安装

1. bootstrap 机器启动并开始托管 control plane 机器引导所需的远程资源。如果您置备基础架构，此步骤需要人工干预。
2. bootstrap 机器启动单节点 etcd 集群和一个临时 Kubernetes control plane。
3. control plane 机器从 bootstrap 机器获取远程资源并完成启动。如果您置备基础架构，此步骤需要人工干预。
4. 临时 control plane 将生产环境的 control plane 调度到生产环境 control plane 机器。
5. Cluster Version Operator（CVO）在线并安装 etcd Operator。etcd Operator 在所有 control plane 节点上扩展 etcd。
6. 临时 control plane 关机，并将控制权交给生产环境 control plane。
7. bootstrap 机器将 OpenShift Container Platform 组件注入生产环境 control plane。
8. 安装程序关闭 bootstrap 机器。如果您置备基础架构，此步骤需要人工干预。
9. control plane 设置计算节点。
10. control plane 以一组 Operator 的形式安装其他服务。

流程

1. 显示所有 worker 节点的状态：

   $ oc get nodes

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                           STATUS   ROLES    AGE   VERSION
   example-compute1.example.com   Ready    worker   13m   v1.21.6+bb8d50a
   example-compute2.example.com   Ready    worker   13m   v1.21.6+bb8d50a
   example-compute4.example.com   Ready    worker   14m   v1.21.6+bb8d50a
   example-control1.example.com   Ready    master   52m   v1.21.6+bb8d50a
   example-control2.example.com   Ready    master   55m   v1.21.6+bb8d50a
   example-control3.example.com   Ready    master   55m   v1.21.6+bb8d50a

   Copy to Clipboard Toggle word wrap

2. 显示所有 worker 机器节点的阶段：

   $ oc get machines -A

   Copy to Clipboard Toggle word wrap

   输出示例

   NAMESPACE               NAME                           PHASE         TYPE   REGION   ZONE   AGE
   openshift-machine-api   example-zbbt6-master-0         Running                              95m
   openshift-machine-api   example-zbbt6-master-1         Running                              95m
   openshift-machine-api   example-zbbt6-master-2         Running                              95m
   openshift-machine-api   example-zbbt6-worker-0-25bhp   Running                              49m
   openshift-machine-api   example-zbbt6-worker-0-8b4c2   Running                              49m
   openshift-machine-api   example-zbbt6-worker-0-jkbqt   Running                              49m
   openshift-machine-api   example-zbbt6-worker-0-qrl5b   Running                              49m

   Copy to Clipboard Toggle word wrap

流程

1. 从 OpenShift console Downloads 页下载最新版本的 mirror registry for Red Hat OpenShift 的 mirror-registry.tar.gz 软件包。

2. 使用 mirror-registry 工具，在本地主机上安装 mirror registry for Red Hat OpenShift。有关可用标志的完整列表，请参阅 "mirror registry for Red Hat OpenShift flags"。

   $ ./mirror-registry install \
     --quayHostname <host_example_com> \
     --quayRoot <example_directory_name>

   Copy to Clipboard Toggle word wrap

3. 运行以下命令，使用安装期间生成的用户名和密码登录 registry：

   $ podman login -u init \
     -p <password> \
     <host_example_com>:8443> \
     --tls-verify=false 

   1

   Copy to Clipboard Toggle word wrap

   1

   您可以通过将您的系统配置为信任生成的 rootCA 证书来避免运行 --tls-verify=false。如需更多信息，请参阅"使用 SSL 保护到 Red Hat Quay 的连接"和"配置系统以信任证书认证机构"。

   注意

   您还可以在安装后通过 https://<host.example.com>:8443 访问 UI 登录。

4. 您可以在登录后镜像 OpenShift Container Platform 镜像。根据您的需要，请参阅本文档的"镜像 OpenShift Container Platform 镜像存储库"或"镜像 Operator 目录"部分以用于此文档。

   注意

   如果因为存储层问题导致 Red Hat OpenShift 镜像存储了镜像 registry 存在问题，您可以在更稳定的存储上对 OpenShift Container Platform 镜像重新镜像(mirror)或重新安装 registry。

