您有现有的密钥对，请确保您的公钥位于 `~/.ssh` 目录中。

    如果您计划安装一个 OpenShift Container Platform 集群，该集群仅在 `x86_64`、`ppc64le` 和 `s390x` 架构上使用已提交给 NIST 用于 FIPS 140-2/140-3 验证的 RHEL 加密库，请不要创建使用 `ed25519` 算法的密钥。请改用 `rsa` 或 `ecdsa` 算法创建密钥。

  2. 查看 SSH 公钥

    $ cat <path>/<file_name>.pub

    例如，运行以下命令查看 `~/.ssh/id_ed25519.pub` 公钥：

    $ cat ~/.ssh/id_ed25519.pub

  3. 如果尚未添加 SSH 私钥身份到本地用户的 SSH 代理，请添加。要对集群节点进行无密码 SSH 身份验证，或者要使用 `./openshift-install gather` 命令，都需要 SSH 代理管理密钥。

    在某些发行版中，默认的 SSH 私钥身份（例如 `~/.ssh/id_rsa` 和 `~/.ssh/id_dsa`）会自动管理。

    1. 如果本地用户的 `ssh-agent` 进程尚未运行，请将其作为后台任务启动：

      $ eval "$(ssh-agent -s)"
      示例输出
      Agent pid 31874

      如果您的集群处于 FIPS 模式，则只能使用符合 FIPS 的算法生成 SSH 密钥。密钥必须是 RSA 或 ECDSA。

  4. 将您的 SSH 私钥添加到 `ssh-agent`

    $ ssh-add <path>/<file_name> (1)
    1 指定 SSH 私钥的路径和文件名，例如 `~/.ssh/id_ed25519`
    示例输出
    Identity added: /home/<you>/<path>/<file_name> (<computer_name>)
后续步骤

  • 安装 OpenShift Container Platform 时，请向安装程序提供 SSH 公钥。

获取安装程序

在安装 OpenShift Container Platform 之前，请在用于安装的主机上下载安装文件。

先决条件

  • 您需要一台运行 Linux 或 macOS 的计算机，并具有 500 MB 的本地磁盘空间。

步骤

  1. 访问 Red Hat Hybrid Cloud Console 上的 集群类型 页面。如果您有 Red Hat 帐户，请使用您的凭据登录。如果没有，请创建一个帐户。

  2. 从页面**自己运行**部分选择您的基础架构提供商。

  3. 从**OpenShift 安装程序**下的下拉菜单中选择您的主机操作系统和架构，然后单击**下载安装程序**。

  4. 将下载的文件放在要存储安装配置文件的目录中。

    • 安装程序会在您用于安装集群的计算机上创建多个文件。您必须在安装集群完成后保留安装程序和安装程序创建的文件。这两个文件都是删除集群所必需的。

    • 即使集群在安装过程中失败，删除安装程序创建的文件也不会删除您的集群。要删除集群，请完成针对特定云提供商的 OpenShift Container Platform 卸载过程。

  5. 解压安装程序。例如，在使用 Linux 操作系统的计算机上，运行以下命令：

    $ tar -xvf openshift-install-linux.tar.gz

  6. 从 Red Hat OpenShift 集群管理器下载您的安装 pull secret。此 pull secret 允许您对包含的授权机构提供的服务进行身份验证，包括提供 OpenShift Container Platform 组件容器映像的 Quay.io。

或者，您可以从 Red Hat 客户门户 检索安装程序，您可以在其中指定要下载的安装程序版本。但是，您必须拥有有效的订阅才能访问此页面。

创建安装配置文件

您可以自定义在 Google Cloud Platform (GCP) 上安装的 OpenShift Container Platform 集群。

先决条件

  • 您拥有 OpenShift Container Platform 安装程序和集群的 pull secret。

步骤

  1. 创建 `install-config.yaml` 文件。

    1. 切换到包含安装程序的目录，然后运行以下命令：

      $ ./openshift-install create install-config --dir <installation_directory> (1)
      1 对于 `<installation_directory>`，请指定存储安装程序创建文件的目录名。

      指定目录时：

      • 验证目录是否具有 `execute` 权限。此权限是在安装目录下运行 Terraform 二进制文件所必需的。

      • 使用空目录。某些安装资源（例如 bootstrap X.509 证书）的过期时间间隔很短，因此您不能重复使用安装目录。如果您想重复使用来自另一个集群安装的单个文件，您可以将它们复制到您的目录中。但是，安装资源的文件名可能会在版本之间发生变化。从较早的 OpenShift Container Platform 版本复制安装文件时，请谨慎操作。

    2. 在提示符下，提供云的配置详细信息。

      1. 可选：选择一个 SSH 密钥来访问您的集群机器。

        对于您想要执行安装调试或灾难恢复的生产 OpenShift Container Platform 集群，请指定您的 `ssh-agent` 进程使用的 SSH 密钥。

      2. 选择 **gcp** 作为目标平台。

      3. 如果您尚未在您的计算机上为您的 GCP 帐户配置服务帐户密钥，则必须从 GCP 获取它，并粘贴文件的全部内容或输入文件的绝对路径。

      4. 选择要为其预配集群的项目 ID。默认值为您的配置服务帐户指定的值。

      5. 选择要将集群部署到的区域。

      6. 选择要将集群部署到的基础域名。基础域名对应于您为集群创建的公共 DNS 区域。

      7. 输入集群的描述性名称。

  2. 修改install-config.yaml文件。您可以在“安装配置参数”部分找到有关可用参数的更多信息。

  3. 备份install-config.yaml文件，以便您可以使用它来安装多个集群。

    install-config.yaml文件在安装过程中会被使用。如果您想重复使用该文件，则必须现在对其进行备份。
其他资源

集群安装的最低资源要求

每个集群机器必须满足以下最低要求

表 1. 最低资源要求
机器 操作系统 vCPU [1] 虚拟内存 存储 每秒输入/输出次数 (IOPS)[2]

引导程序

RHCOS

4

16 GB

100 GB

300

控制平面

RHCOS

4

16 GB

100 GB

300

计算

RHCOS、RHEL 8.6 及更高版本 [3]

2

8 GB

100 GB

300

  1. 当未启用同时多线程 (SMT) 或超线程时，一个 vCPU 等效于一个物理核心。启用时，使用以下公式计算相应的比率：（每个核心的线程数 × 核心数）× 插槽数 = vCPU 数。

