4.8. 允许非集群管理员安装 Operator

流程

1. 新建命名空间：

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: Namespace
   metadata:
     name: scoped
   EOF

2. 分配 Operator 的权限范围。这涉及创建新服务帐户、相关角色和角色绑定。

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: scoped
     namespace: scoped
   EOF

   为简便起见，以下示例授予服务账户在指定命名空间进行任何操作的权限。在生产环境中，应创建更为精细的权限集：

   $ cat <<EOF | oc create -f -
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: scoped
     namespace: scoped
   rules:
   - apiGroups: ["*"]
     resources: ["*"]
     verbs: ["*"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: scoped-bindings
     namespace: scoped
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: scoped
   subjects:
   - kind: ServiceAccount
     name: scoped
     namespace: scoped
   EOF

3. 在指定的命名空间中创建 OperatorGroup 对象。该 Operator 组以指定的命名空间为目标，以确保其租期仅限于该命名空间。

   另外，Operator 组允许用户指定服务帐户。指定上一步中创建的服务帐户：

   $ cat <<EOF | oc create -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: scoped
     namespace: scoped
   spec:
     serviceAccountName: scoped
     targetNamespaces:
     - scoped
   EOF

   在指定命名空间中安装的任何 Operator 均会关联至此 Operator 组，因此也会关联到指定的服务账户。

   警告

   Operator Lifecycle Manager (OLM) 为每个 Operator 组创建以下集群角色：

   • <operatorgroup_name>-admin
   • <operatorgroup_name>-edit
   • <operatorgroup_name>-view

   当手动创建 Operator 组时，您必须指定一个没有与现有集群角色或其他 Operator 组冲突的唯一名称。

4. 在指定命名空间中创建 Subscription 对象以安装 Operator:

   $ cat <<EOF | oc create -f -
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: etcd
     namespace: scoped
   spec:
     channel: singlenamespace-alpha
     name: etcd
     source: <catalog_source_name> 1
     sourceNamespace: <catalog_source_namespace> 2
   EOF

   1

   指定已存在于指定命名空间中或位于全局目录命名空间中的目录源。

   2

   指定创建目录源的命名空间。

   与该 Operator 组相关联的所有 Operator 都仅限于为指定服务账户授予的权限。如果 Operator 请求的权限超出服务账户范围，安装会失败并显示相关错误。

1. 禁用所有默认全局目录。
2. 在预安装相关 Operator 组的同一命名空间中启用自定义、策展的目录。

流程

1. 查看 Subscription 对象。其状态中有一个指向 InstallPlan 对象的对象引用 installPlanRef，该对象试图为 Operator 创建需要的 [Cluster]Role[Binding]：

   apiVersion: operators.coreos.com/v1
   kind: Subscription
   metadata:
     name: etcd
     namespace: scoped
   status:
     installPlanRef:
       apiVersion: operators.coreos.com/v1
       kind: InstallPlan
       name: install-4plp8
       namespace: scoped
       resourceVersion: "117359"
       uid: 2c1df80e-afea-11e9-bce3-5254009c9c23

2. 检查 InstallPlan 对象的状态中的任何错误：

   apiVersion: operators.coreos.com/v1
   kind: InstallPlan
   status:
     conditions:
     - lastTransitionTime: "2019-07-26T21:13:10Z"
       lastUpdateTime: "2019-07-26T21:13:10Z"
       message: 'error creating clusterrole etcdoperator.v0.9.4-clusterwide-dsfx4: clusterroles.rbac.authorization.k8s.io
         is forbidden: User "system:serviceaccount:scoped:scoped" cannot create resource
         "clusterroles" in API group "rbac.authorization.k8s.io" at the cluster scope'
       reason: InstallComponentFailed
       status: "False"
       type: Installed
     phase: Failed

   错误信息中会显示：

   • 创建失败的资源类型，包括资源的 API 组。本例中为 rbac.authorization.k8s.io 组中的 clusterroles。
   • 资源名称。
   • 错误类型：is forbidden 表明相应用户没有足够权限来执行这一操作。
   • 试图创建或更新资源的用户名称。本例中指的是 Operator 组中指定的服务账户。

   • 操作范围：集群范围内或范围外。

     用户可在服务账户中增加所缺权限，然后迭代操作。

     注意

     Operator Lifecycle Manager（OLM）目前未提供第一次尝试的完整错误列表。