4.10. 在受限网络中使用 Operator Lifecycle Manager
对于在受限网络中安装的 OpenShift Container Platform 集群（也称为 断开连接的集群 ），Operator Lifecycle Manager（OLM）默认无法访问托管在远程 registry 上的红帽提供的 OperatorHub 源，因为这些远程源需要足够的互联网连接。
但是，作为集群管理员，如果您有一个有完全互联网访问的工作站，则仍可以让集群在受限网络中使用 OLM。工作站需要完全访问互联网来拉取远程 OperatorHub 内容，用于准备远程源的本地镜像，并将内容推送到镜像 registry。
镜像 registry 可以位于堡垒主机上，它需要连接到您的工作站和断开连接的集群，或者一个完全断开连接的或 airgapped 主机，这需要可移动介质物理将镜像内容移到断开连接的环境中。
本指南描述了在受限网络中启用 OLM 所需的流程：
- 为 OLM 禁用默认远程 OperatorHub 源。
- 使用有完全互联网访问的工作站来创建并推送 OperatorHub 内容的本地镜像到镜像 registry。
- 将 OLM 配置为从镜像 registry 上的本地源而不是默认的远程源安装和管理 Operator。
在受限网络中启用 OLM 后，您可以继续使用不受限制的工作站在发布新版 Operator 时保持本地 OperatorHub 源的更新。
虽然 OLM 可以从本地源管理 Operator，但给定 Operator 在受限网络中成功运行仍取决于 Operator 本身满足以下条件：
-
在
ClusterServiceVersion(CSV) 对象的relatedImages参数中列出所有相关的镜像，或 Operator 执行时可能需要的其他容器镜像。 - 通过摘要 (SHA) 而不是标签来引用所有指定的镜像。
您可以通过使用以下选择过滤，在 Red Hat Ecosystem Catalog 上搜索软件以获取支持以断开连接模式运行的红帽 Operator 列表：
| Type | 容器化应用程序 |
| 部署方法 | Operator |
| 基础架构特性 | 断开连接 |
4.10.1. 先决条件
-
以具有
cluster-admin权限的用户身份登录 OpenShift Container Platform 集群。
如果您在 IBM Z 上的受限网络中使用 OLM，则必须至少为放置 registry 的目录分配 12 GB 的存储空间。
4.10.2. 禁用默认的 OperatorHub 目录源
在 OpenShift Container Platform 安装过程中，默认为 OperatorHub 配置由红帽和社区项目提供的源内容的 operator 目录。在受限网络环境中，必须以集群管理员身份禁用默认目录。然后，您可以将 OperatorHub 配置为使用本地目录源。
流程
通过在
OperatorHub对象中添加disableAllDefaultSources: true 来禁用默认目录的源：$ oc patch OperatorHub cluster --type json \ -p '[{"op": "add", "path": "/spec/disableAllDefaultSources", "value": true}]'
或者，您可以使用 Web 控制台管理目录源。在 Administration
4.10.3. 对 Operator 目录进行镜像(mirror)
有关与断开连接的集群一起使用的 Operator 目录的说明，请参阅为断开连接的安装 安装
从 OpenShift Container Platform 4.11 开始，默认的红帽提供的 Operator 目录以基于文件的目录格式发布。通过以过时的 SQLite 数据库格式发布的 4.10，用于 OpenShift Container Platform 4.6 的默认红帽提供的 Operator 目录。
与 SQLite 数据库格式相关的 opm 子命令、标志和功能已被弃用，并将在以后的版本中删除。功能仍被支持，且必须用于使用已弃用的 SQLite 数据库格式的目录。
许多 opm 子命令和标志都用于 SQLite 数据库格式，如 opm index prune，它们无法使用基于文件的目录格式。有关使用基于文件的目录的更多信息，请参阅 Operator Framework 打包格式，管理自定义目录，以及使用 oc-mirror 插件为断开连接的安装 mirror 镜像。
4.10.4. 在集群中添加目录源
将目录源添加到 OpenShift Container Platform 集群可为用户发现和安装 Operator。集群管理员可以创建一个 CatalogSource 对象来引用索引镜像。OperatorHub 使用目录源来填充用户界面。
或者，您可以使用 Web 控制台管理目录源。在 Administration
先决条件
- 构建并推送索引镜像到 registry。
-
您可以使用具有
cluster-admin角色的用户访问集群。
流程
创建一个
CatalogSource对象来引用索引镜像。如果使用oc adm catalog mirror命令将目录镜像到目标 registry，您可以使用 manifests 目录中生成的catalogSource.yaml文件作为起点。根据您的规格修改以下内容，并将它保存为
catalogSource.yaml文件：apiVersion: operators.coreos.com/v1alpha1 kind: CatalogSource metadata: name: my-operator-catalog 1 namespace: openshift-marketplace 2 spec: sourceType: grpc grpcPodConfig: securityContextConfig: <security_mode> 3 image: <registry>/<namespace>/redhat-operator-index:v4.13 4 displayName: My Operator Catalog publisher: <publisher_name> 5 updateStrategy: registryPoll: 6 interval: 30m
- 1
- 如果您在上传到 registry 前将内容镜像到本地文件，请从
metadata.name字段中删除任何反斜杠(/)字符，以避免在创建对象时出现 "invalid resource name" 错误。 - 2
- 如果您希望目录源对所有命名空间中的用户全局可用，请指定
openshift-marketplace命名空间。否则，您可以指定一个不同的命名空间来对目录进行作用域并只对该命名空间可用。 - 3
- 指定
legacy或restricted的值。如果没有设置该字段，则默认值为legacy。在以后的 OpenShift Container Platform 发行版本中，计划默认值为restricted。如果您的目录无法使用restricted权限运行，建议您手动将此字段设置为legacy。 - 4
- 指定索引镜像。如果您在镜像名称后指定了标签，如
:v4.13，则目录源 Pod 会使用镜像 pull 策略Always，这意味着 pod 始终在启动容器前拉取镜像。如果您指定了摘要，如@sha256:<id>，则镜像拉取策略为IfNotPresent，这意味着仅在节点上不存在的镜像时才拉取镜像。 - 5
- 指定发布目录的名称或机构名称。
- 6
- 目录源可以自动检查新版本以保持最新。
使用该文件创建
CatalogSource对象：$ oc apply -f catalogSource.yaml
确定成功创建以下资源。
检查 pod:
$ oc get pods -n openshift-marketplace
输出示例
NAME READY STATUS RESTARTS AGE my-operator-catalog-6njx6 1/1 Running 0 28s marketplace-operator-d9f549946-96sgr 1/1 Running 0 26h
检查目录源：
$ oc get catalogsource -n openshift-marketplace
输出示例
NAME DISPLAY TYPE PUBLISHER AGE my-operator-catalog My Operator Catalog grpc 5s
检查软件包清单：
$ oc get packagemanifest -n openshift-marketplace
输出示例
NAME CATALOG AGE jaeger-product My Operator Catalog 93s
现在，您可以在 OpenShift Container Platform Web 控制台中通过 OperatorHub 安装 Operator。
