在 Oracle Edge Cloud 上安装

1. 准备 Oracle® Edge Cloud 堡垒服务器。
2. 通过 Home 区域运行 Terraform 脚本。
3. 为 Oracle Edge Cloud 准备 OpenShift Container Platform 镜像。
4. 通过 Oracle® Edge Cloud 区域运行 Terraform 脚本。
5. 使用 Assisted Installer Web 控制台安装集群。

流程

1. 安装堡垒服务器。详情请查看 Oracle 文档中的 "安装"部分。
2. 安装用于运行 Terraform 脚本的 Terraform 应用程序。详情请查看 Oracle 文档中的 "Terraform Installation"部分。
3. 安装和配置 OCI 命令行界面(CLI)。详情请参阅 Oracle 文档中的 "安装和配置 OCI CLI"部分。

流程

1. 通过 SSH 连接到堡垒服务器。
2. 创建 OpenShift\createResourceOnHomeRegion 文件夹。
3. 将 createInfraResources.tf 和 terraform.tfvars 文件从 C3_PCA GitHub 存储库复制到 createResourceOnHomeRegion 文件夹中。
4. 确保您有权访问源环境，并且已导出了 C3 证书。
5. 运行 createInfraResources.tf Terraform 脚本。

流程

1. 通过 SSH 连接到堡垒服务器。
2. 设置 C3 证书位置并导出证书。
3. 运行 terraform.tfvars 脚本，以创建三个 control plane 节点和三个计算节点。
4. 更新 control plane 和计算节点的标签。
5. 在 Oracle® Edge Cloud 门户上逐一停止并重启实例。

1. 创建 Oracle Cloud Infrastructure (OCI) 资源和服务 (Oracle)。
2. 为基于代理的安装程序准备配置文件(Red Hat)。
3. 生成代理 ISO 镜像（红帽）。
4. 将 ISO 镜像转换为 OCI 镜像，将它上传到 OCI Home Region Bucket，然后将上传的镜像导入到 Oracle Edge Cloud 系统 (Oracle)。
5. 断开连接的环境：准备可供 Oracle Edge Cloud 实例访问的 Web 服务器 (Red Hat)。
6. 断开连接的环境：将 rootfs 镜像上传到 web 服务器（红帽）。
7. 为 OpenShift Container Platform 配置防火墙（红帽）。
8. 创建 control plane 节点并配置负载均衡器(Oracle)。
9. 创建计算节点并配置负载均衡器(Oracle)。
10. 验证集群是否在 Oracle Edge Cloud (Oracle) 上运行。

流程

1. 运行以下命令，创建一个安装目录来存储配置文件：

   $ mkdir ~/<directory_name>

2. 配置 install-config.yaml 配置文件，以满足您的机构的需求，并将文件保存到您创建的目录中。

   设定外部平台的 install-config.yaml 文件

   # install-config.yaml
   apiVersion: v1
   baseDomain: <base_domain> 

   1

   
   networking:
     clusterNetwork:
     - cidr: 10.128.0.0/14
       hostPrefix: 23
     network type: OVNKubernetes
     machineNetwork:
     - cidr: <ip_address_from_cidr> 

   2

   
     serviceNetwork:
     - 172.30.0.0/16
   compute:
     - architecture: amd64 

   3

   
     hyperthreading: Enabled
     name: worker
     replicas: 0
   controlPlane:
     architecture: amd64 

   4

   
     hyperthreading: Enabled
     name: master
     replicas: 3
   platform:
      external:
       platformName: oci 

   5

   
       cloudControllerManager: External
   sshKey: <public_ssh_key> 

   6

   
   pullSecret: '<pull_secret>' 

   7

   
   # ...

   1

   云供应商的基域。

   2

   CIDR 分配给网络上操作的资源和组件的虚拟网络 (VCN) 的 IP 地址。

   3 4

   根据您的基础架构，您可以选择 arm64 或 amd64。

   5

   将 OCI 设置为外部平台，以便 OpenShift Container Platform 能够与 OCI 集成。

   6

   指定 SSH 公钥。

   7

   为 OpenShift Container Platform 组件和服务（如 Quay.io）下载容器镜像时，您需要验证目的的 pull secret。请参阅通过 Red Hat Hybrid Cloud Console 安装 OpenShift Container Platform 4。

