在 Azure 上安装

流程

1. 标识您的域或子域，以及注册商（registrar）。您可以转移现有的域和注册商，或通过 Azure 或其他来源获取新的域和注册商。

   注意

   如需通过 Azure 购买域的更多信息，请参阅 Azure 文档中的购买 Azure 应用服务的自定义域名。

2. 如果您使用现有的域和注册商，请将其 DNS 迁移到 Azure。请参阅 Azure 文档中的将活动 DNS 名称迁移到 Azure 应用服务。

3. 为您的域配置 DNS。按照 Azure 文档中教程：在 Azure DNS 中托管域部分里的步骤，为您的域或子域创建一个公共托管区，提取新的权威名称服务器，并更新您的域使用的名称服务器的注册商记录。

   使用合适的根域（如 openshiftcorp.com）或子域（如 clusters.openshiftcorp.com）。

4. 如果您使用子域，请按照您公司的流程将其委派记录添加到父域。

流程

1. 从 Azure 门户，点击左下角的 Help + suport。

2. 点击 New support request，然后选择所需的值：

   1. 从 Issue type 列表中，选择 Service and subscription limits (quotas)。
   2. 从 Subscription 列表中，选择要修改的订阅。
   3. 从 Quota type 列表中，选择要提高的配额。例如，选择 Compute-VM (cores-vCPUs) subscription limit increases 以增加 vCPU 的数量，这是安装集群所必须的。
   4. 点击 Next: Solutions。

3. 在 Problem Details 页面中，提供您要提高配额所需的信息：

   1. 点击 Provide details，然后在 Quota details 窗口中提供所需的详情。
   2. 在 SUPPORT METHOD 和 CONTACT INFO 部分中，提供问题严重性和您的联系详情。
4. 点击 Next: Review + create，然后点击 Create。

流程

1. 登录 Azure CLI：

   $ az login

   Copy to Clipboard Toggle word wrap

2. 如果您的 Azure 帐户使用订阅，请确定您使用正确的订阅：

   1. 查看可用帐户列表并记录您要用于集群的订阅的 tenantId 值：

      $ az account list --refresh

      Copy to Clipboard Toggle word wrap

      输出示例

      [
        {
          "cloudName": "AzureCloud",
          "id": "9bab1460-96d5-40b3-a78e-17b15e978a80",
          "isDefault": true,
          "name": "Subscription Name",
          "state": "Enabled",
          "tenantId": "6057c7e9-b3ae-489d-a54e-de3f6bf6a8ee",
          "user": {
            "name": "you@example.com",
            "type": "user"
          }
        }
      ]

      Copy to Clipboard Toggle word wrap

   2. 查看您的活跃帐户详情，确认 tenantId 值与您要使用的订阅匹配：

      $ az account show

      Copy to Clipboard Toggle word wrap

      输出示例

      {
        "environmentName": "AzureCloud",
        "id": "9bab1460-96d5-40b3-a78e-17b15e978a80",
        "isDefault": true,
        "name": "Subscription Name",
        "state": "Enabled",
        "tenantId": "6057c7e9-b3ae-489d-a54e-de3f6bf6a8ee", 

      1

      
        "user": {
          "name": "you@example.com",
          "type": "user"
        }
      }

      Copy to Clipboard Toggle word wrap

      1

      确保 tenantId 参数的值是正确的订阅 ID。

   3. 如果您使用的订阅不正确，请更改活跃的订阅：

      $ az account set -s <subscription_id> 

      1

      Copy to Clipboard Toggle word wrap

      1

      指定订阅 ID。

   4. 验证订阅 ID 更新：

      $ az account show

      Copy to Clipboard Toggle word wrap

      输出示例

      {
        "environmentName": "AzureCloud",
        "id": "33212d16-bdf6-45cb-b038-f6565b61edda",
        "isDefault": true,
        "name": "Subscription Name",
        "state": "Enabled",
        "tenantId": "8049c7e9-c3de-762d-a54e-dc3f6be6a7ee",
        "user": {
          "name": "you@example.com",
          "type": "user"
        }
      }

