OpenShift 文档正在迁移，很快将只能在 docs.redhat.com（所有 Red Hat 产品文档的所在地）访问。立即体验 新的文档体验。
  1. 文档
    2. history bug_report picture_as_pdf
×

配置 IBM Cloud 帐户

先决条件

  • 您拥有具有订阅的 IBM Cloud® 帐户。您无法在免费或试用 IBM Cloud® 帐户上安装 OpenShift Container Platform。

IBM Cloud 上的配额和限制

OpenShift Container Platform 集群使用许多 IBM Cloud® 组件，默认配额和限制会影响您安装 OpenShift Container Platform 集群的能力。如果您使用某些集群配置，在某些区域部署集群，或从您的帐户运行多个集群，您可能需要为您的 IBM Cloud® 帐户请求更多资源。

有关默认 IBM Cloud® 配额和服务限制的完整列表，请参阅 IBM Cloud® 的文档，网址为 配额和服务限制。

虚拟专用云 (VPC)

每个 OpenShift Container Platform 集群都会创建自己的 VPC。每个区域的 VPC 默认配额为 10 个，允许 10 个集群。要在单个区域中拥有超过 10 个集群，您必须增加此配额。

应用程序负载均衡器

默认情况下，每个集群都会创建三个应用程序负载均衡器 (ALB)

  • 主 API 服务器的内部负载均衡器

  • 主 API 服务器的外部负载均衡器

  • 路由器的负载均衡器

您可以创建额外的 LoadBalancer 服务对象以创建额外的 ALB。VPC ALB 的默认配额为每个区域 50 个。要拥有超过 50 个 ALB，您必须增加此配额。

支持VPC ALB。经典ALB不支持IBM Cloud®。

浮动IP地址

默认情况下，安装程序会跨区域内的所有可用区分配控制平面和计算机器，从而以高可用性配置来配置集群。在每个可用区中，都会创建一个公共网关，并需要一个单独的浮动IP地址。

浮动IP地址的默认配额为每个可用区20个地址。默认集群配置产生三个浮动IP地址。

  • 在`us-east-1`主区域中拥有两个浮动IP地址。安装后，与引导节点关联的IP地址将被移除。

  • 在`us-east-2`次要区域中拥有一个浮动IP地址。

  • 在`us-east-3`次要区域中拥有一个浮动IP地址。

IBM Cloud®在一个账户中每个区域最多可以支持19个集群。如果您计划拥有超过19个默认集群，则必须增加此配额。

虚拟服务器实例 (VSI)

默认情况下，集群使用`bx2-4x16`配置文件创建VSI，默认情况下包含以下资源：

  • 4个vCPU

  • 16 GB RAM

创建以下节点：

  • 一个`bx2-4x16`引导机器，安装完成后将被移除。

  • 三个`bx2-4x16`控制平面节点

  • 三个`bx2-4x16`计算节点

有关更多信息，请参阅IBM Cloud®关于支持的配置文件的文档。

表1. VSI组件配额和限制
VSI组件 默认IBM Cloud®配额 默认集群配置 最大集群数

vCPU

每个区域200个vCPU

28个vCPU，或移除引导程序后为24个vCPU

每个区域8个

RAM

每个区域1600 GB

112 GB，或移除引导程序后为96 GB

每个区域16个

存储

每个区域18 TB

1050 GB，或移除引导程序后为900 GB

每个区域19个

如果您计划超过表格中所述的资源，则必须增加您的IBM Cloud®帐户配额。

块存储卷

对于每个VPC机器，都会附加一个块存储设备作为其引导卷。默认集群配置创建七个VPC机器，产生七个块存储卷。IBM Cloud®存储类的其他Kubernetes持久卷声明 (PVC) 会创建额外的块存储卷。VPC块存储卷的默认配额为每个区域300个。要拥有超过300个卷，必须增加此配额。

配置DNS解析

如何配置DNS解析取决于您正在安装的OpenShift Container Platform集群类型。

  • 如果您正在安装公共集群，则使用IBM Cloud Internet Services (CIS)。

  • 如果您正在安装私有集群，则使用IBM Cloud® DNS服务 (DNS服务)。

使用IBM Cloud Internet Services进行DNS解析

安装程序使用IBM Cloud® Internet Services (CIS) 来配置集群DNS解析并为公共集群提供名称查找。

此服务不支持IPv6，因此不支持双栈或IPv6环境。

您必须在与您的集群相同的帐户中创建CIS中的域名区域。您还必须确保该区域对该域名具有权威性。您可以使用根域名或子域名来实现此目的。

先决条件

  • 您已安装IBM Cloud® CLI。

  • 您拥有现有的域名和注册商。有关更多信息，请参阅IBM®文档。

步骤

  1. 创建要与集群一起使用的CIS实例

    1. 安装CIS插件

      $ ibmcloud plugin install cis

    2. 创建CIS实例

      $ ibmcloud cis instance-create <instance_name> standard-next (1)
      1 至少需要一个`Standard Next` CIS计划来管理集群子域及其DNS记录。

      配置注册商或DNS提供商后，更改最多可能需要24小时才能生效。

  2. 将现有域名连接到您的CIS实例

    1. 设置CIS的上下文实例

      $ ibmcloud cis instance-set <instance_name> (1)
      1 实例云资源名称。

    2. 为CIS添加域名

      $ ibmcloud cis domain-add <domain_name> (1)
      1 完全限定域名。您可以使用根域名或子域名值作为域名，具体取决于您计划配置哪个值。

