4.3. KServe の手動インストール

手順

1. ターミナルウィンドウで、クラスター管理者として OpenShift クラスターにまだログインしていない場合は、次の例に示すように OpenShift CLI にログインします。

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

   Copy to Clipboard Toggle word wrap

2. Red Hat OpenShift Service Mesh に必要な namespace を作成します。

   $ oc create ns istio-system

   Copy to Clipboard Toggle word wrap

   以下のような出力が表示されます。

   namespace/istio-system created

   Copy to Clipboard Toggle word wrap

3. smcp.yaml という名前の YAML ファイルに次の内容の ServiceMeshControlPlane オブジェクトを定義します。

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   metadata:
     name: minimal
     namespace: istio-system
   spec:
     tracing:
       type: None
     addons:
       grafana:
         enabled: false
       kiali:
         name: kiali
         enabled: false
       prometheus:
         enabled: false
       jaeger:
         name: jaeger
     security:
       dataPlane:
         mtls: true
       identity:
         type: ThirdParty
     techPreview:
       meshConfig:
         defaultConfig:
           terminationDrainDuration: 35s
     gateways:
       ingress:
         service:
           metadata:
             labels:
               knative: ingressgateway
     proxy:
       networking:
         trafficControl:
           inbound:
             excludedPorts:
               - 8444
               - 8022

   Copy to Clipboard Toggle word wrap

   YAML ファイルの値の詳細は、Service Mesh コントロールプレーン設定リファレンス を参照してください。

4. サービスメッシュコントロールプレーンを作成します。

   $ oc apply -f smcp.yaml

   Copy to Clipboard Toggle word wrap

手順

1. ターミナルウィンドウで、クラスター管理者として OpenShift クラスターにまだログインしていない場合は、次の例に示すように OpenShift CLI にログインします。

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

   Copy to Clipboard Toggle word wrap

2. Knative Serving に必要なプロジェクト (つまり namespace) がすでに存在するかどうかを確認します。

   $ oc get ns knative-serving

   Copy to Clipboard Toggle word wrap

   プロジェクトが存在する場合は、次の例のような出力が表示されます。

   NAME              STATUS   AGE
   knative-serving   Active   4d20h

   Copy to Clipboard Toggle word wrap

3. knative-serving プロジェクトがまだ存在 しない 場合は、作成します。

   $ oc create ns knative-serving

   Copy to Clipboard Toggle word wrap

   以下のような出力が表示されます。

   namespace/knative-serving created

   Copy to Clipboard Toggle word wrap

4. 以下の内容で、default-smm.yaml という YAML ファイルに ServiceMeshMember オブジェクトを定義します。

   apiVersion: maistra.io/v1
   kind: ServiceMeshMember
   metadata:
     name: default
     namespace: knative-serving
   spec:
     controlPlaneRef:
       namespace: istio-system
       name: minimal

   Copy to Clipboard Toggle word wrap

5. istio-system namespace に ServiceMeshMember オブジェクトを作成します。

   $ oc apply -f default-smm.yaml

   Copy to Clipboard Toggle word wrap

   以下のような出力が表示されます。

   servicemeshmember.maistra.io/default created

   Copy to Clipboard Toggle word wrap

6. knativeserving-istio.yaml という YAML ファイルに次の内容の KnativeServing オブジェクトを定義します。

   apiVersion: operator.knative.dev/v1beta1
   kind: KnativeServing
   metadata:
     name: knative-serving
     namespace: knative-serving
     annotations:
       serverless.openshift.io/default-enable-http2: "true"
   spec:
     workloads:
       - name: net-istio-controller
         env:
           - container: controller
             envVars:
               - name: ENABLE_SECRET_INFORMER_FILTERING_BY_CERT_UID
                 value: 'true'
       - annotations:
           sidecar.istio.io/inject: "true" 

   1

   
           sidecar.istio.io/rewriteAppHTTPProbers: "true" 

   2

   
         name: activator
       - annotations:
           sidecar.istio.io/inject: "true"
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
         name: autoscaler
     ingress:
       istio:
         enabled: true
     config:
       features:
         kubernetes.podspec-affinity: enabled
         kubernetes.podspec-nodeselector: enabled
         kubernetes.podspec-tolerations: enabled
         kubernetes.podspec-schedulername: enabled
         multi-container-probing: enabled

   Copy to Clipboard Toggle word wrap

   前述のファイルは、KnativeServing オブジェクトのカスタムリソース (CR) を定義します。CR は、アクティベーター Pod とオートスケーラー Pod のそれぞれに次のアクションも追加します。

   1

   Istio サイドカーを Pod に注入します。これにより、Pod がサービスメッシュの一部になります。

   2

   Istio サイドカーが Pod の HTTP liveness プローブと readiness プローブを書き換えられるようにします。

   注記

   Knative サービスのカスタムドメインを設定する場合、TLS 証明書を使用してマップされたサービスを保護できます。これを行うには、TLS シークレットを作成してから、作成した TLS シークレットを使用するように DomainMapping CR を更新する必要があります。詳細は、Red Hat OpenShift Serverless ドキュメントの TLS 証明書を使用してマッピングされたサービスを保護する を参照してください。