      Copy to Clipboard Toggle word wrap

3. 记录输出中的 tenantId 和 id 参数值。OpenShift Container Platform 安装过程中需要这些值。

4. 为您的帐户创建服务主体：

   $ az ad sp create-for-rbac --role <role_name> \

   1

   
        --name <service_principal> \

   2

   
        --scopes /subscriptions/<subscription_id> 

   3

   Copy to Clipboard Toggle word wrap

   1

   定义角色名称。您可以使用 Contributor 角色，或者指定包含所需权限的自定义角色。

   2

   定义服务主体名称。

   3

   指定订阅 ID。

   输出示例

   Creating 'Contributor' role assignment under scope '/subscriptions/<subscription_id>'
   The output includes credentials that you must protect. Be sure that you do not
   include these credentials in your code or check the credentials into your source
   control. For more information, see https://aka.ms/azadsp-cli
   {
     "appId": "ac461d78-bf4b-4387-ad16-7e32e328aec6",
     "displayName": <service_principal>",
     "password": "00000000-0000-0000-0000-000000000000",
     "tenantId": "8049c7e9-c3de-762d-a54e-dc3f6be6a7ee"
   }

   Copy to Clipboard Toggle word wrap

5. 记录前面输出中 appId 和 password 参数的值。OpenShift Container Platform 安装过程中需要这些值。

6. 如果您将 Contributor 角色应用到服务主体，请运行以下命令来分配 User Administrator Access 角色：

   $ az role assignment create --role "User Access Administrator" \
     --assignee-object-id $(az ad sp show --id <appId> --query id -o tsv) 

   1

   Copy to Clipboard Toggle word wrap

   1

   为您的服务主体指定 appId 参数值。

流程

1. 运行以下命令，切换到包含安装程序的目录并创建 install-config.yaml 文件：

   $ openshift-install create install-config --dir <installation_directory>

   Copy to Clipboard Toggle word wrap

   其中 <installation_directory> 是安装程序在其中创建文件的目录。

2. 编辑 install-config.yaml 配置文件，使其包含将 credentialsMode 参数设置为 Manual。

   install-config.yaml 配置文件示例

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 

   1

   
   compute:
   - architecture: amd64
     hyperthreading: Enabled
   ...

   Copy to Clipboard Toggle word wrap

   1

   添加这一行将 credentialsMode 参数设置为 Manual。

3. 从包含安装程序的目录中运行以下命令来生成清单：

   $ openshift-install create manifests --dir <installation_directory>

   Copy to Clipboard Toggle word wrap

   其中 <installation_directory> 是安装程序在其中创建文件的目录。

4. 在包含安装程序的目录中，运行以下命令来获取构建 openshift-install 二进制文件的 OpenShift Container Platform 发行镜像的详情：

   $ openshift-install version

   Copy to Clipboard Toggle word wrap

   输出示例

   release image quay.io/openshift-release-dev/ocp-release:4.y.z-x86_64

   Copy to Clipboard Toggle word wrap

5. 运行以下命令，找到此发行版本镜像中的所有 CredentialsRequest 对象：

   $ oc adm release extract quay.io/openshift-release-dev/ocp-release:4.y.z-x86_64 \
     --credentials-requests \
     --cloud=azure

   Copy to Clipboard Toggle word wrap

   此命令为每个 CredentialsRequest 对象创建一个 YAML 文件。

   CredentialsRequest 对象示例

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component-credentials-request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: AzureProviderSpec
       roleBindings:
       - role: Contributor
     ...

   Copy to Clipboard Toggle word wrap

6. 在之前生成的 openshift-install 清单目录中为 secret 创建 YAML 文件。secret 必须使用在 spec.secretRef 中为每个 CredentialsRequest 定义的命名空间和 secret 名称存储。

   带有 secret 的 CredentialsRequest 对象示例

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component-credentials-request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: AzureProviderSpec
       roleBindings:
       - role: Contributor
         ...
     secretRef:
       name: <component-secret>
       namespace: <component-namespace>
     ...