3. 在本地系统上创建一个名为 openshift 的目录。这必须是安装目录的子目录。

   重要

   不要将 install-config.yaml 或 agent-config.yaml 配置文件移到 openshift 目录中。

4. 配置 Oracle 自定义清单文件。

   1. 进入 OpenShift Cluster Setup with Agent Based Installer on Compute Cloud@Customer (Oracle 文档) 中的 "Prepare the OpenShift Master Images"。
   2. 将 oci-ccm.yml、oci-csi.yml 和 machineconfig-ccm.yml 文件复制到 openshift 目录中。
   3. 编辑 oci-ccm.yml 和 oci-csi.yml 文件，以指定比较 Oracle® 云标识符(OCID)、VCN OCID、负载均衡器中的子网 OCID 和 c3-cert.pem 部分。

5. 配置 agent-config.yaml 配置文件，以满足您的机构要求。

   IPv4 网络的 agent-config.yaml 文件示例。

   apiVersion: v1beta1
   metadata:
     name: <cluster_name> 

   1

   
     namespace: <cluster_namespace> 

   2

   
   rendezvousIP: <ip_address_from_CIDR> 

   3

   
   bootArtifactsBaseURL: <server_URL> 

   4

   
   # ...

   1

   您在 DNS 记录中指定的集群名称。

   2

   OpenShift Container Platform 上集群的命名空间。

   3

   如果您使用 IPv4 作为网络 IP 地址格式，请确保将 rendezvousIP 参数设置为在网络上分配的 VCN 的无类别域间路由 (CIDR) 方法的 IPv4 地址。另外，请确保使用 ISO 引导的实例池中至少有一个实例与您为 rendezvousIP 参数设置的 IP 地址值匹配。

   4

   要上传 rootfs 镜像的服务器的 URL。这个参数只适用于断开连接的环境。

6. 通过在安装目录中输入以下命令来生成最小 ISO 镜像，它排除 rootfs 镜像：

   $ ./openshift-install agent create image --log-level debug

   该命令还会完成以下操作：

   • 创建子目录 ./<installation_directory>/auth directory:：将 kubeadmin-password 和 kubeconfig 文件放在 子目录中。
   • 根据您在 agent-config.yaml 配置文件中指定的 IP 地址，创建一个 rendezvousIP 文件。

   • 可选：您对 agent-config.yaml 和 install-config.yaml 配置文件所做的任何修改都会导入到 Zero Touch Provisioning (ZTP)自定义资源。

     重要

     基于代理的安装程序使用 Red Hat Enterprise Linux CoreOS (RHCOS)。在后续步骤中提到的 rootfs 镜像是引导、恢复和修复您的操作系统所必需的。

7. 断开连接的环境：将 rootfs 镜像上传到 web 服务器。

   1. 进入创建最小 ISO 镜像时生成的 ./<installation_directory>/boot-artifacts 目录。

   2. 使用您首选的 Web 服务器，如任何 Hypertext 传输协议守护进程(httpd)，将 rootfs 镜像上传到 agent-config.yaml 文件的 bootArtifactsBaseURL 参数中指定的位置。

      例如，如果 bootArtifactsBaseURL 参数状态 http://192.168.122.20，您可以将生成的 rootfs 镜像上传到此位置，以便基于代理的安装程序可以从 http://192.168.122.20/agent.x86_64-rootfs.img 访问镜像。在基于代理的安装程序为外部平台引导最小 ISO 后，基于代理的安装程序将 rootfs 镜像从 http://192.168.122.20/agent.x86_64-rootfs.img 位置下载到系统内存中。

      注意

      基于代理的安装程序还将 bootArtifactsBaseURL 的值添加到最小 ISO 镜像的配置中，以便在 Operator 引导集群节点时，基于代理的安装程序会将 rootfs 镜像下载到系统内存中。

