4.4. 获取安装程序

流程

1. 创建 install-config.yaml 文件。

   1. 进入包含安装程序的目录并运行以下命令：

      $ ./openshift-install create install-config --dir <installation_directory> 

      1

      Copy to Clipboard Toggle word wrap

      1

      对于 <installation_directory>，请指定要存储安装程序创建的文件的目录名称。

      在指定目录时：

      • 验证该目录是否具有执行权限。在安装目录中运行 Terraform 二进制文件需要这个权限。

      • 使用空目录。有些安装资产，如 bootstrap X.509 证书的过期间隔较短，因此不得重复使用安装目录。如果要重复使用另一个集群安装中的单个文件，您可以将它们复制到您的目录中。但是，安装资产的文件名可能会在发行版本间有所变化。从以前的 OpenShift Container Platform 版本中复制安装文件时请小心。

        注意

        始终删除 ~/.powervs 目录，以避免重复使用过时的配置。运行以下命令:

        $ rm -rf ~/.powervs

        Copy to Clipboard Toggle word wrap

   2. 在提示符处，提供云的配置详情：

      1. 可选： 选择用于访问集群机器的 SSH 密钥。

         注意

         对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

      2. 选择 alibabacloud 作为目标平台。
      3. 选择要将集群部署到的区域。
      4. 选择集群要部署到的基域。基域与您为集群创建的公共 DNS 区对应。
      5. 为集群提供一个描述性名称。
      6. 粘贴 Red Hat OpenShift Cluster Manager 中的 pull secret。

2. 将集群安装到 Alibaba Cloud 中需要 Cloud Credential Operator(CCO)以手动模式运行。修改 install-config.yaml 文件，将 credentialsMode 参数设置为 Manual ：

   带有 credentialsMode 被设置为 Manual 的 install-config.yaml 配置文件示例

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 

   1

   
   compute:
   - architecture: amd64
     hyperthreading: Enabled
    ...

   Copy to Clipboard Toggle word wrap

   1

   添加此行，将 credentialsMode 设置为 Manual。

3. 修改 install-config.yaml 文件。您可以在"安装配置参数"部分找到有关可用参数的更多信息。

4. 备份 install-config.yaml 文件，以便您可以使用它安装多个集群。

   重要

   install-config.yaml 文件会在安装过程中消耗掉。如果要重复使用该文件，您必须立即备份该文件。

流程

1. 从包含安装程序的目录中运行以下命令来生成清单：

   $ openshift-install create manifests --dir <installation_directory>

   Copy to Clipboard Toggle word wrap

   其中：

   <installation_directory>

   指定安装程序在其中创建文件的目录。

流程

1. 运行以下命令设置 $RELEASE_IMAGE 变量：

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，从 OpenShift Container Platform 发行镜像中提取 CredentialsRequest 对象列表：

   $ oc adm release extract \
     --from=$RELEASE_IMAGE \
     --credentials-requests \
     --cloud=alibabacloud \
     --to=<path_to_directory_with_list_of_credentials_requests>/credrequests 

   1

   Copy to Clipboard Toggle word wrap

   1

   credrequests 是存储 CredentialsRequest 对象列表的目录。如果该目录不存在，此命令就会创建该目录。

   注意

   运行此命令可能需要一些时间。

3. 如果您的集群使用集群功能禁用一个或多个可选组件，请删除任何禁用组件的 CredentialsRequest 自定义资源。

   Alibaba Cloud 上 OpenShift Container Platform 4.13 的 credrequests 目录的内容示例

   0000_30_machine-api-operator_00_credentials-request.yaml 

   1

   
   0000_50_cluster-image-registry-operator_01-registry-credentials-request-alibaba.yaml 

   2

   
   0000_50_cluster-ingress-operator_00-ingress-credentials-request.yaml 

   3

   
   0000_50_cluster-storage-operator_03_credentials_request_alibaba.yaml 

   4

   Copy to Clipboard Toggle word wrap

   1

   Machine API Operator CR 是必需的。

   2

   Image Registry Operator CR 是必需的。

   3

   Ingress Operator CR 是必需的。

   4

   Storage Operator CR 是一个可选组件，可能会在集群中禁用。

4. 使用 ccoctl 工具处理 credrequests 目录中的所有 CredentialsRequest 对象：

   1. 运行以下命令使用该工具：

      $ ccoctl alibabacloud create-ram-users \
        --name <name> \
        --region=<alibaba_region> \
        --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests \
        --output-dir=<path_to_ccoctl_output_dir>

      Copy to Clipboard Toggle word wrap

      其中：

      • <name> 是用于标记为跟踪而创建的云资源的名称。
      • <alibaba_region> 是创建云资源的 Alibaba Cloud 区域。
      • <path_to_directory_with_list_of_requests>/credrequests 是含有组件 CredentialsRequest 对象的文件的目录。
      • <path_to_ccoctl_output_dir> 是放置所生成的组件凭证 secret 的目录。
      注意