   Copy to Clipboard Toggle word wrap

   Secret 对象示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: <component-secret>
     namespace: <component-namespace>
   data:
     azure_subscription_id: <base64_encoded_azure_subscription_id>
     azure_client_id: <base64_encoded_azure_client_id>
     azure_client_secret: <base64_encoded_azure_client_secret>
     azure_tenant_id: <base64_encoded_azure_tenant_id>
     azure_resource_prefix: <base64_encoded_azure_resource_prefix>
     azure_resourcegroup: <base64_encoded_azure_resourcegroup>
     azure_region: <base64_encoded_azure_region>

   Copy to Clipboard Toggle word wrap

   重要

   发行镜像包含通过 TechPreviewNoUpgrade 功能集启用的技术预览功能的 CredentialsRequest 对象。您可以使用 release.openshift.io/feature-set: TechPreviewNoUpgrade 注解来识别这些对象。

   • 如果不使用这些功能，请不要为这些对象创建 secret。为不使用的技术预览功能创建 secret 可能会导致安装失败。
   • 如果使用这些功能，必须为对应的对象创建 secret。

   • 要使用 TechPreviewNoUpgrade 注解查找 CredentialsRequest 对象，请运行以下命令：

     $ grep "release.openshift.io/feature-set" *

     Copy to Clipboard Toggle word wrap

     输出示例

     0000_30_capi-operator_00_credentials-request.yaml:  release.openshift.io/feature-set: TechPreviewNoUpgrade

     Copy to Clipboard Toggle word wrap

7. 从包含安装程序的目录中，开始创建集群：

   $ openshift-install create cluster --dir <installation_directory>

   Copy to Clipboard Toggle word wrap
   重要

   在升级使用手动维护凭证的集群前，您必须确保 CCO 处于可升级状态。

流程

1. 运行以下命令，为 Azure 资源组设置以下环境变量：

   $ export RESOURCEGROUP="<resource_group>" \

   1

   
       LOCATION="<location>" 

   2

   Copy to Clipboard Toggle word wrap

   1

   指定您要创建磁盘加密集和加密密钥的 Azure 资源组名称。为了避免在销毁集群后丢失对密钥的访问，您应该在与安装集群的资源组不同的资源组中创建 Disk Encryption Set。

   2

   指定您要创建资源组的 Azure 位置。

2. 运行以下命令，为 Azure Key Vault 和 Disk Encryption Set 设置以下环境变量：

   $ export KEYVAULT_NAME="<keyvault_name>" \

   1

   
       KEYVAULT_KEY_NAME="<keyvault_key_name>" \

   2

   
       DISK_ENCRYPTION_SET_NAME="<disk_encryption_set_name>" 

   3

   Copy to Clipboard Toggle word wrap

   1

   指定您要创建的 Azure Key Vault 的名称。

   2

   指定您要创建的加密密钥名称。

   3

   指定您要创建的磁盘加密集的名称。

3. 运行以下命令，为您的 Azure Service Principal 设置环境变量：

   $ export CLUSTER_SP_ID="<service_principal_id>" 

   1

   Copy to Clipboard Toggle word wrap

   1

   指定用于此安装的服务主体的 ID。

4. 运行以下命令，在 Azure 中启用主机级别加密：

   $ az feature register --namespace "Microsoft.Compute" --name "EncryptionAtHost"

   Copy to Clipboard Toggle word wrap

   $ az feature show --namespace Microsoft.Compute --name EncryptionAtHost

   Copy to Clipboard Toggle word wrap

   $ az provider register -n Microsoft.Compute

   Copy to Clipboard Toggle word wrap

5. 运行以下命令，创建一个 Azure 资源组来保存磁盘加密集和相关资源：

   $ az group create --name $RESOURCEGROUP --location $LOCATION

   Copy to Clipboard Toggle word wrap

6. 运行以下命令来创建 Azure 密钥库：

   $ az keyvault create -n $KEYVAULT_NAME -g $RESOURCEGROUP -l $LOCATION \
       --enable-purge-protection true

   Copy to Clipboard Toggle word wrap

7. 运行以下命令，在密钥 vault 中创建加密密钥：

   $ az keyvault key create --vault-name $KEYVAULT_NAME -n $KEYVAULT_KEY_NAME \
       --protection software

   Copy to Clipboard Toggle word wrap

8. 运行以下命令捕获密钥 vault 的 ID：

   $ KEYVAULT_ID=$(az keyvault show --name $KEYVAULT_NAME --query "[id]" -o tsv)

   Copy to Clipboard Toggle word wrap

9. 运行以下命令，捕获密钥 vault 中的密钥 URL：

   $ KEYVAULT_KEY_URL=$(az keyvault key show --vault-name $KEYVAULT_NAME --name \
       $KEYVAULT_KEY_NAME --query "[key.kid]" -o tsv)