  2. OpenShift Container Platform 和 Kubernetes 对磁盘性能敏感，建议使用更快的存储，特别是对于控制平面节点上的 etcd，它需要 10 毫秒 p99 fsync 持续时间。请注意，在许多云平台上，存储大小和 IOPS 同时扩展，因此您可能需要过度分配存储卷以获得足够的性能。

  3. 与所有用户预配的安装一样，如果您选择在集群中使用 RHEL 计算机器，则您需负责所有操作系统生命周期管理和维护，包括执行系统更新、应用补丁和完成所有其他必需的任务。RHEL 7 计算机器的使用已弃用，并在 OpenShift Container Platform 4.10 及更高版本中已移除。

从 OpenShift Container Platform 4.13 版本开始，RHCOS 基于 RHEL 9.2 版本，这更新了微架构要求。以下列表包含每个架构所需的最低指令集架构 (ISA)：

  • x86-64 架构需要 x86-64-v2 ISA

  • ARM64 架构需要 ARMv8.0-A ISA

  • IBM Power 架构需要 Power 9 ISA

  • s390x 架构需要 z14 ISA

更多信息，请参见 RHEL 架构。

如果您的平台的实例类型满足集群机器的最低要求，则支持在 OpenShift Container Platform 中使用它。

其他资源

GCP 的测试实例类型

以下 Google Cloud Platform 实例类型已通过 OpenShift Container Platform 测试。

机器系列

  • A2

  • A3

  • C2

  • C2D

  • C3

  • C3D

  • E2

  • M1

  • N1

  • N2

  • N2D

  • N4

  • Tau T2D

在 64 位 ARM 基础架构上 GCP 的测试实例类型

以下 Google Cloud Platform (GCP) 64 位 ARM 实例类型已通过 OpenShift Container Platform 测试。

64 位 ARM 机器系列

  • Tau T2A

使用自定义机器类型

支持使用自定义机器类型安装 OpenShift Container Platform 集群。

使用自定义机器类型时，请考虑以下事项：

  • 与预定义的实例类型类似，自定义机器类型必须满足控制平面和计算机器的最低资源要求。更多信息，请参见“集群安装的最低资源要求”。

  • 自定义机器类型的名称必须符合以下语法：

    custom-<cpu数量>-<内存大小(MB)>

    例如，custom-6-20480。

作为安装过程的一部分，您在install-config.yaml文件中指定自定义机器类型。

包含自定义机器类型的install-config.yaml文件示例
compute:
- architecture: amd64
  hyperthreading: Enabled
  name: worker
  platform:
    gcp:
      type: custom-6-20480
  replicas: 2
controlPlane:
  architecture: amd64
  hyperthreading: Enabled
  name: master
  platform:
    gcp:
      type: custom-6-20480
  replicas: 3

启用 Shielded VM

安装集群时，您可以使用 Shielded VM。Shielded VM 具有额外的安全功能，包括安全启动、固件和完整性监控以及 rootkit 检测。更多信息，请参见 Google 关于Shielded VM 的文档。

目前，在具有 64 位 ARM 基础架构的集群上不支持 Shielded VM。
先决条件

  • 您已创建install-config.yaml文件。

步骤

  • 在部署集群之前，使用文本编辑器编辑install-config.yaml文件，并添加以下片段之一：

    1. 仅对控制平面机器使用 Shielded VM

      controlPlane:
  platform:
    gcp:
       secureBoot: Enabled

    2. 仅对计算机器使用 Shielded VM

      compute:
- platform:
    gcp:
       secureBoot: Enabled

    3. 对所有机器使用 Shielded VM

      platform:
  gcp:
    defaultMachinePlatform:
       secureBoot: Enabled

启用 Confidential VM

安装集群时，您可以使用 Confidential VM。Confidential VM 在数据处理过程中会对其进行加密。更多信息，请参见 Google 关于Confidential Computing 的文档。您可以同时启用 Confidential VM 和 Shielded VM，尽管它们彼此之间并不依赖。

目前，在 64 位 ARM 架构上不支持 Confidential VM。
先决条件

  • 您已创建install-config.yaml文件。

步骤

  • 在部署集群之前，使用文本编辑器编辑install-config.yaml文件，并添加以下片段之一：

    1. 仅对控制平面机器使用 Confidential VM

      controlPlane:
  platform:
    gcp:
       confidentialCompute: Enabled (1)
       type: n2d-standard-8 (2)
       onHostMaintenance: Terminate (3)
      1 启用 Confidential VM。
      2 指定支持 Confidential VM 的机器类型。Confidential VM 需要 N2D 或 C2D 系列的机器类型。有关支持的机器类型的更多信息，请参见支持的操作系统和机器类型。
      3 指定虚拟机在主机维护事件（例如硬件或软件更新）期间的行为。对于使用 Confidential VM 的机器，此值必须设置为Terminate，这将停止虚拟机。Confidential VM 不支持实时虚拟机迁移。

    2. 仅对计算机器使用 Confidential VM

      compute:
- platform:
    gcp:
       confidentialCompute: Enabled
       type: n2d-standard-8
       onHostMaintenance: Terminate

    3. 对所有机器使用 Confidential VM

      platform:
  gcp:
    defaultMachinePlatform:
       confidentialCompute: Enabled
       type: n2d-standard-8
       onHostMaintenance: Terminate

GCP 的自定义 install-config.yaml 文件示例

您可以自定义install-config.yaml文件，以指定有关 OpenShift Container Platform 集群平台的更多详细信息或修改所需参数的值。