      重要

      考虑超过 1 GB 的完整 ISO 镜像包括 rootfs 镜像。镜像大于最小 ISO 镜像，该镜像通常小于 150 MB。

流程

1. 为您的防火墙的允许列表设置以下 registry URL：

   Expand

   URL	port	功能
   registry.redhat.io	443	提供核心容器镜像
   access.redhat.com	443	托管签名存储，容器客户端需要验证从 registry.access.redhat.com 中拉取的镜像。在防火墙环境中，确保此资源位于允许列表中。
   registry.access.redhat.com	443	托管存储在 Red Hat Ecosytem Catalog 中的所有容器镜像，包括核心容器镜像。
   quay.io	443	提供核心容器镜像
   cdn.quay.io	443	提供核心容器镜像
   cdn01.quay.io	443	提供核心容器镜像
   cdn02.quay.io	443	提供核心容器镜像
   cdn03.quay.io	443	提供核心容器镜像
   cdn04.quay.io	443	提供核心容器镜像
   cdn05.quay.io	443	提供核心容器镜像
   cdn06.quay.io	443	提供核心容器镜像
   sso.redhat.com	443	https://console.redhat.com 站点使用来自 sso.redhat.com 的身份验证
   icr.io	443	提供 IBM Cloud Pak 容器镜像。只有在使用 IBM Cloud Paks 时，才需要这个域。
   cp.icr.io	443	提供 IBM Cloud Pak 容器镜像。只有在使用 IBM Cloud Paks 时，才需要这个域。

   Show more
   • 您可以在 allowlist 中使用通配符 *.quay.io 来替代 cdn.quay.io 和 cdn0[1-6].quay.io
   • 您可以使用通配符 *.access.redhat.com 来简化配置，并确保所有子域（包括 registry.access.redhat.com ）都被允许。
   • 在 allowlist 中添加站点（如 quay.io ）时，不要向 denylist 添加通配符条目，如 *.quay.io。在大多数情况下，镜像 registry 使用内容交付网络（CDN）来提供镜像。如果防火墙阻止访问，则初始下载请求重定向到一个主机名（如 cdn01.quay.io ）时，镜像下载将被拒绝。
2. 将防火墙的允许列表设置为包含为构建所需的语言或框架提供资源的任何站点。

3. 如果不禁用 Telemetry，您必须授予对以下 URL 的访问权限，以访问 Red Hat Lightspeed：

   Expand

   URL	port	功能
   cert-api.access.redhat.com	443	Telemetry 所需
   api.access.redhat.com	443	Telemetry 所需
   infogw.api.openshift.com	443	Telemetry 所需
   console.redhat.com	443	Telemetry 和 insights-operator需要

   Show more

4. 如果使用 Alibaba Cloud、Amazon Web Services (AWS)、Microsoft Azure 或 Google Cloud 来托管您的集群，您必须授予对为该云提供云供应商 API 和 DNS 的 URL 的访问权限：

   Expand

   云	URL	port	功能
   Alibaba	*.aliyuncs.com	443	需要此项以访问 Alibaba Cloud 服务和资源。查看 Alibaba endpoint_config.go 文件，以查找您使用的区域所允许的确切端点。
   AWS	aws.amazon.com	443	用于在 AWS 环境中安装和管理集群。
   	*.amazonaws.com 另外，如果您选择不对 AWS API 使用通配符，则必须在允许列表中包含以下 URL：	443	需要此项以访问 AWS 服务和资源。请参阅 AWS 文档中的 AWS Service Endpoints，以查找您使用的区域所允许的确切端点。
   	ec2.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	events.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	iam.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	route53.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	*.s3.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	*.s3.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	*.s3.dualstack.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	sts.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	sts.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	tagging.us-east-1.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。此端点始终为 us-east-1，无论集群要部署到的区域。
   	ec2.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	elasticloadbalancing.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	servicequotas.<aws_region>.amazonaws.com	443	必需。用于确认用于部署该服务的配额。
   	tagging.<aws_region>.amazonaws.com	443	允许以标签的形式分配 AWS 资源的元数据。
   	*.cloudfront.net	443	用于提供对 CloudFront 的访问。如果使用 AWS 安全令牌服务(STS)和私有 S3 存储桶，您必须提供对 CloudFront 的访问。
   GCP	*.googleapis.com	443	需要此项以访问 Google Cloud 服务和资源。请参阅 Google Cloud 文档中的 Cloud Endpoints，以查找您的 API 所允许的端点。
   	accounts.google.com	443	需要此项以访问 Google Cloud 帐户。
   Microsoft Azure	management.azure.com	443	需要此项以访问 Microsoft Azure 服务和资源。请参阅 Microsoft Azure 文档中的 Microsoft Azure REST API 参考，以查找允许您 API 的端点。
   	*.blob.core.windows.net	443	需要下载 Ignition 文件。
   	login.microsoftonline.com	443	需要此项以访问 Microsoft Azure 服务和资源。请参阅 Microsoft Azure 文档中的 Azure REST API 参考，以查找您的 API 允许的端点。