   Copy to Clipboard Toggle word wrap

10. 运行以下命令来创建磁盘加密集：

    $ az disk-encryption-set create -n $DISK_ENCRYPTION_SET_NAME -l $LOCATION -g \
        $RESOURCEGROUP --source-vault $KEYVAULT_ID --key-url $KEYVAULT_KEY_URL

    Copy to Clipboard Toggle word wrap

11. 运行以下命令，为 DiskEncryptionSet 资源授予对密钥 vault 的访问权限：

    $ DES_IDENTITY=$(az disk-encryption-set show -n $DISK_ENCRYPTION_SET_NAME -g \
        $RESOURCEGROUP --query "[identity.principalId]" -o tsv)

    Copy to Clipboard Toggle word wrap

    $ az keyvault set-policy -n $KEYVAULT_NAME -g $RESOURCEGROUP --object-id \
        $DES_IDENTITY --key-permissions wrapkey unwrapkey get

    Copy to Clipboard Toggle word wrap

12. 运行以下命令，授予 Azure Service Principal 权限来读取 DiskEncryptionSet：

    $ DES_RESOURCE_ID=$(az disk-encryption-set show -n $DISK_ENCRYPTION_SET_NAME -g \
        $RESOURCEGROUP --query "[id]" -o tsv)

    Copy to Clipboard Toggle word wrap

    $ az role assignment create --assignee $CLUSTER_SP_ID --role "<reader_role>" \

    1

    
        --scope $DES_RESOURCE_ID -o jsonc

    Copy to Clipboard Toggle word wrap

    1

    指定对磁盘加密集的读取权限的 Azure 角色。您可以使用 Owner 角色或具有所需权限的自定义角色。

流程

1. 如果您在本地计算机上没有可用于在集群节点上进行身份验证的现有 SSH 密钥对，请创建一个。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ ssh-keygen -t ed25519 -N '' -f <path>/<file_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   指定新 SSH 密钥的路径和文件名，如 ~/.ssh/id_ed25519。如果您已有密钥对，请确保您的公钥位于 ~/.ssh 目录中。

   注意

   如果您计划在 x86_64、ppc64le 和 s390x 架构上安装使用 FIPS 验证或 Modules In Process 加密库的 OpenShift Container Platform 集群。请不要创建使用 ed25519 算法的密钥。相反，创建一个使用 rsa 或 ecdsa 算法的密钥。

2. 查看公共 SSH 密钥：

   $ cat <path>/<file_name>.pub

   Copy to Clipboard Toggle word wrap

   例如，运行以下命令来查看 ~/.ssh/id_ed25519.pub 公钥：

   $ cat ~/.ssh/id_ed25519.pub

   Copy to Clipboard Toggle word wrap

3. 将 SSH 私钥身份添加到本地用户的 SSH 代理（如果尚未添加）。在集群节点上，或者要使用 ./openshift-install gather 命令，需要对该密钥进行 SSH 代理管理，才能在集群节点上进行免密码 SSH 身份验证。

   注意

   在某些发行版中，自动管理默认 SSH 私钥身份，如 ~/.ssh/id_rsa 和 ~/.ssh/id_dsa。

   1. 如果 ssh-agent 进程尚未为您的本地用户运行，请将其作为后台任务启动：

      $ eval "$(ssh-agent -s)"

      Copy to Clipboard Toggle word wrap

      输出示例

      Agent pid 31874

      Copy to Clipboard Toggle word wrap

      注意

      如果集群处于 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必须是 RSA 或 ECDSA。

4. 将 SSH 私钥添加到 ssh-agent ：

   $ ssh-add <path>/<file_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_ed25519.pub

   输出示例

   Identity added: /home/<you>/<path>/<file_name> (<computer_name>)

   Copy to Clipboard Toggle word wrap

流程

1. 访问 OpenShift Cluster Manager 站点的 Infrastructure Provider 页面。如果您有红帽帐户，请使用您的凭证登录。如果没有，请创建一个帐户。
2. 选择您的基础架构供应商。

3. 进入到安装类型的页面，下载与您的主机操作系统和架构对应的安装程序，并将该文件放在您要存储安装配置文件的目录中。

   重要

   安装程序会在用来安装集群的计算机上创建几个文件。在完成集群安装后，您必须保留安装程序和安装程序所创建的文件。这两个文件都需要删除集群。

   重要

   删除安装程序创建的文件不会删除您的集群，即使集群在安装过程中失败也是如此。要删除集群，请为特定云供应商完成 OpenShift Container Platform 卸载流程。