      如果您的集群使用 TechPreviewNoUpgrade 功能集启用的技术预览功能，则必须包含 --enable-tech-preview 参数。

      输出示例

      2022/02/11 16:18:26 Created RAM User: user1-alicloud-openshift-machine-api-alibabacloud-credentials
      2022/02/11 16:18:27 Ready for creating new ram policy user1-alicloud-openshift-machine-api-alibabacloud-credentials-policy-policy
      2022/02/11 16:18:27 RAM policy user1-alicloud-openshift-machine-api-alibabacloud-credentials-policy-policy has created
      2022/02/11 16:18:28 Policy user1-alicloud-openshift-machine-api-alibabacloud-credentials-policy-policy has attached on user user1-alicloud-openshift-machine-api-alibabacloud-credentials
      2022/02/11 16:18:29 Created access keys for RAM User: user1-alicloud-openshift-machine-api-alibabacloud-credentials
      2022/02/11 16:18:29 Saved credentials configuration to: user1-alicloud/manifests/openshift-machine-api-alibabacloud-credentials-credentials.yaml
      ...

      Copy to Clipboard Toggle word wrap

      注意

      RAM 用户可以同时具有两个 accessKeys。如果您运行 ccoctl alibabacloud create-ram-users 两次，则之前生成的 manifests secret 将变为过时，您必须重新应用新生成的 secret。

   2. 验证 OpenShift Container Platform secret 是否已创建：

      $ ls <path_to_ccoctl_output_dir>/manifests

      Copy to Clipboard Toggle word wrap

      输出示例：

      openshift-cluster-csi-drivers-alibaba-disk-credentials-credentials.yaml
      openshift-image-registry-installer-cloud-credentials-credentials.yaml
      openshift-ingress-operator-cloud-credentials-credentials.yaml
      openshift-machine-api-alibabacloud-credentials-credentials.yaml

      Copy to Clipboard Toggle word wrap

      您可以通过查询 Alibaba Cloud 来验证是否创建了 RAM 用户和策略。如需更多信息，请参阅 Alibaba Cloud 文档中有关列出 RAM 用户和策略的内容。

5. 将生成的凭证文件复制到目标清单目录中：

   $ cp ./<path_to_ccoctl_output_dir>/manifests/*credentials.yaml ./<path_to_installation>dir>/manifests/

   Copy to Clipboard Toggle word wrap

   其中：

   <path_to_ccoctl_output_dir>

   指定 ccoctl alibabacloud create-ram-users 命令创建的目录。

   <path_to_installation_dir>

   指定安装程序在其中创建文件的目录。

流程

1. 编辑 install-config.yaml 文件并添加代理设置。例如：

   apiVersion: v1
   baseDomain: my.domain.com
   proxy:
     httpProxy: http://<username>:<pswd>@<ip>:<port> 

   1

   
     httpsProxy: https://<username>:<pswd>@<ip>:<port> 

   2

   
     noProxy: example.com 

   3

   
   additionalTrustBundle: | 

   4

   
       -----BEGIN CERTIFICATE-----
       <MY_TRUSTED_CA_CERT>
       -----END CERTIFICATE-----
   additionalTrustBundlePolicy: <policy_to_add_additionalTrustBundle> 

   5

   Copy to Clipboard Toggle word wrap

   1

   用于创建集群外 HTTP 连接的代理 URL。URL 方案必须是 http。

   2

   用于创建集群外 HTTPS 连接的代理 URL。

   3

   要从代理中排除的目标域名、IP 地址或其他网络 CIDR 的逗号分隔列表。在域前面加上 . 以仅匹配子域。例如，.y.com 匹配 x.y.com，但不匹配 y.com。使用 * 绕过所有目的地的代理。

   4

   如果提供，安装程序会在 openshift-config 命名空间中生成名为 user-ca-bundle 的配置映射，其包含代理 HTTPS 连接所需的一个或多个额外 CA 证书。然后，Cluster Network Operator 会创建 trusted-ca-bundle 配置映射，将这些内容与 Red Hat Enterprise Linux CoreOS（RHCOS）信任捆绑包合并， Proxy 对象的 trustedCA 字段中也会引用此配置映射。additionalTrustBundle 字段是必需的，除非代理的身份证书由来自 RHCOS 信任捆绑包的颁发机构签名。

   5

   可选：决定 Proxy 对象的配置以引用 trustedCA 字段中 user-ca-bundle 配置映射的策略。允许的值是 Proxyonly 和 Always。仅在配置了 http/https 代理时，使用 Proxyonly 引用 user-ca-bundle 配置映射。使用 Always 始终引用 user-ca-bundle 配置映射。默认值为 Proxyonly。

   注意

   安装程序不支持代理的 readinessEndpoints 字段。

   注意

   如果安装程序超时，重启并使用安装程序的 wait-for 命令完成部署。例如：

   $ ./openshift-install wait-for install-complete --log-level debug

   Copy to Clipboard Toggle word wrap
2. 保存该文件并在安装 OpenShift Container Platform 时引用。