8.7. 在 kube-system 项目中存储管理员级别的 secret 的替代方案

流程

1. 运行以下命令，为 OpenShift Container Platform 发行镜像设置变量：

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，从 OpenShift Container Platform 发行镜像获取 CCO 容器镜像：

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)

   Copy to Clipboard Toggle word wrap
   注意

   确保 $RELEASE_IMAGE 的架构与将使用 ccoctl 工具的环境架构相匹配。

3. 运行以下命令，将 CCO 容器镜像中的 ccoctl 二进制文件提取到 OpenShift Container Platform 发行镜像中：

   $ oc image extract $CCO_IMAGE \
     --file="/usr/bin/ccoctl.<rhel_version>" \

   1

   
     -a ~/.pull-secret

   Copy to Clipboard Toggle word wrap

   1

   对于 <rhel_version>，请指定与主机使用的 Red Hat Enterprise Linux (RHEL) 版本对应的值。如果没有指定值，则默认使用 ccoctl.rhel8。以下值有效：

   • rhel8: 为使用 RHEL 8 的主机指定这个值。
   • rhel9 ：为使用 RHEL 9 的主机指定这个值。

4. 运行以下命令更改权限以使 ccoctl 可执行：

   $ chmod 775 ccoctl.<rhel_version>

   Copy to Clipboard Toggle word wrap

流程

1. 运行以下命令，使用安装文件中的发行镜像设置 $RELEASE_IMAGE 变量：

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，从 OpenShift Container Platform 发行镜像中提取 CredentialsRequest 对象列表：

   $ oc adm release extract \
     --from=$RELEASE_IMAGE \
     --credentials-requests \
     --included \

   1

   
     --install-config=<path_to_directory_with_installation_configuration>/install-config.yaml \

   2

   
     --to=<path_to_directory_for_credentials_requests> 

   3

   Copy to Clipboard Toggle word wrap

   1

   --included 参数仅包含特定集群配置所需的清单。

   2

   指定 install-config.yaml 文件的位置。

   3

   指定要存储 CredentialsRequest 对象的目录的路径。如果指定的目录不存在，这个命令会创建它。

   注意

   此命令可能需要一些时间才能运行。

3. 运行以下命令，使用 ccoctl 工具处理所有 CredentialsRequest 对象：

   $ ccoctl gcp create-all \
     --name=<name> \

   1

   
     --region=<gcp_region> \

   2

   
     --project=<gcp_project_id> \

   3

   
     --credentials-requests-dir=<path_to_credentials_requests_directory> 

   4

   Copy to Clipboard Toggle word wrap

   1

   为用于跟踪的所有创建 GCP 资源指定用户定义的名称。

   2

   指定在其中创建云资源的 GCP 区域。

   3

   指定在其中创建云资源的 GCP 项目 ID。

   4

   指定包含 CredentialsRequest 清单文件的目录，以创建 GCP 服务帐户。

   注意

   如果您的集群使用 TechPreviewNoUpgrade 功能集启用的技术预览功能，则必须包含 --enable-tech-preview 参数。

流程

1. 在安装程序使用的 GCP 帐户中添加以下粒度权限：

   例 8.3. 所需的 GCP 权限

   • compute.machineTypes.list
   • compute.regions.list
   • compute.zones.list
   • dns.changes.create
   • dns.changes.get
   • dns.managedZones.create
   • dns.managedZones.delete
   • dns.managedZones.get
   • dns.managedZones.list
   • dns.networks.bindPrivateDNSZone
   • dns.resourceRecordSets.create
   • dns.resourceRecordSets.delete
   • dns.resourceRecordSets.list

2. 如果您没有将 install-config.yaml 配置文件中的 credentialsMode 参数设置为 Manual，请修改值，如下所示：

   配置文件片段示例

   apiVersion: v1
   baseDomain: example.com
   credentialsMode: Manual
   # ...

   Copy to Clipboard Toggle word wrap

3. 如果您之前还没有创建安装清单文件，请运行以下命令：

   $ openshift-install create manifests --dir <installation_directory>

   Copy to Clipboard Toggle word wrap

   其中 <installation_directory> 是安装程序在其中创建文件的目录。

4. 运行以下命令，将 ccoctl 工具生成的清单复制到安装程序创建的 manifests 目录中：

   $ cp /<path_to_ccoctl_output_dir>/manifests/* ./manifests/

   Copy to Clipboard Toggle word wrap

5. 将包含私钥的 tls 目录复制到安装目录中：

   $ cp -a /<path_to_ccoctl_output_dir>/tls .

   Copy to Clipboard Toggle word wrap