流程

1. 从 OpenShift console Downloads 页下载最新版本的 mirror registry for Red Hat OpenShift 的 mirror-registry.tar.gz 软件包。

2. 使用 mirror-registry 工具，在本地主机上安装 mirror registry for Red Hat OpenShift。有关可用标志的完整列表，请参阅 "mirror registry for Red Hat OpenShift flags"。

   $ ./mirror-registry install -v \
     --targetHostname <host_example_com> \
     --targetUsername <example_user> \
     -k ~/.ssh/my_ssh_key \
     --quayHostname <host_example_com> \
     --quayRoot <example_directory_name>

   Copy to Clipboard Toggle word wrap

3. 运行以下命令，使用安装期间生成的用户名和密码登录 到镜像的 registry：

   $ podman login -u init \
     -p <password> \
     <host_example_com>:8443> \
     --tls-verify=false 

   1

   Copy to Clipboard Toggle word wrap

   1

   您可以通过将您的系统配置为信任生成的 rootCA 证书来避免运行 --tls-verify=false。如需更多信息，请参阅"使用 SSL 保护到 Red Hat Quay 的连接"和"配置系统以信任证书认证机构"。

   注意

   您还可以在安装后通过 https://<host.example.com>:8443 访问 UI 登录。

4. 您可以在登录后镜像 OpenShift Container Platform 镜像。根据您的需要，请参阅本文档的"镜像 OpenShift Container Platform 镜像存储库"或"镜像 Operator 目录"部分以用于此文档。

   注意

   如果因为存储层问题导致 Red Hat OpenShift 镜像存储了镜像 registry 存在问题，您可以在更稳定的存储上对 OpenShift Container Platform 镜像重新镜像(mirror)或重新安装 registry。

流程

1. 输入以下命令安装 mirror registry for Red Hat OpenShift:

   $ ./mirror-registry install \
   --quayHostname <host_example_com> \
   --quayRoot <example_directory_name>

   Copy to Clipboard Toggle word wrap

   这会将 mirror registry for Red Hat OpenShift 安装到 $HOME/quay-install 目录中。

2. 准备一个新的证书颁发机构(CA)捆绑包，并生成新的 ssl.key 和 ssl.crt 密钥文件。如需更多信息，请参阅使用 SSL/TLS。

3. 输入以下命令为 /$HOME/quay-install 分配一个环境变量，如 QUAY ：

   $ export QUAY=/$HOME/quay-install

   Copy to Clipboard Toggle word wrap

4. 输入以下命令将新的 ssl.crt 文件复制到 /$HOME/quay-install 目录中：

   $ cp ~/ssl.crt $QUAY/quay-config

   Copy to Clipboard Toggle word wrap

5. 输入以下命令将新的 ssl.key 文件复制到 /$HOME/quay-install 目录中：

   $ cp ~/ssl.key $QUAY/quay-config

   Copy to Clipboard Toggle word wrap

6. 输入以下命令重启 quay-app 应用程序 pod：

   $ systemctl restart quay-app

   Copy to Clipboard Toggle word wrap

1. 下载您的 registry.redhat.io pull secret（从Red Hat OpenShift Cluster Manager）。

2. 以 JSON 格式创建您的 pull secret 副本：

   $ cat ./pull-secret | jq . > <path>/<pull_secret_file_in_json> 

   1

   Copy to Clipboard Toggle word wrap

   1

   指定到存储 pull secret 的文件夹的路径，以及您创建的 JSON 文件的名称。

   该文件类似于以下示例：

   {
     "auths": {
       "cloud.openshift.com": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "quay.io": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "registry.connect.redhat.com": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       },
       "registry.redhat.io": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       }
     }
   }

   Copy to Clipboard Toggle word wrap

3. 为您的镜像 registry 生成 base64 编码的用户名和密码或令牌：

   $ echo -n '<user_name>:<password>' | base64 -w0 

   1

   
   BGVtbYk3ZHAtqXs=

   Copy to Clipboard Toggle word wrap

   1

   通过 <user_name> 和 <password> 指定 registry 的用户名和密码。

4. 编辑 JSON 文件并添加描述 registry 的部分：

     "auths": {
       "<mirror_registry>": { 

   1

   
         "auth": "<credentials>", 

   2

   
         "email": "you@example.com"
       }
     },

   Copy to Clipboard Toggle word wrap

   1

   对于 <mirror_registry>，指定 registry 域名，以及您的镜像 registry 用来提供内容的可选端口。例如：registry.example.com 或 registry.example.com:8443