4. 提取安装程序。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ tar -xvf openshift-install-linux.tar.gz

   Copy to Clipboard Toggle word wrap
5. 从 Red Hat OpenShift Cluster Manager 下载安装 pull secret。此 pull secret 允许您与所含授权机构提供的服务进行身份验证，这些服务包括为 OpenShift Container Platform 组件提供容器镜像的 Quay.io。

流程

1. 进入包含安装程序的目录并初始化集群部署：

   $ ./openshift-install create cluster --dir <installation_directory> \ 

   1

   
       --log-level=info 

   2

   Copy to Clipboard Toggle word wrap

   1

   对于 <installation_directory>，请指定要存储安装程序创建的文件的目录名称。

   2

   要查看不同的安装详情，请指定 warn、debug 或 error，而不是 info。

   在指定目录时：

   • 验证该目录是否具有执行权限。在安装目录中运行 Terraform 二进制文件需要这个权限。
   • 使用空目录。有些安装资产，如 bootstrap X.509 证书的过期间隔较短，因此不得重复使用安装目录。如果要重复使用另一个集群安装中的单个文件，您可以将它们复制到您的目录中。但是，安装资产的文件名可能会在发行版本间有所变化。从以前的 OpenShift Container Platform 版本中复制安装文件时请小心。

2. 在提示符处提供值：

   1. 可选： 选择用于访问集群机器的 SSH 密钥。

      注意

      对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

   2. 选择 azure 作为目标平台。

   3. 如果安装程序无法找到包含 Microsoft Azure 配置集信息的 osServicePrincipal.json 配置文件，位于计算机上的 ~/.azure/ 目录中，安装程序会提示您输入订阅和服务主体的以下 Azure 参数值。

      • azure subscription id：要用于集群的订阅 ID。指定帐户输出中的 id 值。
      • azure tenant id：租户 ID。指定帐户输出中的 tenantId 值。
      • azure service principal client id：服务主体的 appId 参数值。

      • azure service principal client secret：服务主体的 password 参数值。

        重要

        为之前列出的参数输入值后，安装程序会创建一个 osServicePrincipal.json 配置文件，并将此文件存储在计算机上的 ~/.azure/ 目录中。这些操作可确保安装程序在目标平台上创建 OpenShift Container Platform 集群时加载配置集。

   4. 选择要将集群部署到的区域。
   5. 选择集群要部署到的基域。基域与您为集群创建的 Azure DNS 区对应。

   6. 为集群输入一个描述性名称。

      重要

      所有通过公共端点提供的 Azure 资源均存在资源名称的限制，您无法创建使用某些名称的资源。如需 Azure 限制词语列表，请参阅 Azure 文档中的解决保留资源名称错误。

   7. 粘贴 Red Hat OpenShift Cluster Manager 中的 pull secret。
   注意

   如果您在主机上配置的云供应商帐户没有足够的权限来部署集群，安装过程将停止，并显示缺少的权限。

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 从 产品变体 下拉列表中选择架构。
3. 从 版本 下拉列表中选择适当的版本。
4. 点 OpenShift v4.12 Linux Client 条目旁的 Download Now 来保存文件。

5. 解包存档：

   $ tar xvf <file>

   Copy to Clipboard Toggle word wrap

6. 将 oc 二进制文件放到 PATH 中的目录中。

   要查看您的 PATH，请执行以下命令：

   $ echo $PATH

   Copy to Clipboard Toggle word wrap

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 从 版本 下拉列表中选择适当的版本。
3. 点 OpenShift v4.12 Windows Client 条目旁的 Download Now 来保存文件。
4. 使用 ZIP 程序解压存档。

