5.12. 在 AWS China 上安装集群

流程

1. 如果您在本地计算机上没有可用于在集群节点上进行身份验证的现有 SSH 密钥对，请创建一个。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ ssh-keygen -t ed25519 -N '' -f <path>/<file_name> 1

   1

   指定新 SSH 密钥的路径和文件名，如 ~/.ssh/id_ed25519。如果您已有密钥对，请确保您的公钥位于 ~/.ssh 目录中。

   注意

   如果您计划在 x86_64 架构上安装使用 FIPS 验证的/Modules in Process 加密库的 OpenShift Container Platform 集群，请不要创建使用 ed25519 算法的密钥。相反，创建一个使用 rsa 或 ecdsa 算法的密钥。

2. 查看公共 SSH 密钥：

   $ cat <path>/<file_name>.pub

   例如，运行以下命令来查看 ~/.ssh/id_ed25519.pub 公钥：

   $ cat ~/.ssh/id_ed25519.pub

3. 将 SSH 私钥身份添加到本地用户的 SSH 代理（如果尚未添加）。在集群节点上，或者要使用 ./openshift-install gather 命令，需要对该密钥进行 SSH 代理管理，才能在集群节点上进行免密码 SSH 身份验证。

   注意

   在某些发行版中，自动管理默认 SSH 私钥身份，如 ~/.ssh/id_rsa 和 ~/.ssh/id_dsa。

   1. 如果 ssh-agent 进程尚未为您的本地用户运行，请将其作为后台任务启动：

      $ eval "$(ssh-agent -s)"

      输出示例

      Agent pid 31874

      注意

      如果集群处于 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必须是 RSA 或 ECDSA。

4. 将 SSH 私钥添加到 ssh-agent ：

   $ ssh-add <path>/<file_name> 1

   1

   指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_ed25519.pub

   输出示例

   Identity added: /home/<you>/<path>/<file_name> (<computer_name>)

流程

1. 将 AWS 配置集导出为环境变量：

   $ export AWS_PROFILE=<aws_profile> 1

   1

   包含 AWS 凭证的 AWS 配置集名称，如 beijingadmin。

2. 将与自定义 AMI 关联的区域导出为环境变量：

   $ export AWS_DEFAULT_REGION=<aws_region> 1

   1

   AWS 区域，如 cn-north-1。

3. 将上传至 Amazon S3 的 RHCOS 版本导出为环境变量：

   $ export RHCOS_VERSION=<version> 1

   1

   RHCOS VMDK 版本，如 4.10.0。

4. 将 Amazon S3 存储桶名称导出为环境变量：

   $ export VMIMPORT_BUCKET_NAME=<s3_bucket_name>

5. 创建 containers.json 文件并定义 RHCOS VMDK 文件：

   $ cat <<EOF > containers.json
   {
      "Description": "rhcos-${RHCOS_VERSION}-x86_64-aws.x86_64",
      "Format": "vmdk",
      "UserBucket": {
         "S3Bucket": "${VMIMPORT_BUCKET_NAME}",
         "S3Key": "rhcos-${RHCOS_VERSION}-x86_64-aws.x86_64.vmdk"
      }
   }
   EOF

6. 将 RHCOS 磁盘导入为 Amazon EBS 快照：

   $ aws ec2 import-snapshot --region ${AWS_DEFAULT_REGION} \
        --description "<description>" \ 1
        --disk-container "file://<file_path>/containers.json" 2

   1

   导入 RHCOS 磁盘的描述，如 rhcos-${RHCOS_VERSION}-x86_64-aws.x86_64。

   2

   描述 RHCOS 磁盘的 JSON 文件的文件路径。JSON 文件应包含您的 Amazon S3 存储桶名称和密钥。

7. 检查镜像导入的状态：

   $ watch -n 5 aws ec2 describe-import-snapshot-tasks --region ${AWS_DEFAULT_REGION}