   2

   使用 <credentials> 为您的镜像 registry 指定 base64 编码的用户名和密码。

   该文件类似于以下示例：

   {
     "auths": {
       "registry.example.com": {
         "auth": "BGVtbYk3ZHAtqXs=",
         "email": "you@example.com"
       },
       "cloud.openshift.com": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "quay.io": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "registry.connect.redhat.com": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       },
       "registry.redhat.io": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       }
     }
   }

   Copy to Clipboard Toggle word wrap

1. 查看 OpenShift Container Platform 下载页面，以确定您要安装的 OpenShift Container Platform 版本，并决定 Repository Tags 页中的相应标签（tag）。

2. 设置所需的环境变量：

   1. 导出发行版本信息：

      $ OCP_RELEASE=<release_version>

      Copy to Clipboard Toggle word wrap

      对于 <release_version>，请指定与 OpenShift Container Platform 版本对应的标签，用于您的架构，如 4.5.4。

   2. 导出本地 registry 名称和主机端口：

      $ LOCAL_REGISTRY='<local_registry_host_name>:<local_registry_host_port>'

      Copy to Clipboard Toggle word wrap

      对于 <local_registry_host_name>，请指定镜像存储库的 registry 域名；对于 <local_registry_host_port>，请指定用于提供内容的端口。

   3. 导出本地存储库名称：

      $ LOCAL_REPOSITORY='<local_repository_name>'

      Copy to Clipboard Toggle word wrap

      对于 <local_repository_name>，请指定要在 registry 中创建的仓库名称，如 ocp4/openshift4。

   4. 导出要进行镜像的存储库名称：

      $ PRODUCT_REPO='openshift-release-dev'

      Copy to Clipboard Toggle word wrap

      对于生产环境版本，必须指定 openshift-release-dev。

   5. 导出 registry pull secret 的路径：

      $ LOCAL_SECRET_JSON='<path_to_pull_secret>'

      Copy to Clipboard Toggle word wrap

      对于 <path_to_pull_secret>，请指定您创建的镜像 registry 的 pull secret 的绝对路径和文件名。

   6. 导出发行版本镜像：

      $ RELEASE_NAME="ocp-release"

      Copy to Clipboard Toggle word wrap

      对于生产环境版本，您必须指定 ocp-release。

   7. 为您的服务器导出构架类型，如 x86_64 或 aarch64 ：

      $ ARCHITECTURE=<server_architecture>

      Copy to Clipboard Toggle word wrap

   8. 导出托管镜像的目录的路径：

      $ REMOVABLE_MEDIA_PATH=<path> 

      1

      Copy to Clipboard Toggle word wrap

      1

      指定完整路径，包括开始的前斜杠(/)字符。

3. 将版本镜像(mirror)到镜像 registry：

   • 如果您的镜像主机无法访问互联网，请执行以下操作：

     1. 将可移动介质连接到连接到互联网的系统。

     2. 查看要镜像的镜像和配置清单：

        $ oc adm release mirror -a ${LOCAL_SECRET_JSON}  \
             --from=quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE} \
             --to=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY} \
             --to-release-image=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE} --dry-run

        Copy to Clipboard Toggle word wrap
     3. 记录上一命令输出中的 imageContentSources 部分。您的镜像信息与您的镜像存储库相对应，您必须在安装过程中将 imageContentSources 部分添加到 install-config.yaml 文件中。

     4. 将镜像镜像到可移动介质的目录中：

        $ oc adm release mirror -a ${LOCAL_SECRET_JSON} --to-dir=${REMOVABLE_MEDIA_PATH}/mirror quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE}

        Copy to Clipboard Toggle word wrap

     5. 将介质上传到受限网络环境中，并将镜像上传到本地容器 registry。

        $ oc image mirror -a ${LOCAL_SECRET_JSON} --from-dir=${REMOVABLE_MEDIA_PATH}/mirror "file://openshift/release:${OCP_RELEASE}*" ${LOCAL_REGISTRY}/${LOCAL_REPOSITORY} 