此 YAML 文件示例仅供参考。您必须使用安装程序获取您的install-config.yaml文件并对其进行修改。

 
apiVersion: v1
baseDomain: example.com (1)
credentialsMode: Mint (2)
controlPlane:  (3) (4)
  hyperthreading: Enabled (5)
  name: master
  platform:
    gcp:
      type: n2-standard-4
      zones:
      - us-central1-a
      - us-central1-c
      osDisk:
        diskType: pd-ssd
        diskSizeGB: 1024
        encryptionKey: (6)
          kmsKey:
            name: worker-key
            keyRing: test-machine-keys
            location: global
            projectID: project-id
      tags: (7)
      - control-plane-tag1
      - control-plane-tag2
      osImage: (8)
        project: example-project-name
        name: example-image-name
  replicas: 3
compute:  (3) (4)
- hyperthreading: Enabled (5)
  name: worker
  platform:
    gcp:
      type: n2-standard-4
      zones:
      - us-central1-a
      - us-central1-c
      osDisk:
        diskType: pd-standard
        diskSizeGB: 128
        encryptionKey: (6)
          kmsKey:
            name: worker-key
            keyRing: test-machine-keys
            location: global
            projectID: project-id
        tags: (7)
        - compute-tag1
        - compute-tag2
        osImage: (8)
          project: example-project-name
          name: example-image-name
  replicas: 3
metadata:
  name: test-cluster (1)
networking: (3)
  clusterNetwork:
  - cidr: 10.128.0.0/14
    hostPrefix: 23
  machineNetwork:
  - cidr: 10.0.0.0/16
  networkType: OVNKubernetes (9)
  serviceNetwork:
  - 172.30.0.0/16
platform:
  gcp:
    projectID: openshift-production (1)
    region: us-central1 (1)
    defaultMachinePlatform:
      tags: (7)
      - global-tag1
      - global-tag2
      osImage: (8)
        project: example-project-name
        name: example-image-name
pullSecret: '{"auths": ...}' (1)
fips: false (10)
sshKey: ssh-ed25519 AAAA... (11)
1 必需。安装程序会提示您输入此值。
2 可选：添加此参数以强制 Cloud Credential Operator (CCO) 使用指定的模式。默认情况下，CCO 使用kube-system命名空间中的 root 凭据来动态尝试确定凭据的功能。有关 CCO 模式的详细信息，请参见《身份验证和授权》指南中的“关于 Cloud Credential Operator”部分。
3 如果您不提供这些参数和值，安装程序将提供默认值。
4 controlPlane 部分是一个单映射，但 compute 部分是一系列映射。为了满足不同数据结构的要求，compute 部分的第一行必须以连字符 - 开头，而 controlPlane 部分的第一行则不能。只使用一个控制平面池。
5 是否启用或禁用同时多线程处理，或称 超线程。默认情况下，启用同时多线程处理以提高机器内核的性能。您可以将其设置为 Disabled 来禁用它。如果在某些集群机器中禁用了同时多线程处理，则必须在所有集群机器中禁用它。

如果禁用同时多线程处理，请确保您的容量规划考虑到了机器性能的大幅下降。如果禁用同时多线程处理，请为您的机器使用更大的机器类型，例如 n1-standard-8。
6 可选：用于加密虚拟机和持久卷的自定义加密密钥部分。您的默认计算服务帐户必须具有使用您的 KMS 密钥的权限，并分配正确的 IAM 角色。默认服务帐户名称遵循 service-<project_number>@compute-system.iam.gserviceaccount.com 模式。有关授予服务帐户正确权限的更多信息，请参阅“机器管理”→“创建计算机器集”→“在 GCP 上创建计算机器集”。
7 可选：应用于控制平面或计算机器集的一组网络标签。platform.gcp.defaultMachinePlatform.tags 参数将同时应用于控制平面和计算机器。如果设置了 compute.platform.gcp.tags 或 controlPlane.platform.gcp.tags 参数，则它们会覆盖 platform.gcp.defaultMachinePlatform.tags 参数。
8 可选：应用于引导控制平面和计算机器的自定义 Red Hat Enterprise Linux CoreOS (RHCOS)。platform.gcp.defaultMachinePlatform.osImage 下的 project 和 name 参数同时应用于控制平面和计算机器。如果设置了 controlPlane.platform.gcp.osImage 或 compute.platform.gcp.osImage 下的 project 和 name 参数，则它们会覆盖 platform.gcp.defaultMachinePlatform.osImage 参数。
9 要安装的集群网络插件。默认值 OVNKubernetes 是唯一支持的值。
10 是否启用或禁用 FIPS 模式。默认情况下，FIPS 模式未启用。如果启用了 FIPS 模式，则运行 OpenShift Container Platform 的 Red Hat Enterprise Linux CoreOS (RHCOS) 机器将绕过默认的 Kubernetes 加密套件，并改用 RHCOS 提供的加密模块。

在 FIPS 模式下运行 Red Hat Enterprise Linux (RHEL) 或 Red Hat Enterprise Linux CoreOS (RHCOS) 时，OpenShift Container Platform 核心组件仅在 x86_64、ppc64le 和 s390x 架构上使用已提交给 NIST 进行 FIPS 140-2/140-3 验证的 RHEL 加密库。
11 您可以选择提供用于访问集群中机器的 sshKey 值。

对于您想要执行安装调试或灾难恢复的生产 OpenShift Container Platform 集群，请指定您的 `ssh-agent` 进程使用的 SSH 密钥。
其他资源

在安装过程中配置集群范围的代理

生产环境可能会拒绝直接访问互联网，而是提供 HTTP 或 HTTPS 代理。您可以通过在 install-config.yaml 文件中配置代理设置来配置新的 OpenShift Container Platform 集群以使用代理。

先决条件

  • 您已拥有现有的 install-config.yaml 文件。

  • 您已查看集群需要访问的站点，并确定其中任何站点是否需要绕过代理。默认情况下，所有集群出口流量都将被代理，包括对托管云提供商 API 的调用。如有必要，您可以将站点添加到 Proxy 对象的 spec.noProxy 字段以绕过代理。

    Proxy 对象 status.noProxy 字段将填充安装配置中 networking.machineNetwork[].cidr、networking.clusterNetwork[].cidr 和 networking.serviceNetwork[] 字段的值。

    对于 Amazon Web Services (AWS)、Google Cloud Platform (GCP)、Microsoft Azure 和 Red Hat OpenStack Platform (RHOSP) 上的安装，Proxy 对象 status.noProxy 字段还会填充实例元数据端点 (169.254.169.254)。
步骤

  1. 编辑您的 install-config.yaml 文件并添加代理设置。例如

    apiVersion: v1
baseDomain: my.domain.com
proxy:
  httpProxy: http://<username>:<pswd>@<ip>:<port> (1)
  httpsProxy: https://<username>:<pswd>@<ip>:<port> (2)
  noProxy: example.com (3)
additionalTrustBundle: | (4)
    -----BEGIN CERTIFICATE-----
    <MY_TRUSTED_CA_CERT>
    -----END CERTIFICATE-----
additionalTrustBundlePolicy: <policy_to_add_additionalTrustBundle> (5)
    1 用于创建集群外部 HTTP 连接的代理 URL。URL 方案必须为 http。
    2 用于创建集群外部 HTTPS 连接的代理 URL。
    3 要从代理中排除的目标域名、IP 地址或其他网络 CIDR 的逗号分隔列表。在域名前加 . 以仅匹配子域。例如，.y.com 匹配 x.y.com，但不匹配 y.com。使用 * 可绕过所有目标的代理。
    4 如果提供，安装程序将生成一个名为 user-ca-bundle 的 config map，该 map 位于 openshift-config 命名空间中，其中包含代理 HTTPS 连接所需的一个或多个其他 CA 证书。然后，集群网络操作员创建一个 trusted-ca-bundle config map，将这些内容与 Red Hat Enterprise Linux CoreOS (RHCOS) 信任捆绑包合并，并且此 config map 在 Proxy 对象的 trustedCA 字段中引用。除非代理的身份证书由 RHCOS 信任捆绑包中的机构签名，否则需要 additionalTrustBundle 字段。
    5 可选：确定 Proxy 对象配置的策略，以在 trustedCA 字段中引用 user-ca-bundle config map。允许的值为 Proxyonly 和 Always。使用 Proxyonly 仅在配置了 http/https 代理时引用 user-ca-bundle config map。使用 Always 始终引用 user-ca-bundle config map。默认值为 Proxyonly。