5. 将 oc 二进制文件移到 PATH 中的目录中。

   要查看您的 PATH，请打开命令提示并执行以下命令：

   C:\> path

   Copy to Clipboard Toggle word wrap

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 从 版本 下拉列表中选择适当的版本。

3. 点 OpenShift v4.12 macOS Client 条目旁的 Download Now 来保存文件。

   注意

   对于 macOS arm64，请选择 OpenShift v4.12 macOS arm64 Client 条目。

4. 解包和解压存档。

5. 将 oc 二进制文件移到 PATH 的目录中。

   要查看您的 PATH，请打开终端并执行以下命令：

   $ echo $PATH

   Copy to Clipboard Toggle word wrap

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 

   1

   Copy to Clipboard Toggle word wrap

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 验证您可以使用导出的配置成功运行 oc 命令：

   $ oc whoami

   Copy to Clipboard Toggle word wrap

   输出示例

   system:admin

   Copy to Clipboard Toggle word wrap

流程

1. 如果您在本地计算机上没有可用于在集群节点上进行身份验证的现有 SSH 密钥对，请创建一个。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ ssh-keygen -t ed25519 -N '' -f <path>/<file_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   指定新 SSH 密钥的路径和文件名，如 ~/.ssh/id_ed25519。如果您已有密钥对，请确保您的公钥位于 ~/.ssh 目录中。

   注意

   如果您计划在 x86_64、ppc64le 和 s390x 架构上安装使用 FIPS 验证或 Modules In Process 加密库的 OpenShift Container Platform 集群。请不要创建使用 ed25519 算法的密钥。相反，创建一个使用 rsa 或 ecdsa 算法的密钥。

2. 查看公共 SSH 密钥：

   $ cat <path>/<file_name>.pub

   Copy to Clipboard Toggle word wrap

   例如，运行以下命令来查看 ~/.ssh/id_ed25519.pub 公钥：

   $ cat ~/.ssh/id_ed25519.pub

   Copy to Clipboard Toggle word wrap

3. 将 SSH 私钥身份添加到本地用户的 SSH 代理（如果尚未添加）。在集群节点上，或者要使用 ./openshift-install gather 命令，需要对该密钥进行 SSH 代理管理，才能在集群节点上进行免密码 SSH 身份验证。

   注意

   在某些发行版中，自动管理默认 SSH 私钥身份，如 ~/.ssh/id_rsa 和 ~/.ssh/id_dsa。

   1. 如果 ssh-agent 进程尚未为您的本地用户运行，请将其作为后台任务启动：

      $ eval "$(ssh-agent -s)"

      Copy to Clipboard Toggle word wrap

      输出示例

      Agent pid 31874

      Copy to Clipboard Toggle word wrap

      注意

      如果集群处于 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必须是 RSA 或 ECDSA。

4. 将 SSH 私钥添加到 ssh-agent ：

   $ ssh-add <path>/<file_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_ed25519.pub

   输出示例

   Identity added: /home/<you>/<path>/<file_name> (<computer_name>)

   Copy to Clipboard Toggle word wrap

流程

1. 运行以下命令之一，显示所有可用的 OpenShift Container Platform 镜像：

   • 北美：

     $  az vm image list --all --offer rh-ocp-worker --publisher redhat -o table

     Copy to Clipboard Toggle word wrap

     输出示例

     Offer          Publisher       Sku                 Urn                                                             Version
     -------------  --------------  ------------------  --------------------------------------------------------------  --------------
     rh-ocp-worker  RedHat          rh-ocp-worker       RedHat:rh-ocp-worker:rh-ocpworker:4.8.2021122100               4.8.2021122100
     rh-ocp-worker  RedHat          rh-ocp-worker-gen1  RedHat:rh-ocp-worker:rh-ocp-worker-gen1:4.8.2021122100         4.8.2021122100

     Copy to Clipboard Toggle word wrap

   • 欧洲、中东和非洲地区：

     $  az vm image list --all --offer rh-ocp-worker --publisher redhat-limited -o table

     Copy to Clipboard Toggle word wrap

     输出示例

     Offer          Publisher       Sku                 Urn                                                             Version
     -------------  --------------  ------------------  --------------------------------------------------------------  --------------
     rh-ocp-worker  redhat-limited  rh-ocp-worker       redhat-limited:rh-ocp-worker:rh-ocp-worker:4.8.2021122100       4.8.2021122100
     rh-ocp-worker  redhat-limited  rh-ocp-worker-gen1  redhat-limited:rh-ocp-worker:rh-ocp-worker-gen1:4.8.2021122100  4.8.2021122100

     Copy to Clipboard Toggle word wrap

   注意

   无论您安装的 OpenShift Container Platform 版本是什么，要使用的 Azure Marketplace 镜像的正确版本都是 4.8。如果需要，您的虚拟机会在安装过程中自动升级。