      根域名采用`openshiftcorp.com`的形式。子域名采用`clusters.openshiftcorp.com`的形式。

  3. 打开CIS Web控制台，导航到“概述”页面，并记下您的CIS名称服务器。这些名称服务器将在下一步中使用。

  4. 在域名的注册商或DNS提供商处配置域名或子域的名称服务器。有关更多信息，请参阅IBM Cloud®文档。

使用IBM Cloud DNS服务进行DNS解析

安装程序使用IBM Cloud® DNS服务来配置集群DNS解析并为私有集群提供名称查找。

您可以通过为集群创建DNS服务实例，然后向DNS服务实例添加DNS区域来配置DNS解析。确保该区域对该域名具有权威性。您可以使用根域名或子域名来实现此目的。

IBM Cloud®不支持IPv6，因此不支持双栈或IPv6环境。
先决条件

  • 您已安装IBM Cloud® CLI。

  • 您拥有现有的域名和注册商。有关更多信息，请参阅IBM®文档。

步骤

  1. 创建要与集群一起使用的DNS服务实例

    1. 通过运行以下命令安装DNS服务插件

      $ ibmcloud plugin install cloud-dns-services

    2. 通过运行以下命令创建DNS服务实例

      $ ibmcloud dns instance-create <instance-name> standard-dns (1)
      1 至少需要一个`Standard DNS` DNS服务计划来管理集群子域及其DNS记录。

      配置注册商或DNS提供商后，更改最多可能需要24小时才能生效。

  2. 为DNS服务实例创建一个DNS区域

    1. 通过运行以下命令设置目标操作DNS服务实例

      $ ibmcloud dns instance-target <instance-name>

    2. 通过运行以下命令将DNS区域添加到DNS服务实例

      $ ibmcloud dns zone-create <zone-name> (1)
      1 完全限定区域名称。您可以使用根域名或子域名值作为区域名称，具体取决于您计划配置哪个值。根域名采用`openshiftcorp.com`的形式。子域名采用`clusters.openshiftcorp.com`的形式。

  3. 记录您已创建的DNS区域的名称。作为安装过程的一部分，您必须在部署集群之前更新`install-config.yaml`文件。使用DNS区域的名称作为`baseDomain`参数的值。

您无需管理允许的网络或配置“A”DNS资源记录。安装程序会根据需要自动配置这些资源。

IBM Cloud IAM策略和API密钥

要在您的 IBM Cloud® 帐户中安装 OpenShift Container Platform，安装程序需要一个 IAM API 密钥，该密钥提供对 IBM Cloud® 服务 API 的访问身份验证和授权。您可以使用包含所需策略的现有 IAM API 密钥，也可以创建一个新的密钥。

有关 IBM Cloud® IAM 的概述，请参阅 IBM Cloud® 文档。

必需的访问策略

您必须为您的 IBM Cloud® 帐户分配所需的访问策略。

表 2. 必需的访问策略
服务类型 服务 访问策略范围 平台访问 服务访问

帐户管理

IAM 身份服务

所有资源或部分资源 [1]

编辑器、操作员、查看者、管理员

服务 ID 创建者

帐户管理 [2]

身份和访问管理

所有资源

编辑器、操作员、查看者、管理员

帐户管理

仅资源组

帐户中的所有资源组

管理员

IAM 服务

云对象存储

所有资源或部分资源 [1]

编辑器、操作员、查看者、管理员

读取者、写入者、管理员、内容读取者、对象读取者、对象写入者

IAM 服务

互联网服务

所有资源或部分资源 [1]

编辑器、操作员、查看者、管理员

读取者、写入者、管理员

IAM 服务

DNS 服务

所有资源或部分资源 [1]

编辑器、操作员、查看者、管理员

读取者、写入者、管理员

IAM 服务

VPC 基础设施服务

所有资源或部分资源 [1]

编辑器、操作员、查看者、管理员

读取者、写入者、管理员

  1. 应根据您要分配访问权限的粒度来设置策略访问范围。范围可以设置为**所有资源**或**基于所选属性的资源**。

  2. 可选：仅当您希望安装程序创建资源组时，才需要此访问策略。有关资源组的更多信息，请参阅 IBM® 文档。

访问策略分配

在 IBM Cloud® IAM 中，访问策略可以附加到不同的主体

  • 访问组（推荐）

  • 服务 ID

  • 用户

推荐的方法是在访问组中定义 IAM 访问策略。这有助于组织 OpenShift Container Platform所需的所有访问权限，并使您能够将用户和服务 ID 加入此组。如果需要，您也可以直接将访问权限分配给用户和服务 ID。

创建 API 密钥

您必须为您的 IBM Cloud® 帐户创建用户 API 密钥或服务 ID API 密钥。

先决条件

  • 您已为您的 IBM Cloud® 帐户分配了所需的访问策略。

  • 您已将 IAM 访问策略附加到访问组或其他适当的资源。

步骤

  • 根据您定义 IAM 访问策略的方式创建 API 密钥。

    例如，如果您将访问策略分配给用户，则必须创建一个用户 API 密钥。如果您将访问策略分配给服务 ID，则必须创建一个服务 ID API 密钥。如果您的访问策略分配给访问组，则可以使用任何一种 API 密钥类型。有关 IBM Cloud® API 密钥的更多信息，请参阅了解 API 密钥。

支持的 IBM Cloud 区域

您可以将 OpenShift Container Platform 集群部署到以下区域

  • au-syd（澳大利亚悉尼）

  • br-sao（巴西圣保罗）

  • ca-tor（加拿大多伦多）

  • eu-de（德国法兰克福）

  • eu-gb（英国伦敦）

  • eu-es（西班牙马德里）

  • jp-osa（日本大阪）

  • jp-tok（日本东京）

  • us-east（美国华盛顿特区）

  • us-south（美国达拉斯）

对于 OpenShift Container Platform 4.14.6 和更早版本，不支持在eu-es（西班牙马德里）区域部署集群。

后续步骤