   Show more

5. 将以下 URL 列入允许列表：

   Expand

   URL	port	功能
   *.apps.<cluster_name>.<base_domain>	443	需要此项以访问默认集群路由，除非您在安装过程中设置了入口通配符。
   api.openshift.com	443	集群令牌需要，并检查集群是否有可用的更新。
   console.redhat.com	443	集群令牌所需。
   mirror.openshift.com	443	需要此项以访问镜像安装内容和镜像。此站点也是发行版本镜像签名的来源，但 Cluster Version Operator 只需要一个可正常工作的源。
   quayio-production-s3.s3.amazonaws.com	443	需要此项以访问 AWS 中的 Quay 镜像内容。
   rhcos.mirror.openshift.com	443	下载 Red Hat Enterprise Linux CoreOS (RHCOS) 镜像需要此项。
   sso.redhat.com	443	https://console.redhat.com 站点使用来自 sso.redhat.com 的身份验证
   storage.googleapis.com/openshift-release	443	发行版本镜像签名源，但 Cluster Version Operator 只需要一个可正常工作的源。

   Show more

   Operator 需要路由访问权限来执行健康检查。特别是，身份验证和 Web 控制台 Operator 会连接到两个路由，以验证路由是否正常工作。如果您是集群管理员，且不想允许 *.apps.<cluster_name>.<base_domain>，则允许这些路由：

   • oauth-openshift.apps.<cluster_name>.<base_domain>
   • canary-openshift-ingress-canary.apps.<cluster_name>.<base_domain>
   • console-openshift-console.apps.<cluster_name>.<base_domain>，或在 consoles.operator/cluster 对象中的 spec.route.hostname 项指定的主机名（如果这个项不为空）。

6. 将以下 URL 列入允许的可选第三方内容：

   Expand

   URL	port	功能
   registry.connect.redhat.com	443	所有第三方镜像和认证操作器必填.

   Show more

7. 如果您使用默认的红帽网络时间协议(NTP)服务器允许以下 URL：

   • 1.rhel.pool.ntp.org
   • 2.rhel.pool.ntp.org
   • 3.rhel.pool.ntp.org

流程

1. 将代理 ISO 镜像转换为 OCI 镜像，将它上传到 OCI Home Region Bucket，然后将上传的镜像导入到 Oracle Edge Cloud 系统。具体步骤，请参阅 OpenShift Cluster Setup with Agent Based Installer on Compute Cloud@Customer (Oracle documentation) 中的 "Prepare the OpenShift Master Images"。
2. 在 Oracle Edge Cloud 上创建 control plane 实例。具体步骤，请参阅 OpenShift Cluster Setup with Agent Based Installer on Compute Cloud@Customer (Oracle documentation) 中的 "Create control plane instances on C3 and Master Node LB Backend Sets"。

3. 从集群拓扑提供的基础镜像创建计算实例。具体步骤，请参阅 OpenShift Cluster Setup with Agent Based Installer on Compute Cloud@Customer (Oracle documentation) 中的 "Add worker nodes"。

   重要

   在创建计算实例前，请检查您有足够的内存和磁盘资源。另外，请确保至少有一个计算实例与 agent-config.yaml 文件中 rendezvousIP 下声明的地址相同的 IP 地址。