        1

        Copy to Clipboard Toggle word wrap

        1

        对于 REMOVABLE_MEDIA_PATH，您必须使用与镜像镜像时指定的同一路径。

        重要

        运行 oc image mirror 可能会导致以下错误： error: unable to retrieve source image。当镜像索引包括对镜像 registry 中不再存在的镜像的引用时，会发生此错误。镜像索引可能会保留旧的引用，以便为运行这些镜像的用户在升级图表中显示新的升级路径。作为临时解决方案，您可以使用 --skip-missing 选项绕过错误并继续下载镜像索引。如需更多信息，请参阅 Service Mesh Operator 镜像失败。

   • 如果本地容器 registry 连接到镜像主机，请执行以下操作：

     1. 使用以下命令直接将发行版镜像推送到本地 registry:

        $ oc adm release mirror -a ${LOCAL_SECRET_JSON}  \
             --from=quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE} \
             --to=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY} \
             --to-release-image=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE}

        Copy to Clipboard Toggle word wrap

        该命令将发行信息提取为摘要，其输出包括安装集群时所需的 imageContentSources 数据。

     2. 记录上一命令输出中的 imageContentSources 部分。您的镜像信息与您的镜像存储库相对应，您必须在安装过程中将 imageContentSources 部分添加到 install-config.yaml 文件中。

        注意

        镜像名称在镜像过程中被修补到 Quay.io， podman 镜像将在 bootstrap 虚拟机的 registry 中显示 Quay.io。

4. 要创建基于您镜像内容的安装程序，请提取内容并将其固定到发行版中：

   • 如果您的镜像主机无法访问互联网，请运行以下命令：

     $ oc adm release extract -a ${LOCAL_SECRET_JSON} --icsp-file=<file> \ --command=openshift-install "${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}"

     Copy to Clipboard Toggle word wrap

   • 如果本地容器 registry 连接到镜像主机，请运行以下命令：

     $ oc adm release extract -a ${LOCAL_SECRET_JSON} --command=openshift-install "${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE}"

     Copy to Clipboard Toggle word wrap
     重要

     要确保将正确的镜像用于您选择的 OpenShift Container Platform 版本，您必须从镜像内容中提取安装程序。

     您必须在有活跃互联网连接的机器上执行这个步骤。

5. 对于使用安装程序置备的基础架构的集群，运行以下命令：

   $ openshift-install

   Copy to Clipboard Toggle word wrap

流程

1. 使用 oc mirror init 命令为镜像设置配置创建模板，并将其保存到名为 imageset-config.yaml 的文件中：

   $ oc mirror init --registry example.com/mirror/oc-mirror-metadata > imageset-config.yaml 

   1

   Copy to Clipboard Toggle word wrap

   1

   将 example.com/mirror/oc-mirror-metadata 替换为存储后端的 registry 的位置。

2. 编辑该文件并根据需要调整设置：

   kind: ImageSetConfiguration
   apiVersion: mirror.openshift.io/v1alpha2
   archiveSize: 4                                                      

   1

   
   storageConfig:                                                      

   2

   
     registry:
       imageURL: example.com/mirror/oc-mirror-metadata                 

   3

   
       skipTLS: false
   mirror:
     platform:
       channels:
       - name: stable-4.11                                             

   4

   
         type: ocp
       graph: true                                                     

   5

   
     operators:
     - catalog: registry.redhat.io/redhat/redhat-operator-index:v4.11  

   6

   
       packages:
       - name: serverless-operator                                     

   7

   
         channels:
         - name: stable                                                

   8

   
     additionalImages:
     - name: registry.redhat.io/ubi8/ubi:latest                        

   9

   
     helm: {}

   Copy to Clipboard Toggle word wrap

   1

   添加 archiveSize 以设置镜像集合中的每个文件的最大大小（以 GiB 为单位）。

   2

   设置后端位置，以将镜像设置元数据保存到。此位置可以是 registry 或本地目录。必须指定 storageConfig 值。

   3

   设置存储后端的 registry URL。

   4

   将频道设置为从中检索 OpenShift Container Platform 镜像。

   5

   添加 graph: true 以构建并推送 graph-data 镜像推送到镜像 registry。创建 OpenShift Update Service (OSUS) 需要 graph-data 镜像。graph: true 字段还会生成 UpdateService 自定义资源清单。oc 命令行界面 (CLI) 可以使用 UpdateService 自定义资源清单来创建 OSUS。如需更多信息，请参阅关于 OpenShift Update Service。

