2.3. 配置项目创建

流程

1. 以具有 cluster-admin 特权的用户身份登录。

2. 生成默认项目模板：

   $ oc adm create-bootstrap-project-template -o yaml > template.yaml

3. 使用文本编辑器，通过添加对象或修改现有对象来修改生成的 template.yaml 文件。

4. 项目模板必须创建在 openshift-config 命名空间中。加载修改后的模板：

   $ oc create -f template.yaml -n openshift-config

5. 使用 Web 控制台或 CLI 编辑项目配置资源。

   • 使用 Web 控制台：

     1. 导航至 Administration Cluster Settings 页面。
     2. 单击 Configuration 以查看所有配置资源。
     3. 找到 Project 的条目，并点击 Edit YAML。

   • 使用 CLI：

     1. 编辑 project.config.openshift.io/cluster 资源：

        $ oc edit project.config.openshift.io/cluster

6. 更新 spec 部分，使其包含 projectRequestTemplate 和 name 参数，再设置您上传的项目模板的名称。默认名称为 project-request。

   带有自定义项目模板的项目配置资源

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
     ...
   spec:
     projectRequestTemplate:
       name: <template_name>

7. 保存更改后，创建一个新项目来验证是否成功应用了您的更改。

流程

1. 以具有 cluster-admin 特权的用户身份登录。

2. 运行以下命令，以查看 self-provisioners 集群角色绑定用法：

   $ oc describe clusterrolebinding.rbac self-provisioners

   输出示例

   Name:		self-provisioners
   Labels:		<none>
   Annotations:	rbac.authorization.kubernetes.io/autoupdate=true
   Role:
     Kind:	ClusterRole
     Name:	self-provisioner
   Subjects:
     Kind	Name				Namespace
     ----	----				---------
     Group	system:authenticated:oauth

   检查 self-provisioners 部分中的主题。

3. 从 system:authenticated:oauth 组中移除 self-provisioner 集群角色。

   • 如果 self-provisioners 集群角色绑定仅将 self-provisioner 角色绑定至 system:authenticated:oauth 组，请运行以下命令：

     $ oc patch clusterrolebinding.rbac self-provisioners -p '{"subjects": null}'

   • 如果 self-provisioners 集群角色将 self-provisioner 角色绑定到 system:authenticated:oauth 组以外的多个用户、组或服务帐户，请运行以下命令：

     $ oc adm policy \
         remove-cluster-role-from-group self-provisioner \
         system:authenticated:oauth

4. 编辑 self-provisioners 集群角色绑定，以防止自动更新角色。自动更新会使集群角色重置为默认状态。

   • 使用 CLI 更新角色绑定：

     1. 运行以下命令：

        $ oc edit clusterrolebinding.rbac self-provisioners

     2. 在显示的角色绑定中，将 rbac.authorization.kubernetes.io/autoupdate 参数值设置为 false，如下例所示：

        apiVersion: authorization.openshift.io/v1
        kind: ClusterRoleBinding
        metadata:
          annotations:
            rbac.authorization.kubernetes.io/autoupdate: "false"
          ...

   • 使用单个命令更新角色绑定：

     $ oc patch clusterrolebinding.rbac self-provisioners -p '{ "metadata": { "annotations": { "rbac.authorization.kubernetes.io/autoupdate": "false" } } }'

5. 以通过身份验证的用户身份登陆，验证是否无法再自助置备项目：

   $ oc new-project test

   输出示例

   Error from server (Forbidden): You may not request a new project via this API.

   您可以对此项目请求消息进行自定义，以提供特定于您的组织的更多有用说明。

流程

1. 使用 Web 控制台或 CLI 编辑项目配置资源。

   • 使用 Web 控制台：

     1. 导航至 Administration Cluster Settings 页面。
     2. 单击 Configuration 以查看所有配置资源。
     3. 找到 Project 的条目，并点击 Edit YAML。

   • 使用 CLI：

     1. 以具有 cluster-admin 特权的用户身份登录。

     2. 编辑 project.config.openshift.io/cluster 资源：

        $ oc edit project.config.openshift.io/cluster

2. 更新 spec 部分，使其包含 projectRequestMessage 参数，并将值设为您的自定义消息：

   带有自定义项目请求消息的项目配置资源

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
     ...
   spec:
     projectRequestMessage: <message_string>

   例如：

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
     ...
   spec:
     projectRequestMessage: To request a project, contact your system administrator at projectname@example.com.

3. 保存更改后，请尝试用无法自助置备项目的开发人员或服务帐户创建一个新项目，以验证是否成功应用了您的更改。