    安装程序不支持代理 readinessEndpoints 字段。

    如果安装程序超时，请重新启动，然后使用安装程序的 wait-for 命令完成部署。例如

    $ ./openshift-install wait-for install-complete --log-level debug

  2. 保存文件并在安装 OpenShift Container Platform 时引用它。

安装程序将创建一个名为 cluster 的集群范围代理，该代理使用提供的 install-config.yaml 文件中的代理设置。如果未提供代理设置，则仍然会创建 cluster Proxy 对象，但它将具有 nil spec。

仅支持名为 cluster 的 Proxy 对象，并且无法创建其他代理。

安装 OpenShift CLI

您可以安装 OpenShift CLI (oc) 以通过命令行界面与 OpenShift Container Platform 进行交互。您可以在 Linux、Windows 或 macOS 上安装 oc。

如果您安装了早期版本的oc，则无法使用它完成 OpenShift Container Platform 4.17 中的所有命令。请下载并安装新版本的oc。

在 Linux 上安装 OpenShift CLI

您可以使用以下步骤在 Linux 上安装 OpenShift CLI (oc) 二进制文件。

步骤

  1. 在 Red Hat 客户门户网站上导航到OpenShift Container Platform 下载页面。

  2. 从产品变体下拉列表中选择架构。

  3. 从版本下拉列表中选择相应的版本。

  4. 点击OpenShift v4.17 Linux 客户端条目旁边的立即下载并保存文件。

  5. 解压归档文件

    $ tar xvf <file>

  6. 将oc二进制文件放置在您的PATH中的目录中。

    要检查您的PATH，请执行以下命令

    $ echo $PATH
验证

  • 安装 OpenShift CLI 后，可以使用oc命令。

    $ oc <command>

在 Windows 上安装 OpenShift CLI

您可以使用以下步骤在 Windows 上安装 OpenShift CLI (oc) 二进制文件。

步骤

  1. 在 Red Hat 客户门户网站上导航到OpenShift Container Platform 下载页面。

  2. 从版本下拉列表中选择相应的版本。

  3. 点击OpenShift v4.17 Windows 客户端条目旁边的立即下载并保存文件。

  4. 使用 ZIP 程序解压缩归档文件。

  5. 将oc二进制文件移动到PATH中的目录。

    要检查您的PATH，请打开命令提示符并执行以下命令

    C:\> path
验证

  • 安装 OpenShift CLI 后，可以使用oc命令。

    C:\> oc <command>

在 macOS 上安装 OpenShift CLI

您可以使用以下步骤在 macOS 上安装 OpenShift CLI (oc) 二进制文件。

步骤

  1. 在 Red Hat 客户门户网站上导航到OpenShift Container Platform 下载页面。

  2. 从版本下拉列表中选择相应的版本。

  3. 点击OpenShift v4.17 macOS 客户端条目旁边的立即下载并保存文件。

    对于 macOS arm64，请选择OpenShift v4.17 macOS arm64 客户端条目。

  4. 解压归档文件。

  5. 将oc二进制文件移动到 PATH 中的目录。

    要检查您的PATH，请打开终端并执行以下命令

    $ echo $PATH
验证

  • 使用oc命令验证您的安装

    $ oc <command>

存储在 kube-system 项目中的管理员级密钥的替代方法

默认情况下，管理员密钥存储在kube-system项目中。如果您在install-config.yaml文件中将credentialsMode参数配置为Manual，则必须使用以下替代方法之一

手动创建长期凭据

在无法访问云身份和访问管理 (IAM) API 或管理员更倾向于不在集群kube-system命名空间中存储管理员级凭据密钥的环境中，可以在安装之前将云凭据操作员 (CCO) 置于手动模式。

步骤

  1. 为安装程序使用的 GCP 帐户添加以下细粒度权限

    必需的 GCP 权限

    • compute.machineTypes.list

    • compute.regions.list

    • compute.zones.list

    • dns.changes.create

    • dns.changes.get

    • dns.managedZones.create

    • dns.managedZones.delete

    • dns.managedZones.get

    • dns.managedZones.list

    • dns.networks.bindPrivateDNSZone

    • dns.resourceRecordSets.create

    • dns.resourceRecordSets.delete

    • dns.resourceRecordSets.list

  2. 如果您未在install-config.yaml配置文件中将credentialsMode参数设置为Manual，请修改该值，如下所示

    示例配置文件片段
    apiVersion: v1
baseDomain: example.com
credentialsMode: Manual
# ...

  3. 如果您之前没有创建安装清单文件，请运行以下命令来创建

    $ openshift-install create manifests --dir <installation_directory>

    其中<installation_directory>是安装程序创建文件的目录。

  4. 通过运行以下命令，使用安装文件中的发行版映像设置$RELEASE_IMAGE变量

    $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

  5. 通过运行以下命令，从 OpenShift Container Platform 发行版映像中提取CredentialsRequest自定义资源 (CR) 列表

    $ oc adm release extract \
  --from=$RELEASE_IMAGE \
  --credentials-requests \
  --included \(1)
  --install-config=<path_to_directory_with_installation_configuration>/install-config.yaml \(2)
  --to=<path_to_directory_for_credentials_requests> (3)
    1 --included参数仅包含特定集群配置所需的清单。
    2 指定install-config.yaml文件的路径。
    3 指定要存储CredentialsRequest对象的目录的路径。如果指定的目录不存在，则此命令将创建它。

    此命令将为每个CredentialsRequest对象创建一个 YAML 文件。

    示例CredentialsRequest对象
    apiVersion: cloudcredential.openshift.io/v1
kind: CredentialsRequest
metadata:
  name: <component_credentials_request>
  namespace: openshift-cloud-credential-operator
  ...
spec:
  providerSpec:
    apiVersion: cloudcredential.openshift.io/v1
    kind: GCPProviderSpec
    predefinedRoles:
    - roles/storage.admin
    - roles/iam.serviceAccountUser
    skipServiceCheck: true
  ...