   输出示例

   {
       "ImportSnapshotTasks": [
           {
               "Description": "rhcos-4.7.0-x86_64-aws.x86_64",
               "ImportTaskId": "import-snap-fh6i8uil",
               "SnapshotTaskDetail": {
                   "Description": "rhcos-4.7.0-x86_64-aws.x86_64",
                   "DiskImageSize": 819056640.0,
                   "Format": "VMDK",
                   "SnapshotId": "snap-06331325870076318",
                   "Status": "completed",
                   "UserBucket": {
                       "S3Bucket": "external-images",
                       "S3Key": "rhcos-4.7.0-x86_64-aws.x86_64.vmdk"
                   }
               }
           }
       ]
   }

   复制 SnapshotId 以注册镜像。

8. 从 RHCOS 快照创建自定义 RHCOS AMI:

   $ aws ec2 register-image \
      --region ${AWS_DEFAULT_REGION} \
      --architecture x86_64 \ 1
      --description "rhcos-${RHCOS_VERSION}-x86_64-aws.x86_64" \ 2
      --ena-support \
      --name "rhcos-${RHCOS_VERSION}-x86_64-aws.x86_64" \ 3
      --virtualization-type hvm \
      --root-device-name '/dev/xvda' \
      --block-device-mappings 'DeviceName=/dev/xvda,Ebs={DeleteOnTermination=true,SnapshotId=<snapshot_ID>}' 4

   1

   RHCOS VMDK 架构类型，如 x86_64、s390x 或 ppc64le。

   2

   来自导入快照的 Description。

   3

   RHCOS AMI 的名称。

   4

   导入的快照中的 SnapshotID。

流程

1. 访问 OpenShift Cluster Manager 站点的 Infrastructure Provider 页面。如果您有红帽帐户，请使用您的凭证登录。如果没有，请创建一个帐户。
2. 选择您的基础架构供应商。

3. 进入到安装类型的页面，下载与您的主机操作系统和架构对应的安装程序，并将该文件放在您要存储安装配置文件的目录中。

   重要

   安装程序会在用来安装集群的计算机上创建几个文件。在完成集群安装后，您必须保留安装程序和安装程序所创建的文件。这两个文件都需要删除集群。

   重要

   删除安装程序创建的文件不会删除您的集群，即使集群在安装过程中失败也是如此。要删除集群，请为特定云供应商完成 OpenShift Container Platform 卸载流程。

4. 提取安装程序。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ tar -xvf openshift-install-linux.tar.gz

5. 从 Red Hat OpenShift Cluster Manager 下载安装 pull secret。此 pull secret 允许您与所含授权机构提供的服务进行身份验证，这些服务包括为 OpenShift Container Platform 组件提供容器镜像的 Quay.io。

流程

1. 创建一个安装目录来存储所需的安装资产：

   $ mkdir <installation_directory>

   重要

   您必须创建一个目录。有些安装资产，如 bootstrap X.509 证书的过期间隔较短，因此不得重复使用安装目录。如果要重复使用另一个集群安装中的单个文件，您可以将它们复制到您的目录中。但是，安装资产的文件名可能会在发行版本间有所变化。从以前的 OpenShift Container Platform 版本中复制安装文件时请小心。

2. 自定义提供的 install-config.yaml 文件模板示例，并将其保存在 <installation_directory> 中。

   注意

   此配置文件必须命名为 install-config.yaml。

3. 备份 install-config.yaml 文件，以便用于安装多个集群。

   重要

   install-config.yaml 文件会在安装过程的下一步中使用。现在必须备份它。

流程

1. 进入包含安装程序的目录并初始化集群部署：

   $ ./openshift-install create cluster --dir <installation_directory> \ 1
       --log-level=info 2