7. オプション: allow-zero-initial-scale オートスケーラー設定を使用して、リビジョンの初期スケールをゼロにするように knative serving を設定できます。

   spec:
     config:
       autoscaler:
         allow-zero-initial-scale: "true"

   Copy to Clipboard Toggle word wrap

8. オプション: 次の例に示すように、kubernetes.podspec-init-containers 機能フラグを追加して、knative serving インスタンスに対して initContainers を有効化できます。

   spec:
     config:
       features:
         kubernetes.podspec-init-containers: "enabled"

   Copy to Clipboard Toggle word wrap

   knative-serving namespace の config-feature ConfigMap にフラグを追加することもできます。詳細は、機能および拡張フラグ を参照してください。

9. 指定された knative-serving namespace に KnativeServing オブジェクトを作成します。

   $ oc apply -f knativeserving-istio.yaml

   Copy to Clipboard Toggle word wrap

   以下のような出力が表示されます。

   knativeserving.operator.knative.dev/knative-serving created

   Copy to Clipboard Toggle word wrap

手順

1. ターミナルウィンドウで、クラスター管理者として OpenShift クラスターにまだログインしていない場合は、次の例に示すように OpenShift CLI にログインします。

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

   Copy to Clipboard Toggle word wrap
   重要

   ゲートウェイの設定時に指定する独自のワイルドカード証明書とキーがある場合は、この手順のステップ 11 に進みます。

2. 環境変数を設定して、ゲートウェイのワイルドカード証明書とキーを生成するためのベースディレクトリーを定義します。

   $ export BASE_DIR=/tmp/kserve
   $ export BASE_CERT_DIR=${BASE_DIR}/certs

   Copy to Clipboard Toggle word wrap

3. 環境変数を設定して、OpenShift クラスターの Ingress コントローラーで使用される共通名を定義します。

   $ export COMMON_NAME=$(oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}' | awk -F'.' '{print $(NF-1)"."$NF}')

   Copy to Clipboard Toggle word wrap

4. 環境変数を設定して、OpenShift クラスターの Ingress コントローラーによって使用されるドメイン名を定義します。

   $ export DOMAIN_NAME=$(oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}')

   Copy to Clipboard Toggle word wrap

5. 以前に設定した環境変数に基づいて、証明書の生成に必要なベースディレクトリーを作成します。

   $ mkdir ${BASE_DIR}
   $ mkdir ${BASE_CERT_DIR}

   Copy to Clipboard Toggle word wrap

6. ワイルドカード証明書を生成するための OpenSSL 設定を作成します。

   $ cat <<EOF> ${BASE_DIR}/openssl-san.config
   [ req ]
   distinguished_name = req
   [ san ]
   subjectAltName = DNS:*.${DOMAIN_NAME}
   EOF

   Copy to Clipboard Toggle word wrap

7. ルート証明書を生成します。

   $ openssl req -x509 -sha256 -nodes -days 3650 -newkey rsa:2048 \
   -subj "/O=Example Inc./CN=${COMMON_NAME}" \
   -keyout ${BASE_CERT_DIR}/root.key \
   -out ${BASE_CERT_DIR}/root.crt

   Copy to Clipboard Toggle word wrap

8. ルート証明書によって署名されたワイルドカード証明書を生成します。

   $ openssl req -x509 -newkey rsa:2048 \
   -sha256 -days 3560 -nodes \
   -subj "/CN=${COMMON_NAME}/O=Example Inc." \
   -extensions san -config ${BASE_DIR}/openssl-san.config \
   -CA ${BASE_CERT_DIR}/root.crt \
   -CAkey ${BASE_CERT_DIR}/root.key \
   -keyout ${BASE_CERT_DIR}/wildcard.key  \
   -out ${BASE_CERT_DIR}/wildcard.crt
   
   $ openssl x509 -in ${BASE_CERT_DIR}/wildcard.crt -text

   Copy to Clipboard Toggle word wrap

9. ワイルドカード証明書を確認します。

   $ openssl verify -CAfile ${BASE_CERT_DIR}/root.crt ${BASE_CERT_DIR}/wildcard.crt

   Copy to Clipboard Toggle word wrap

10. スクリプトによって作成されたワイルドカードキーと証明書を新しい環境変数にエクスポートします。

    $ export TARGET_CUSTOM_CERT=${BASE_CERT_DIR}/wildcard.crt
    $ export TARGET_CUSTOM_KEY=${BASE_CERT_DIR}/wildcard.key

    Copy to Clipboard Toggle word wrap

11. オプション: 独自 のワイルドカードキーと証明書を新しい環境変数にエクスポートするには、次のコマンドを入力します。

    $ export TARGET_CUSTOM_CERT=<path_to_certificate>
    $ export TARGET_CUSTOM_KEY=<path_to_key>