  6. 为之前生成的openshift-install清单目录中的密钥创建 YAML 文件。必须使用每个CredentialsRequest对象中spec.secretRef定义的命名空间和密钥名称来存储密钥。

    包含密钥的示例CredentialsRequest对象
    apiVersion: cloudcredential.openshift.io/v1
kind: CredentialsRequest
metadata:
  name: <component_credentials_request>
  namespace: openshift-cloud-credential-operator
  ...
spec:
  providerSpec:
    apiVersion: cloudcredential.openshift.io/v1
      ...
  secretRef:
    name: <component_secret>
    namespace: <component_namespace>
  ...
    示例Secret对象
    apiVersion: v1
kind: Secret
metadata:
  name: <component_secret>
  namespace: <component_namespace>
data:
  service_account.json: <base64_encoded_gcp_service_account_file>

在升级使用手动维护的凭据的集群之前，必须确保 CCO 处于可升级状态。

配置 GCP 集群以使用短期凭据

要安装配置为使用 GCP 工作负载身份的集群，必须配置 CCO 实用程序并为集群创建必需的 GCP 资源。

配置云凭据操作员实用程序

当云凭据操作员 (CCO) 以手动模式运行时，要从集群外部创建和管理云凭据，请提取并准备 CCO 实用程序 (ccoctl) 二进制文件。

ccoctl实用程序是一个 Linux 二进制文件，必须在 Linux 环境中运行。
先决条件

  • 您可以访问具有集群管理员访问权限的 OpenShift Container Platform 帐户。

  • 您已安装 OpenShift CLI (oc)。

  • 您已将以下身份验证选项之一添加到安装程序使用的 GCP 帐户

    • IAM 工作负载身份池管理员角色。

    • 以下细粒度权限

      必需的 GCP 权限

      • compute.projects.get

      • iam.googleapis.com/workloadIdentityPoolProviders.create

      • iam.googleapis.com/workloadIdentityPoolProviders.get

      • iam.googleapis.com/workloadIdentityPools.create

      • iam.googleapis.com/workloadIdentityPools.delete

      • iam.googleapis.com/workloadIdentityPools.get

      • iam.googleapis.com/workloadIdentityPools.undelete

      • iam.roles.create

      • iam.roles.delete

      • iam.roles.list

      • iam.roles.undelete

      • iam.roles.update

      • iam.serviceAccounts.create

      • iam.serviceAccounts.delete

      • iam.serviceAccounts.getIamPolicy

      • iam.serviceAccounts.list

      • iam.serviceAccounts.setIamPolicy

      • iam.workloadIdentityPoolProviders.get

      • iam.workloadIdentityPools.delete

      • resourcemanager.projects.get

      • resourcemanager.projects.getIamPolicy

      • resourcemanager.projects.setIamPolicy

      • storage.buckets.create

      • storage.buckets.delete

      • storage.buckets.get

      • storage.buckets.getIamPolicy

      • storage.buckets.setIamPolicy

      • storage.objects.create

      • storage.objects.delete

      • storage.objects.list

步骤

  1. 通过运行以下命令设置 OpenShift Container Platform 发行版映像的变量

    $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

  2. 通过运行以下命令从 OpenShift Container Platform 发行版映像中获取 CCO 容器映像

    $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)

    确保$RELEASE_IMAGE的架构与您将在其中使用ccoctl工具的环境的架构匹配。

  3. 通过运行以下命令从 OpenShift Container Platform 发行版映像中的 CCO 容器映像中提取ccoctl二进制文件

    $ oc image extract $CCO_IMAGE \
  --file="/usr/bin/ccoctl.<rhel_version>" \(1)
  -a ~/.pull-secret
    1 对于<rhel_version>，请指定与主机使用的 Red Hat Enterprise Linux (RHEL) 版本相对应的值。如果未指定值，则默认使用ccoctl.rhel8。有效值为：

    • rhel8：对于使用 RHEL 8 的主机，请指定此值。

    • rhel9：对于使用 RHEL 9 的主机，请指定此值。

  4. 更改权限，使ccoctl可执行，运行以下命令：

    $ chmod 775 ccoctl.<rhel_version>
验证

  • 要验证ccoctl是否已准备好使用，请显示帮助文件。运行命令时，请使用相对文件名，例如：

    $ ./ccoctl.rhel9
    示例输出
    OpenShift credentials provisioning tool

Usage:
  ccoctl [command]

Available Commands:
  aws          Manage credentials objects for AWS cloud
  azure        Manage credentials objects for Azure
  gcp          Manage credentials objects for Google cloud
  help         Help about any command
  ibmcloud     Manage credentials objects for {ibm-cloud-title}
  nutanix      Manage credentials objects for Nutanix

Flags:
  -h, --help   help for ccoctl

Use "ccoctl [command] --help" for more information about a command.

使用云凭据操作员实用程序创建 GCP 资源

您可以使用ccoctl gcp create-all命令自动创建 GCP 资源。

默认情况下，ccoctl在运行命令的目录中创建对象。要在不同的目录中创建对象，请使用--output-dir标志。本步骤使用<path_to_ccoctl_output_dir>来指代此目录。
先决条件

您必须：

  • 解压并准备ccoctl二进制文件。

步骤

  1. 通过运行以下命令，使用安装文件中的发行版映像设置$RELEASE_IMAGE变量

    $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

  2. 通过运行以下命令，从 OpenShift Container Platform 发行版镜像中提取CredentialsRequest对象的列表：

    $ oc adm release extract \
  --from=$RELEASE_IMAGE \
  --credentials-requests \
  --included \(1)
  --install-config=<path_to_directory_with_installation_configuration>/install-config.yaml \(2)
  --to=<path_to_directory_for_credentials_requests> (3)
    1 --included参数仅包含特定集群配置所需的清单。
    2 指定install-config.yaml文件的路径。
    3 指定要存储CredentialsRequest对象的目录的路径。如果指定的目录不存在，则此命令将创建它。

    此命令可能需要几分钟才能运行。

  3. 使用ccoctl工具处理所有CredentialsRequest对象，运行以下命令：

    $ ccoctl gcp create-all \
  --name=<name> \(1)
  --region=<gcp_region> \(2)
  --project=<gcp_project_id> \(3)
  --credentials-requests-dir=<path_to_credentials_requests_directory> (4)
    1 指定所有创建的 GCP 资源的用户定义名称，用于跟踪。
    2 指定将创建云资源的 GCP 区域。
    3 指定将创建云资源的 GCP 项目 ID。
    4 指定包含CredentialsRequest清单文件的目录，用于创建 GCP 服务帐户。

