红帽全球峰会8.4. 关于使用自定义 VPC
在 OpenShift Container Platform 4.15 中，您可以将集群部署到现有 IBM® Virtual Private Cloud (VPC)的子网。将 OpenShift Container Platform 部署到现有的 VPC 中可帮助您避免新帐户中的限制，或者更容易地利用公司所设置的操作限制。如果您无法获得您自己创建 VPC 所需的基础架构创建权限，请使用这个安装选项。
因为安装程序不知道现有子网中的其他组件，所以无法选择子网 CIDR 等。您必须为安装集群的子网配置网络。
8.4.1. 使用 VPC 的要求
您必须在安装集群前正确配置现有的 VPC 及其子网。安装程序不会创建以下组件：
- NAT 网关
- 子网
- 路由表
- VPC 网络
安装程序无法：
- 从属网络范围供集群使用
- 为子网设置路由表
- 设置 VPC 选项，如 DHCP
安装程序要求您使用由云提供的 DNS 服务器。不支持使用自定义 DNS 服务器，并导致安装失败。
8.4.2. VPC 验证
VPC 和所有子网都必须位于现有资源组中。集群部署到现有的 VPC 中。
作为安装的一部分，在 install-config.yaml 文件中指定以下内容：
-
包含 VPC 和子网的现有资源组的名称 (
networkResourceGroupName) -
现有 VPC 的名称(
vpcName) -
为 control plane 机器和计算机器创建的子网 (
controlPlaneSubnets和computeSubnets)
额外的安装程序置备的集群资源被部署到单独的资源组 (resourceGroupName) 中。您可在安装集群前指定此资源组。如果未定义，则会为集群创建新的资源组。
要确保您提供的子网适合，安装程序会确认以下内容：
- 您指定的所有子网都存在。
对于区域中的每个可用区，您可以指定：
- 一个用于 control plane 机器的子网。
- 计算机器的一个子网。
- 您指定的机器 CIDR 包含计算机器和 control plane 机器的子网。
不支持子网 ID。
8.4.3. 集群间隔离
如果您将 OpenShift Container Platform 部署到现有网络中，集群服务的隔离将在以下方面减少：
- 您可以在同一 VPC 中安装多个 OpenShift Container Platform 集群。
- 整个网络允许 ICMP 入站流量。
- 整个网络都允许 TCP 端口 22 入站流量 (SSH)。
- 整个网络都允许 control plane TCP 6443 入站流量 (Kubernetes API)。
- 整个网络都允许 control plane TCP 22623 入站流量 (MCS) 。
