6.3. 外部 DNS Operator

1. 运行以下命令，检查安装计划的名称：

   $ oc -n external-dns-operator get sub external-dns-operator -o yaml | yq '.status.installplan.name'

   输出示例

   install-zcvlr

2. 运行以下命令，检查安装计划的状态是否为 Complete ：

   $ oc -n external-dns-operator get ip <install_plan_name> -o yaml | yq '.status.phase'

   输出示例

   Complete

3. 运行以下命令，查看 external-dns-operator 部署的状态：

   $ oc get -n external-dns-operator deployment/external-dns-operator

   输出示例

   NAME                    READY     UP-TO-DATE   AVAILABLE   AGE
   external-dns-operator   1/1       1            1           23h

流程

1. 运行以下命令，查看外部 DNS Operator 的日志：

   $ oc logs -n external-dns-operator deployment/external-dns-operator -c external-dns-operator

流程

1. 在 OpenShift Container Platform Web 控制台中点 Operators OperatorHub。
2. 点 External DNS Operator。您可以使用 Filter by keyword 文本框或过滤器列表从 Operator 列表中搜索 External DNS Operator。
3. 选择 external-dns-operator 命名空间。
4. 在 External DNS Operator 页面中，点 Install。

5. 在 Install Operator 页面中，确保选择了以下选项：

   1. 将频道更新为 stable-v1。
   2. 安装模式为 A specific name on the cluster。
   3. 安装的命名空间为 external-dns-operator。如果命名空间 external-dns-operator 不存在，它会在 Operator 安装过程中创建。
   4. 将 Approval Strategy 选为 Automatic 或 Manual。默认情况下，批准策略设置为 Automatic。
   5. 点 Install。

流程

1. 创建一个 Namespace 对象：

   1. 创建定义 Namespace 对象的 YAML 文件：

      namespace.yaml 文件示例

      apiVersion: v1
      kind: Namespace
      metadata:
        name: external-dns-operator

   2. 运行以下命令来创建 Namespace 对象：

      $ oc apply -f namespace.yaml

2. 创建一个 OperatorGroup 对象：

   1. 创建定义 OperatorGroup 对象的 YAML 文件：

      operatorgroup.yaml 文件示例

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: external-dns-operator
        namespace: external-dns-operator
      spec:
        upgradeStrategy: Default
        targetNamespaces:
        - external-dns-operator

   2. 运行以下命令来创建 OperatorGroup 对象：

      $ oc apply -f operatorgroup.yaml

3. 创建 Subscription 对象：

   1. 创建定义 Subscription 对象的 YAML 文件：

      subscription.yaml 文件示例

      apiVersion: operators.coreos.com/v1alpha1
      kind: Subscription
      metadata:
        name: external-dns-operator
        namespace: external-dns-operator
      spec:
        channel: stable-v1
        installPlanApproval: Automatic
        name: external-dns-operator
        source: redhat-operators
        sourceNamespace: openshift-marketplace

   2. 运行以下命令来创建 Subscription 对象：

      $ oc apply -f subscription.yaml

验证

1. 运行以下命令，从订阅获取安装计划的名称：

   $ oc -n external-dns-operator \
       get subscription external-dns-operator \
       --template='{{.status.installplan.name}}{{"\n"}}'

2. 运行以下命令，验证安装计划的状态是否为 Complete ：

   $ oc -n external-dns-operator \
       get ip <install_plan_name> \
       --template='{{.status.phase}}{{"\n"}}'

3. 运行以下命令，验证 external-dns-operator pod 的状态是否为 Running ：

   $ oc -n external-dns-operator get pod

   输出示例

   NAME                                     READY   STATUS    RESTARTS   AGE
   external-dns-operator-5584585fd7-5lwqm   2/2     Running   0          11m