    如果您的集群使用由TechPreviewNoUpgrade功能集启用的技术预览功能，则必须包含--enable-tech-preview参数。
验证

  • 要验证 OpenShift Container Platform 密钥是否已创建，请列出<path_to_ccoctl_output_dir>/manifests目录中的文件：

    $ ls <path_to_ccoctl_output_dir>/manifests
    示例输出
    cluster-authentication-02-config.yaml
openshift-cloud-controller-manager-gcp-ccm-cloud-credentials-credentials.yaml
openshift-cloud-credential-operator-cloud-credential-operator-gcp-ro-creds-credentials.yaml
openshift-cloud-network-config-controller-cloud-credentials-credentials.yaml
openshift-cluster-api-capg-manager-bootstrap-credentials-credentials.yaml
openshift-cluster-csi-drivers-gcp-pd-cloud-credentials-credentials.yaml
openshift-image-registry-installer-cloud-credentials-credentials.yaml
openshift-ingress-operator-cloud-credentials-credentials.yaml
openshift-machine-api-gcp-cloud-credentials-credentials.yaml

    您可以通过查询 GCP 来验证 IAM 服务帐户是否已创建。有关更多信息，请参阅 GCP 文档中关于列出 IAM 服务帐户的内容。

整合云凭据操作员实用程序清单

要实现由集群外部管理的用于各个组件的短期安全凭据，必须将云凭据操作员实用程序 (ccoctl) 创建的清单文件移动到安装程序的正确目录。

先决条件

  • 您已配置一个帐户，该帐户具有托管集群的云平台。

  • 您已配置云凭据操作员实用程序 (ccoctl)。

  • 您已使用ccoctl实用程序创建了集群所需的云提供商资源。

步骤

  1. 为安装程序使用的 GCP 帐户添加以下细粒度权限

    必需的 GCP 权限

    • compute.machineTypes.list

    • compute.regions.list

    • compute.zones.list

    • dns.changes.create

    • dns.changes.get

    • dns.managedZones.create

    • dns.managedZones.delete

    • dns.managedZones.get

    • dns.managedZones.list

    • dns.networks.bindPrivateDNSZone

    • dns.resourceRecordSets.create

    • dns.resourceRecordSets.delete

    • dns.resourceRecordSets.list

  2. 如果您未在install-config.yaml配置文件中将credentialsMode参数设置为Manual，请修改该值，如下所示

    示例配置文件片段
    apiVersion: v1
baseDomain: example.com
credentialsMode: Manual
# ...

  3. 如果您之前没有创建安装清单文件，请运行以下命令来创建

    $ openshift-install create manifests --dir <installation_directory>

    其中<installation_directory>是安装程序创建文件的目录。

  4. 将ccoctl实用程序生成的清单复制到安装程序创建的manifests目录，运行以下命令：

    $ cp /<path_to_ccoctl_output_dir>/manifests/* ./manifests/

  5. 将包含私钥的tls目录复制到安装目录：

    $ cp -a /<path_to_ccoctl_output_dir>/tls .

网络配置阶段

在安装 OpenShift Container Platform 之前，有两个阶段可以自定义网络配置。

阶段 1

在创建清单文件之前，您可以在install-config.yaml文件中自定义以下与网络相关的字段：

  • networking.networkType

  • networking.clusterNetwork

  • networking.serviceNetwork

  • networking.machineNetwork

    有关更多信息，请参阅“安装配置参数”。

    将networking.machineNetwork设置为与首选子网所在的无类域间路由 (CIDR) 匹配。

    CIDR 范围172.17.0.0/16由libVirt保留。您不能为集群中的网络使用任何与172.17.0.0/16 CIDR 范围重叠的其他 CIDR 范围。
阶段 2

运行openshift-install create manifests创建清单文件后，您可以仅使用要修改的字段定义自定义的集群网络操作员清单。您可以使用该清单来指定高级网络配置。

在阶段 2 中，您不能覆盖在阶段 1 中在install-config.yaml文件中指定的的值。但是，您可以在阶段 2 中自定义网络插件。

指定高级网络配置

您可以将高级网络配置用于您的网络插件，以将您的集群集成到您的现有网络环境中。

您只能在安装集群之前指定高级网络配置。

不支持通过修改安装程序创建的 OpenShift Container Platform 清单文件来自定义网络配置。支持应用您创建的清单文件，如以下步骤所示。
先决条件

  • 您已创建install-config.yaml文件并完成了对其的任何修改。

步骤

  1. 切换到包含安装程序的目录并创建清单：

    $ ./openshift-install create manifests --dir <installation_directory> (1)
    1 <installation_directory>指定包含集群install-config.yaml文件的目录的名称。

  2. 为高级网络配置创建一个存根清单文件，命名为cluster-network-03-config.yml，位于<installation_directory>/manifests/目录中：

    apiVersion: operator.openshift.io/v1
kind: Network
metadata:
  name: cluster
spec:

  3. 在cluster-network-03-config.yml文件中指定集群的高级网络配置，例如以下示例：

    为 OVN-Kubernetes 网络提供程序启用 IPsec
    apiVersion: operator.openshift.io/v1
kind: Network
metadata:
  name: cluster
spec:
  defaultNetwork:
    ovnKubernetesConfig:
      ipsecConfig:
        mode: Full

  4. 可选：备份manifests/cluster-network-03-config.yml文件。当您创建 Ignition 配置文件时，安装程序会使用manifests/目录。

集群网络操作员配置

集群网络的配置指定为集群网络操作员 (CNO) 配置的一部分，并存储在名为cluster的自定义资源 (CR) 对象中。CR 指定operator.openshift.io API 组中Network API 的字段。