   1

   对于 <installation_directory>，请指定自定义 ./install-config.yaml 文件的位置。

   2

   要查看不同的安装详情，请指定 warn、debug 或 error，而不是 info。

   注意

   如果您在主机上配置的云供应商帐户没有足够的权限来部署集群，安装过程将停止，并显示缺少的权限。

   当集群部署完成后，终端会显示访问集群的说明，包括指向其 Web 控制台的链接和 kubeadmin 用户的凭证。

   输出示例

   ...
   INFO Install complete!
   INFO To access the cluster as the system:admin user when using 'oc', run 'export KUBECONFIG=/home/myuser/install_dir/auth/kubeconfig'
   INFO Access the OpenShift web-console here: https://console-openshift-console.apps.mycluster.example.com
   INFO Login to the console with user: "kubeadmin", and password: "4vYBz-Ee6gm-ymBZj-Wt5AL"
   INFO Time elapsed: 36m22s

   注意

   当安装成功时，集群访问和凭证信息也会输出到 <installation_directory>/.openshift_install.log。

   重要
   • 安装程序生成的 Ignition 配置文件包含 24 小时后过期的证书，然后在该时进行续订。如果在更新证书前关闭集群，且集群在 24 小时后重启，集群会自动恢复过期的证书。一个例外是，您必须手动批准待处理的 node-bootstrapper 证书签名请求(CSR)来恢复 kubelet 证书。如需更多信息，请参阅从过期的 control plane 证书 中恢复的文档。
   • 建议您在 Ignition 配置文件生成后的 12 小时内使用它们，因为 24 小时的证书会在集群安装后的 16 小时到 22 小时间进行轮转。通过在 12 小时内使用 Ignition 配置文件，您可以避免在安装过程中因为执行了证书更新而导致安装失败的问题。
   重要

   您不得删除安装程序或安装程序创建的文件。需要这两者才能删除集群。

2. 可选：从您用来安装集群的 IAM 帐户删除或禁用 AdministratorAccess 策略。

   注意

   只有在安装过程中才需要 AdministratorAccess 策略提供的升级权限。

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 在 Version 下拉菜单中选择相应的版本。
3. 点 OpenShift v4.10 Linux Client 条目旁的 Download Now 来保存文件。

4. 解包存档：

   $ tar xvf <file>

5. 将 oc 二进制文件放到 PATH 中的目录中。

   要查看您的 PATH，请执行以下命令：

   $ echo $PATH

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 在 Version 下拉菜单中选择相应的版本。
3. 点 OpenShift v4.10 Windows Client 条目旁的 Download Now 来保存文件。
4. 使用 ZIP 程序解压存档。

5. 将 oc 二进制文件移到 PATH 中的目录中。

   要查看您的 PATH，请打开命令提示并执行以下命令：

   C:\> path

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 在 Version 下拉菜单中选择相应的版本。
3. 点 OpenShift v4.10 MacOSX Client 条目旁的 Download Now 来保存文件。
4. 解包和解压存档。

5. 将 oc 二进制文件移到 PATH 的目录中。

   要查看您的 PATH，请打开终端并执行以下命令：

   $ echo $PATH

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 1

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 验证您可以使用导出的配置成功运行 oc 命令：

   $ oc whoami

   输出示例

   system:admin

流程

1. 从安装主机上的 kubeadmin -password 文件中获取 kubeadmin 用户的密码：

   $ cat <installation_directory>/auth/kubeadmin-password

   注意

   另外，您还可以从安装主机上的 <installation_directory>/.openshift_install.log 日志文件获取 kubeadmin 密码。

2. 列出 OpenShift Container Platform Web 控制台路由：

   $ oc get routes -n openshift-console | grep 'console-openshift'

   注意

   另外，您还可以从安装主机上的 <installation_directory>/.openshift_install.log 日志 文件获取 OpenShift Container Platform 路由。

   输出示例

   console     console-openshift-console.apps.<cluster_name>.<base_domain>            console     https   reencrypt/Redirect   None

3. 在 Web 浏览器中导航到上一命令输出中包括的路由，以 kubeadmin 用户身份登录。