    Copy to Clipboard Toggle word wrap
    注記

    提供する証明書では、OpenShift クラスターの Ingress コントローラーで使用されるドメイン名を指定する必要があります。この値は、次のコマンドを実行して確認できます。

    $ oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}'

12. ワイルドカード証明書とキーに設定した環境変数を使用して、istio-system namespace に TLS シークレットを作成します。

    $ oc create secret tls wildcard-certs --cert=${TARGET_CUSTOM_CERT} --key=${TARGET_CUSTOM_KEY} -n istio-system

    Copy to Clipboard Toggle word wrap

13. 次の内容を含む gateways.yaml YAML ファイルを作成します。

    apiVersion: v1
    kind: Service 

    1

    
    metadata:
      labels:
        experimental.istio.io/disable-gateway-port-translation: "true"
      name: knative-local-gateway
      namespace: istio-system
    spec:
      ports:
        - name: http2
          port: 80
          protocol: TCP
          targetPort: 8081
      selector:
        knative: ingressgateway
      type: ClusterIP
    ---
    apiVersion: networking.istio.io/v1beta1
    kind: Gateway
    metadata:
      name: knative-ingress-gateway 

    2

    
      namespace: knative-serving
    spec:
      selector:
        knative: ingressgateway
      servers:
        - hosts:
            - '*'
          port:
            name: https
            number: 443
            protocol: HTTPS
          tls:
            credentialName: wildcard-certs
            mode: SIMPLE
    ---
    apiVersion: networking.istio.io/v1beta1
    kind: Gateway
    metadata:
     name: knative-local-gateway 

    3

    
     namespace: knative-serving
    spec:
     selector:
       knative: ingressgateway
     servers:
       - port:
           number: 8081
           name: https
           protocol: HTTPS
         tls:
           mode: ISTIO_MUTUAL
         hosts:
           - "*"

    Copy to Clipboard Toggle word wrap

    1

    Knative ローカルゲートウェイの istio-system namespace にサービスを定義します。

    2

    knative-serving namespace で Ingress ゲートウェイを定義します。ゲートウェイは、この手順の前半で作成した TLS シークレットを使用します。Ingress ゲートウェイは、Knative への外部トラフィックを処理します。

    3

    knative-serving namespace で Knative のローカルゲートウェイを定義します。

14. gateways.yaml ファイルを適用して、定義されたリソースを作成します。

    $ oc apply -f gateways.yaml

    Copy to Clipboard Toggle word wrap

    以下のような出力が表示されます。

    service/knative-local-gateway created
    gateway.networking.istio.io/knative-ingress-gateway created
    gateway.networking.istio.io/knative-local-gateway created

    Copy to Clipboard Toggle word wrap

手順

1. OpenShift Web コンソールにクラスター管理者としてログインします。
2. Web コンソールで、Operators Installed Operators をクリックし、Red Hat OpenShift AI Operator をクリックします。

3. KServe をインストールするには、OpenShift Service Mesh コンポーネントを次のように設定します。

   1. DSC Initialization タブをクリックします。
   2. default-dsci オブジェクトをクリックします。
   3. YAML タブをクリックします。

   4. spec セクションで、次のように serviceMesh コンポーネントを追加して設定します。

      spec:
       serviceMesh:
         managementState: Unmanaged

      Copy to Clipboard Toggle word wrap
   5. Save をクリックします。

4. KServe をインストールするには、KServe および OpenShift Serverless コンポーネントを次のように設定します。

   1. Web コンソールで、Operators Installed Operators をクリックし、Red Hat OpenShift AI Operator をクリックします。
   2. Data Science Cluster タブをクリックします。
   3. default-dsc DSC オブジェクトをクリックします。
   4. YAML タブをクリックします。

   5. spec.components セクションで、次のように kserve コンポーネントを設定します。

      spec:
       components:
         kserve:
           managementState: Managed

      Copy to Clipboard Toggle word wrap

   6. kserve コンポーネント内で、serving コンポーネントを追加し、次のように設定します。

      spec:
       components:
         kserve:
           managementState: Managed
           serving:
             managementState: Unmanaged

      Copy to Clipboard Toggle word wrap
   7. Save をクリックします。

手順

1. OpenShift Web コンソールにクラスター管理者としてログインします。
2. Web コンソールで、Operators Installed Operators をクリックし、Red Hat OpenShift AI Operator をクリックします。

3. 次のようにして OpenShift Service Mesh コンポーネントを無効にします。

   1. DSC Initialization タブをクリックします。
   2. default-dsci オブジェクトをクリックします。
   3. YAML タブをクリックします。

   4. spec セクションで、serviceMesh コンポーネントを追加し (存在しない場合)、managementState フィールドを次のように設定します。

      spec:
       serviceMesh:
         managementState: Removed

      Copy to Clipboard Toggle word wrap
   5. Save をクリックします。

検証

1. Web コンソールで、Operators Installed Operators をクリックし、Red Hat OpenShift AI Operator をクリックします。

   Operator の詳細ページが開きます。

2. Conditions セクションで、ステータス値が Unknown の ReconcileComplete 条件がないことを確認します。