在集群安装期间，CNO 配置从Network.config.openshift.io API 组中的Network API 继承以下字段：

clusterNetwork

分配 Pod IP 地址的 IP 地址池。

serviceNetwork

服务的 IP 地址池。

defaultNetwork.type

集群网络插件。在安装期间，OVNKubernetes是唯一受支持的插件。

您可以通过设置名为cluster的 CNO 对象中defaultNetwork对象的字段来指定集群的集群网络插件配置。

集群网络操作员配置对象

集群网络操作员 (CNO) 的字段在以下表格中描述：

表 2. 集群网络操作员配置对象
字段 类型 描述

metadata.name

string

CNO 对象的名称。此名称始终为cluster。

spec.clusterNetwork

array

一个列表，指定分配 Pod IP 地址的 IP 地址块以及分配给集群中每个节点的子网前缀长度。例如

spec:
  clusterNetwork:
  - cidr: 10.128.0.0/19
    hostPrefix: 23
  - cidr: 10.128.32.0/19
    hostPrefix: 23

spec.serviceNetwork

array

服务的一组 IP 地址。OVN-Kubernetes 网络插件只支持服务网络的单个 IP 地址块。例如

spec:
  serviceNetwork:
  - 172.30.0.0/14

您只能在创建清单之前在install-config.yaml文件中自定义此字段。该值在清单文件中是只读的。

spec.defaultNetwork

对象

配置集群网络的网络插件。

spec.kubeProxyConfig

对象

此对象的字段指定 kube-proxy 配置。如果您使用 OVN-Kubernetes 集群网络插件，则 kube-proxy 配置无效。

对于需要跨多个网络部署对象的集群，请确保为install-config.yaml文件中定义的每种网络类型指定相同的clusterNetwork.hostPrefix参数值。为每个clusterNetwork.hostPrefix参数设置不同的值可能会影响 OVN-Kubernetes 网络插件，插件无法有效地路由不同节点之间的对象流量。

defaultNetwork 对象配置

defaultNetwork对象的取值定义在下表中

表 3. defaultNetwork 对象
字段 类型 描述

类型

string

OVNKubernetes。在安装过程中选择 Red Hat OpenShift Networking 网络插件。此值在集群安装后无法更改。

OpenShift Container Platform 默认使用 OVN-Kubernetes 网络插件。OpenShift SDN 不再作为新集群的安装选项。

ovnKubernetesConfig

对象

此对象仅对 OVN-Kubernetes 网络插件有效。
OVN-Kubernetes 网络插件的配置

下表描述了 OVN-Kubernetes 网络插件的配置字段

表 4. ovnKubernetesConfig 对象
字段 类型 描述

mtu

整数

Geneve（通用网络虚拟化封装）覆盖网络的最大传输单元 (MTU)。这是根据主网络接口的 MTU 自动检测的。您通常不需要覆盖检测到的 MTU。

如果自动检测的值与您的预期不符，请确认节点上主网络接口的 MTU 是否正确。您无法使用此选项更改节点上主网络接口的 MTU 值。

如果您的集群需要为不同的节点指定不同的 MTU 值，则必须将此值设置为集群中最低 MTU 值减去100。例如，如果集群中某些节点的 MTU 为9001，而某些节点的 MTU 为1500，则必须将此值设置为1400。

genevePort

整数

所有 Geneve 数据包使用的端口。默认值为6081。此值在集群安装后无法更改。

ipsecConfig

对象

指定一个配置对象来定制 IPsec 配置。

ipv4

对象

指定 IPv4 设置的配置对象。

ipv6

对象

指定 IPv6 设置的配置对象。

policyAuditConfig

对象

指定一个配置对象来定制网络策略审计日志记录。如果未设置，则使用默认的审计日志设置。

gatewayConfig

对象

可选：指定一个配置对象来定制如何将出站流量发送到节点网关。

迁移出站流量期间，在集群网络操作员 (CNO) 成功推出更改之前，您可能会遇到工作负载和服务流量的一些中断。
表 5. ovnKubernetesConfig.ipv4 对象
字段 类型 描述

internalTransitSwitchSubnet

string

如果您的现有网络基础架构与100.88.0.0/16 IPv4 子网重叠，您可以为 OVN-Kubernetes 指定不同的内部使用 IP 地址范围。启用东西向流量的分布式转接交换机的子网。此子网不能与 OVN-Kubernetes 或主机本身使用的任何其他子网重叠。它必须足够大，以容纳集群中每个节点的一个 IP 地址。

默认值为100.88.0.0/16。

internalJoinSubnet

string

如果您的现有网络基础架构与100.64.0.0/16 IPv4 子网重叠，您可以为 OVN-Kubernetes 指定不同的内部使用 IP 地址范围。您必须确保 IP 地址范围与 OpenShift Container Platform 安装使用的任何其他子网不重叠。IP 地址范围必须大于可以添加到集群中的最大节点数。例如，如果clusterNetwork.cidr值为10.128.0.0/14，而clusterNetwork.hostPrefix值为/23，则最大节点数为2^(23-14)=512。

默认值为100.64.0.0/16。
表 6. ovnKubernetesConfig.ipv6 对象
字段 类型 描述

internalTransitSwitchSubnet

string

如果您的现有网络基础架构与fd97::/64 IPv6 子网重叠，您可以为 OVN-Kubernetes 指定不同的内部使用 IP 地址范围。启用东西向流量的分布式转接交换机的子网。此子网不能与 OVN-Kubernetes 或主机本身使用的任何其他子网重叠。它必须足够大，以容纳集群中每个节点的一个 IP 地址。

默认值为fd97::/64。

internalJoinSubnet

string

如果您的现有网络基础架构与fd98::/64 IPv6 子网重叠，您可以为 OVN-Kubernetes 指定不同的内部使用 IP 地址范围。您必须确保 IP 地址范围与 OpenShift Container Platform 安装使用的任何其他子网不重叠。IP 地址范围必须大于可以添加到集群中的最大节点数。

默认值为fd98::/64。
表 7. policyAuditConfig 对象
字段 类型 描述

rateLimit

整数

每个节点每秒生成的最多消息数。默认值为每秒20条消息。

maxFileSize

整数

审计日志的最大大小（字节）。默认值为50000000或 50 MB。

maxLogFiles

整数

保留的最大日志文件数。

destination

string

以下其他审计日志目标之一

libc

主机上 journald 进程的 libc syslog() 函数。

udp:<host>:<port>

一个 syslog 服务器。将<host>:<port>替换为 syslog 服务器的主机和端口。

unix:<file>

由<file>指定的 Unix 域套接字文件。

null

不将审计日志发送到任何其他目标。

syslogFacility

string

syslog 设施，例如 RFC5424 中定义的kern。默认值为local0。
表 8. gatewayConfig 对象
字段 类型 描述

routingViaHost

布尔值

将此字段设置为true可将 Pod 的出站流量发送到主机网络堆栈。对于依赖于内核路由表中手动配置的路由的高度专业化安装和应用程序，您可能希望将出站流量路由到主机网络堆栈。默认情况下，出站流量在 OVN 中处理以退出集群，并且不受内核路由表中专用路由的影响。默认值为false。

