4.4. Configuration du support proxy dans Operator Lifecycle Manager

Procédure

1. Accédez à la console Web vers la page Opérateurs OperatorHub.
2. Choisissez l’opérateur et cliquez sur Installer.

3. Dans la page Installer l’opérateur, modifier l’objet Abonnement pour inclure une ou plusieurs des variables d’environnement suivantes dans la section Spécifications:

   • HTTP_PROXY
   • HTTPS_PROXY
   • AUCUN_PROXY

   À titre d’exemple:

   L’objet d’abonnement avec le paramètre proxy remplace

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: etcd-config-test
     namespace: openshift-operators
   spec:
     config:
       env:
       - name: HTTP_PROXY
         value: test_http
       - name: HTTPS_PROXY
         value: test_https
       - name: NO_PROXY
         value: test
     channel: clusterwide-alpha
     installPlanApproval: Automatic
     name: etcd
     source: community-operators
     sourceNamespace: openshift-marketplace
     startingCSV: etcdoperator.v0.9.4-clusterwide

   Copy to Clipboard Toggle word wrap

   Note

   Ces variables d’environnement peuvent également être dédéfinies à l’aide d’une valeur vide pour supprimer tous les paramètres de proxy définis précédemment à l’échelle du cluster ou sur mesure.

   L’ODM gère ces variables d’environnement en tant qu’unité; si au moins une d’entre elles est définie, les trois sont considérés comme dépassés et les valeurs par défaut à l’échelle du cluster ne sont pas utilisées pour les déploiements de l’opérateur souscrit.

4. Cliquez sur Installer pour rendre l’opérateur disponible dans les espaces de noms sélectionnés.

5. Après que le CSV pour l’opérateur s’affiche dans l’espace de noms pertinent, vous pouvez vérifier que des variables d’environnement proxy personnalisées sont définies dans le déploiement. À titre d’exemple, l’utilisation du CLI:

   $ oc get deployment -n openshift-operators \
       etcd-operator -o yaml \
       | grep -i "PROXY" -A 2

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

           - name: HTTP_PROXY
             value: test_http
           - name: HTTPS_PROXY
             value: test_https
           - name: NO_PROXY
             value: test
           image: quay.io/coreos/etcd-operator@sha256:66a37fd61a06a43969854ee6d3e21088a98b93838e284a6086b13917f96b0d9c
   ...

   Copy to Clipboard Toggle word wrap

Procédure

1. Créez une carte de configuration vide dans l’espace de noms où l’abonnement pour votre opérateur existe et incluez l’étiquette suivante:

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: trusted-ca 

   1

   
     labels:
       config.openshift.io/inject-trusted-cabundle: "true" 

   2

   Copy to Clipboard Toggle word wrap

   1

   Le nom de la carte de configuration.

   2

   Demande au Cluster Network Operator d’injecter le paquet fusionné.

   Après avoir créé cette carte de configuration, il est immédiatement rempli avec le contenu du certificat du paquet fusionné.

2. Actualisez l’objet Abonnement pour inclure une section spec.config qui monte la carte de configuration de confiance en tant que volume à chaque conteneur dans un pod qui nécessite une CA personnalisée:

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: my-operator
   spec:
     package: etcd
     channel: alpha
     config: 

   1

   
       selector:
         matchLabels:
           <labels_for_pods> 

   2

   
       volumes: 

   3

   
       - name: trusted-ca
         configMap:
           name: trusted-ca
           items:
             - key: ca-bundle.crt 

   4

   
               path: tls-ca-bundle.pem 

   5

   
       volumeMounts: 

   6

   
       - name: trusted-ca
         mountPath: /etc/pki/ca-trust/extracted/pem
         readOnly: true

   Copy to Clipboard Toggle word wrap

   1

   Ajoutez une section de configuration si elle n’existe pas.

   2

   Indiquez les étiquettes pour correspondre aux pods appartenant à l’opérateur.

   3

   Créez un volume de confiance.

   4

   ca-bundle.crt est nécessaire en tant que clé map de configuration.

   5

   le TLS-ca-bundle.pem est requis en tant que chemin de configuration de la carte.

   6

   Créez une monture de volume de confiance.

   Note

   Les déploiements d’un opérateur peuvent ne pas valider l’autorité et afficher un certificat x509 signé par erreur d’autorité inconnue. Cette erreur peut se produire même après l’injection d’un CA personnalisé lors de l’utilisation de l’abonnement d’un opérateur. Dans ce cas, vous pouvez définir le MountPath comme /etc/ssl/certs pour confiance-ca en utilisant l’abonnement d’un opérateur.