2. 运行以下命令之一检查您的所提供的镜像：

   • 北美：

     $ az vm image show --urn redhat:rh-ocp-worker:rh-ocp-worker:<version>

     Copy to Clipboard Toggle word wrap

   • 欧洲、中东和非洲地区：

     $ az vm image show --urn redhat-limited:rh-ocp-worker:rh-ocp-worker:<version>

     Copy to Clipboard Toggle word wrap

3. 运行以下命令之一查看提供的术语：

   • 北美：

     $ az vm image terms show --urn redhat:rh-ocp-worker:rh-ocp-worker:<version>

     Copy to Clipboard Toggle word wrap

   • 欧洲、中东和非洲地区：

     $ az vm image terms show --urn redhat-limited:rh-ocp-worker:rh-ocp-worker:<version>

     Copy to Clipboard Toggle word wrap

4. 运行以下命令之一接受产品条款：

   • 北美：

     $ az vm image terms accept --urn redhat:rh-ocp-worker:rh-ocp-worker:<version>

     Copy to Clipboard Toggle word wrap

   • 欧洲、中东和非洲地区：

     $ az vm image terms accept --urn redhat-limited:rh-ocp-worker:rh-ocp-worker:<version>

     Copy to Clipboard Toggle word wrap
5. 记录您的所提供的镜像详情。在部署集群前，您必须使用 publisher, offer, sku, 和 version 的值来更新 install-config.yaml 文件中的 compute 部分。

流程

1. 访问 OpenShift Cluster Manager 站点的 Infrastructure Provider 页面。如果您有红帽帐户，请使用您的凭证登录。如果没有，请创建一个帐户。
2. 选择您的基础架构供应商。

3. 进入到安装类型的页面，下载与您的主机操作系统和架构对应的安装程序，并将该文件放在您要存储安装配置文件的目录中。

   重要

   安装程序会在用来安装集群的计算机上创建几个文件。在完成集群安装后，您必须保留安装程序和安装程序所创建的文件。这两个文件都需要删除集群。

   重要

   删除安装程序创建的文件不会删除您的集群，即使集群在安装过程中失败也是如此。要删除集群，请为特定云供应商完成 OpenShift Container Platform 卸载流程。

4. 提取安装程序。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ tar -xvf openshift-install-linux.tar.gz

   Copy to Clipboard Toggle word wrap
5. 从 Red Hat OpenShift Cluster Manager 下载安装 pull secret。此 pull secret 允许您与所含授权机构提供的服务进行身份验证，这些服务包括为 OpenShift Container Platform 组件提供容器镜像的 Quay.io。

流程

1. 创建 install-config.yaml 文件。

   1. 进入包含安装程序的目录并运行以下命令：

      $ ./openshift-install create install-config --dir <installation_directory> 

      1

      Copy to Clipboard Toggle word wrap

      1

      对于 <installation_directory>，请指定要存储安装程序创建的文件的目录名称。

      在指定目录时：

      • 验证该目录是否具有执行权限。在安装目录中运行 Terraform 二进制文件需要这个权限。
      • 使用空目录。有些安装资产，如 bootstrap X.509 证书的过期间隔较短，因此不得重复使用安装目录。如果要重复使用另一个集群安装中的单个文件，您可以将它们复制到您的目录中。但是，安装资产的文件名可能会在发行版本间有所变化。从以前的 OpenShift Container Platform 版本中复制安装文件时请小心。

   2. 在提示符处，提供云的配置详情：

      1. 可选： 选择用于访问集群机器的 SSH 密钥。

         注意

         对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

      2. 选择 azure 作为目标平台。

      3. 如果计算机上没有 Microsoft Azure 配置集，请为您的订阅和服务主体指定以下 Azure 参数值：

         • azure subscription id：要用于集群的订阅 ID。指定帐户输出中的 id 值。
         • azure tenant id：租户 ID。指定帐户输出中的 tenantId 值。
         • azure service principal client id：服务主体的 appId 参数值。
         • azure service principal client secret：服务主体的 password 参数值。
      4. 选择要在其中部署集群的区域。
      5. 选择集群要部署到的基域。基域与您为集群创建的 Azure DNS 区对应。

      6. 为集群输入一个描述性名称。

         重要

         所有通过公共端点提供的 Azure 资源均存在资源名称的限制，您无法创建使用某些名称的资源。如需 Azure 限制词语列表，请参阅 Azure 文档中的解决保留资源名称错误。