此字段与 Open vSwitch 硬件卸载功能存在交互。如果将此字段设置为true，则不会获得卸载的性能优势，因为出站流量由主机网络堆栈处理。

ipForwarding

对象

您可以使用Network资源中的ipForwarding规范来控制OVN-Kubernetes管理的接口上所有流量的IP转发。指定Restricted仅允许针对Kubernetes相关流量的IP转发。指定Global允许转发所有IP流量。对于新安装，默认为Restricted。对于 OpenShift Container Platform 4.14 或更高版本的更新，默认为Global。

ipv4

对象

可选：指定一个对象来配置主机到服务的 IPv4 地址流量的内部 OVN-Kubernetes 伪装地址。

ipv6

对象

可选：指定一个对象来配置主机到服务的IPv6地址流量的内部OVN-Kubernetes伪装地址。
表 9. gatewayConfig.ipv4 对象
字段 类型 描述

internalMasqueradeSubnet

string

内部用于启用主机到服务流量的伪装IPv4地址。主机也配置了这些IP地址以及共享网关桥接接口。默认值为169.254.169.0/29。

对于OpenShift Container Platform 4.17及更高版本，集群使用169.254.0.0/17作为默认伪装子网。对于升级的集群，默认伪装子网没有变化。
表 10. gatewayConfig.ipv6 对象
字段 类型 描述

internalMasqueradeSubnet

string

内部用于启用主机到服务流量的伪装IPv6地址。主机也配置了这些IP地址以及共享网关桥接接口。默认值为fd69::/125。

对于OpenShift Container Platform 4.17及更高版本，集群使用fd69::/112作为默认伪装子网。对于升级的集群，默认伪装子网没有变化。
表 11. ipsecConfig 对象
字段 类型 描述

mode

string

指定IPsec实现的行为。必须是以下值之一

  • Disabled：集群节点上未启用IPsec。

  • External：已为与外部主机的网络流量启用IPsec。

  • Full：已为Pod流量和与外部主机的网络流量启用IPsec。
启用IPSec的OVN-Kubernetes配置示例
defaultNetwork:
  type: OVNKubernetes
  ovnKubernetesConfig:
    mtu: 1400
    genevePort: 6081
      ipsecConfig:
        mode: Full

部署集群

您可以在兼容的云平台上安装OpenShift Container Platform。

您只能在初始安装期间运行安装程序的create cluster命令一次。
先决条件

  • 您已配置一个帐户，该帐户具有托管集群的云平台。

  • 您拥有 OpenShift Container Platform 安装程序和集群的 pull secret。

  • 您已验证主机上的云提供商帐户具有部署集群的正确权限。权限不正确的帐户会导致安装过程失败，并显示一条显示缺少权限的错误消息。

步骤

  1. 删除任何现有GCP凭据，这些凭据不使用您为集群配置的GCP帐户的服务帐户密钥，并存储在以下位置

    • GOOGLE_CREDENTIALS、GOOGLE_CLOUD_KEYFILE_JSON或GCLOUD_KEYFILE_JSON环境变量

    • ~/.gcp/osServiceAccount.json文件

    • gcloud cli默认凭据

  2. 更改到包含安装程序的目录并初始化集群部署

    $ ./openshift-install create cluster --dir <installation_directory> \ (1)
    --log-level=info (2)
    1 对于<installation_directory>，请指定自定义./install-config.yaml文件的路径。
    2 要查看不同的安装详细信息，请指定warn、debug或error而不是info。

  3. 可选：您可以减少用于安装集群的服务帐户的权限数量。

    • 如果您为服务帐户分配了Owner角色，则可以删除该角色并将其替换为Viewer角色。

    • 如果您包含了Service Account Key Admin角色，则可以删除它。

验证

集群部署成功完成后

  • 终端将显示访问集群的说明，包括指向Web控制台的链接以及kubeadmin用户的凭据。

  • 凭据信息也会输出到<installation_directory>/.openshift_install.log。

请勿删除安装程序或安装程序创建的文件。两者都是删除集群所必需的。
示例输出
...
INFO Install complete!
INFO To access the cluster as the system:admin user when using 'oc', run 'export KUBECONFIG=/home/myuser/install_dir/auth/kubeconfig'
INFO Access the OpenShift web-console here: https://console-openshift-console.apps.mycluster.example.com
INFO Login to the console with user: "kubeadmin", and password: "password"
INFO Time elapsed: 36m22s

  • 安装程序生成的Ignition配置文件包含在24小时后到期的证书，届时会续期。如果集群在续期证书之前关闭，并在24小时后重新启动，则集群会自动恢复已过期的证书。例外情况是，您必须手动批准挂起的node-bootstrapper证书签名请求 (CSR) 以恢复kubelet证书。有关更多信息，请参阅有关“从已过期控制平面证书中恢复”的文档。

  • 建议您在生成 Ignition 配置文件后 12 小时内使用它们，因为在集群安装后 16 到 22 小时之间会进行 24 小时证书轮换。通过在 12 小时内使用 Ignition 配置文件，您可以避免在安装过程中运行证书更新时安装失败。

使用CLI登录集群

您可以通过导出集群kubeconfig文件以默认系统用户身份登录到集群。kubeconfig文件包含集群信息，CLI 使用这些信息将客户端连接到正确的集群和API服务器。该文件特定于一个集群，并在OpenShift Container Platform安装期间创建。

先决条件

  • 您已部署了OpenShift Container Platform集群。

  • 您已安装oc CLI。

步骤

  1. 导出kubeadmin凭据

    $ export KUBECONFIG=<installation_directory>/auth/kubeconfig (1)
    1 对于<installation_directory>，请指定您存储安装文件的目录的路径。

  2. 验证您可以使用导出的配置成功运行oc命令

    $ oc whoami
    示例输出
    system:admin
其他资源

  • 有关访问和了解OpenShift Container Platform Web控制台的更多详细信息，请参阅访问Web控制台。

OpenShift Container Platform的遥测访问

在OpenShift Container Platform 4.17中，默认情况下运行的遥测服务（提供有关集群运行状况和更新成功的指标）需要Internet访问。如果您的集群连接到Internet，则遥测会自动运行，并且您的集群会注册到OpenShift集群管理器。

确认您的OpenShift集群管理器清单正确后（通过遥测自动维护或使用OpenShift集群管理器手动维护），使用订阅监控来跟踪您在帐户或多集群级别上的OpenShift Container Platform订阅。

其他资源

后续步骤