   6

   将 Operator 目录设置为从中检索 OpenShift Container Platform 镜像。

   7

   仅指定要包含在镜像集中的某些 Operator 软件包。删除此字段以检索目录中的所有软件包。

   8

   仅指定要包含在镜像集中的 Operator 软件包的某些频道。即使您没有使用该频道中的捆绑包，还必须始终包含 Operator 软件包的默认频道。您可以运行以下命令来找到默认频道：oc mirror list operators --catalog=<catalog_name> --package=<package_name>。

   9

   指定要在镜像集中包含的任何其他镜像。

   如需完整的参数列表，请参阅 Image set configuration parameters；对于不同的镜像用例，请参阅 Image set configuration examples。

3. 保存更新的文件。

   在镜像内容时，oc mirror 命令需要此镜像设置配置文件。

流程

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift CLI。

2. 运行以下命令，将结果目录中的 YAML 文件应用到集群：

   $ oc apply -f ./oc-mirror-workspace/results-1639608409/

   Copy to Clipboard Toggle word wrap

3. 如果镜像(mirror)镜像，请运行以下命令将发行版本镜像签名应用到集群：

   $ oc apply -f ./oc-mirror-workspace/results-1639608409/release-signatures/

   Copy to Clipboard Toggle word wrap
   注意

   如果要镜像 Operator 而不是集群，则不需要运行 $ oc apply -f ./oc-mirror-workspace/results-1639608409/release-signatures/。运行该命令将返回错误，因为没有要应用的发行版本镜像签名。

验证

1. 运行以下命令验证 ImageContentSourcePolicy 资源是否已成功安装：

   $ oc get imagecontentsourcepolicy --all-namespaces

   Copy to Clipboard Toggle word wrap

2. 运行以下命令验证 CatalogSource 资源是否已成功安装：

   $ oc get catalogsource --all-namespaces

   Copy to Clipboard Toggle word wrap

流程

1. 使用 --dry-run 标志运行 oc mirror 命令来执行空运行：

   $ oc mirror --config=./imageset-config.yaml \

   1

   
     docker://registry.example:5000            \

   2

   
     --dry-run                                  

   3

   Copy to Clipboard Toggle word wrap

   1

   传递创建的镜像设置配置文件。此流程假设它名为 imageset-config.yaml。

   2

   指定镜像 registry。在使用 --dry-run 标志时，不会镜像这个 registry。

   3

   使用 --dry-run 标志来生成空运行工件，而不是实际的镜像设置文件。

   输出示例

   Checking push permissions for registry.example:5000
   Creating directory: oc-mirror-workspace/src/publish
   Creating directory: oc-mirror-workspace/src/v2
   Creating directory: oc-mirror-workspace/src/charts
   Creating directory: oc-mirror-workspace/src/release-signatures
   No metadata detected, creating new workspace
   wrote mirroring manifests to oc-mirror-workspace/operators.1658342351/manifests-redhat-operator-index
   
   ...
   
   info: Planning completed in 31.48s
   info: Dry run complete
   Writing image mapping to oc-mirror-workspace/mapping.txt

   Copy to Clipboard Toggle word wrap

2. 进入生成的工作区目录：

   $ cd oc-mirror-workspace/

   Copy to Clipboard Toggle word wrap

3. 查看生成的 mapping.txt 文件。

   此文件包含将要镜像的所有镜像的列表。

4. 查看生成的 prune-plan.json 文件。

   此文件包含在发布镜像集时从镜像 registry 中修剪的所有镜像的列表。

   注意

   只有在 oc-mirror 命令指向您的镜像 registry 且需要修剪的镜像时，才会生成 prune-plan.json 文件。