      7. 粘贴 Red Hat OpenShift Cluster Manager 中的 pull secret。
2. 修改 install-config.yaml 文件。您可以在"安装配置参数"部分找到有关可用参数的更多信息。

3. 备份 install-config.yaml 文件，以便您可以使用它安装多个集群。

   重要

   install-config.yaml 文件会在安装过程中消耗掉。如果要重复使用该文件，您必须立即备份该文件。

流程

1. 获取安装程序使用的集群资源组的身份：

   1. 如果在 install-config.yaml 中指定了现有资源组，请运行以下命令获取其 Azure 身份：

      $ az identity list --resource-group "<existing_resource_group>"

      Copy to Clipboard Toggle word wrap

   2. 如果您没有在 install-config.yaml 中指定现有资源组，请找到安装程序创建的资源组，然后运行以下命令来获取其 Azure 身份：

      $ az group list

      Copy to Clipboard Toggle word wrap

      $ az identity list --resource-group "<installer_created_resource_group>"

      Copy to Clipboard Toggle word wrap

2. 运行以下命令，为集群资源组授予角色分配，使其可以写入 Disk Encryption Set：

   $ az role assignment create --role "<privileged_role>" \

   1

   
       --assignee "<resource_group_identity>" 

   2

   Copy to Clipboard Toggle word wrap

   1

   指定对磁盘加密集具有读/写权限的 Azure 角色。您可以使用 Owner 角色或具有所需权限的自定义角色。

   2

   指定集群资源组的身份。

3. 运行以下命令，获取在安装前创建的磁盘加密集的 id ：

   $ az disk-encryption-set show -n <disk_encryption_set_name> \

   1

   
        --resource-group <resource_group_name> 

   2

   Copy to Clipboard Toggle word wrap

   1

   指定磁盘加密集的名称。

   2

   指定包含磁盘加密集的资源组。id 的格式是 "/subscriptions/…​/resourceGroups/…​/providers/Microsoft.Compute/diskEncryptionSets/…​"。

4. 运行以下命令，获取集群服务主体的身份：

   $ az identity show -g <cluster_resource_group> \

   1

   
        -n <cluster_service_principal_name> \

   2

   
        --query principalId --out tsv

   Copy to Clipboard Toggle word wrap

   1

   指定安装程序创建的集群资源组的名称。

   2

   指定安装程序创建的集群服务主体的名称。身份的格式是 12345678-1234-1234-1234-1234567890。

5. 运行以下命令，创建一个角色分配，为磁盘加密集授予集群服务主体必要的权限：

   $ az role assignment create --assignee <cluster_service_principal_id> \

   1

   
        --role <privileged_role> \

   2

   
        --scope <disk_encryption_set_id> \

   3

   Copy to Clipboard Toggle word wrap

   1

   指定上一步中获得的集群服务主体的 ID。

   2

   指定 Azure 角色名称。您可以使用 Contributor 角色或具有所需权限的自定义角色。

   3

   指定磁盘加密集的 ID。

6. 创建使用用户管理的磁盘加密集的存储类：

   1. 将以下存储类定义保存到文件中，如 storage-class-definition.yaml ：

      kind: StorageClass
      apiVersion: storage.k8s.io/v1
      metadata:
        name: managed-premium
      provisioner: kubernetes.io/azure-disk
      parameters:
        skuname: Premium_LRS
        kind: Managed
        diskEncryptionSetID: "<disk_encryption_set_ID>" 

      1

      
        resourceGroup: "<resource_group_name>" 

      2

      
      reclaimPolicy: Delete
      allowVolumeExpansion: true
      volumeBindingMode: WaitForFirstConsumer

      Copy to Clipboard Toggle word wrap

      1

      指定您在先决条件步骤中创建的磁盘加密集的 ID，例如 "/subscriptions/xxxxxx-xxxxx-xxxxx/resourceGroups/test-encryption/providers/Microsoft.Compute/diskEncryptionSets/disk-encryption-set-xxxxxx"。

      2

      指定安装程序使用的资源组的名称。这是第一步中的资源组。

   2. 从您创建的文件创建存储类 managed-premium ：

      $ oc create -f storage-class-definition.yaml

      Copy to Clipboard Toggle word wrap
7. 在创建持久性卷以使用加密存储时，选择 managed-premium 存储类。