4. 运行以下命令，验证订阅的目录源是否为 redhat-operators ：

   $ oc -n external-dns-operator get subscription

   输出示例

   NAME                    PACKAGE                 SOURCE             CHANNEL
   external-dns-operator   external-dns-operator   redhat-operators   stable-v1

5. 运行以下命令检查 external-dns-operator 版本：

   $ oc -n external-dns-operator get csv

   输出示例

   NAME                           DISPLAY                VERSION   REPLACES   PHASE
   external-dns-operator.v<1.y.z>   ExternalDNS Operator   <1.y.z>                Succeeded

流程

1. 检查用户。用户必须有权访问 kube-system 命名空间。如果没有凭证，您可以从 kube-system 命名空间中获取凭证，以使用云供应商客户端：

   $ oc whoami

   输出示例

   system:admin

2. 从 kube-system 命名空间中存在的 aws-creds secret 中获取值。

   $ export AWS_ACCESS_KEY_ID=$(oc get secrets aws-creds -n kube-system  --template={{.data.aws_access_key_id}} | base64 -d)
   $ export AWS_SECRET_ACCESS_KEY=$(oc get secrets aws-creds -n kube-system  --template={{.data.aws_secret_access_key}} | base64 -d)

3. 获取路由来检查域：

   $ oc get routes --all-namespaces | grep console

   输出示例

   openshift-console          console             console-openshift-console.apps.testextdnsoperator.apacshift.support                       console             https   reencrypt/Redirect     None
   openshift-console          downloads           downloads-openshift-console.apps.testextdnsoperator.apacshift.support                     downloads           http    edge/Redirect          None

4. 获取 dns zones 列表以查找与之前找到的路由域对应的 dns 区域：

   $ aws route53 list-hosted-zones | grep testextdnsoperator.apacshift.support

   输出示例

   HOSTEDZONES	terraform	/hostedzone/Z02355203TNN1XXXX1J6O	testextdnsoperator.apacshift.support.	5

5. 为路由源创建 ExternalDNS 资源：

   $ cat <<EOF | oc create -f -
   apiVersion: externaldns.olm.openshift.io/v1beta1
   kind: ExternalDNS
   metadata:
     name: sample-aws 1
   spec:
     domains:
     - filterType: Include   2
       matchType: Exact   3
       name: testextdnsoperator.apacshift.support 4
     provider:
       type: AWS 5
     source:  6
       type: OpenShiftRoute 7
       openshiftRouteOptions:
         routerName: default 8
   EOF

   1

   定义外部 DNS 资源的名称。

   2

   默认情况下，所有托管区都被选为潜在的目标。您可以包括需要的托管区。

   3

   目标区的域匹配必须是完全准确的（与正则表达式匹配不同）。

   4

   指定您要更新的区域的确切域。路由的主机名必须是指定域的子域。

   5

   定义 AWS Route53 DNS 供应商。

   6

   定义 DNS 记录源的选项。

   7

   定义 OpenShift 路由资源，作为在之前指定的 DNS 供应商中创建的 DNS 记录来源。

   8

   如果源是 OpenShiftRoute，您可以传递 OpenShift Ingress Controller 名称。外部 DNS Operator 在创建 CNAME 记录时，选择该路由器的规范主机名作为目标。

6. 使用以下命令，检查为 OCP 路由创建的记录：

   $ aws route53 list-resource-record-sets --hosted-zone-id Z02355203TNN1XXXX1J6O --query "ResourceRecordSets[?Type == 'CNAME']" | grep console

流程

1. 运行以下命令，获取您创建的 IAM 角色的 Role ARN，以允许帐户 B 访问帐户 A 的 Route 53 托管区：

   $ aws --profile account-a iam get-role --role-name user-rol1 | head -1

   输出示例

   ROLE	arn:aws:iam::1234567890123:role/user-rol1	2023-09-14T17:21:54+00:00	3600	/	AROA3SGB2ZRKRT5NISNJN	user-rol1

2. 运行以下命令，找到用于帐户 A 凭证的私有托管区：

   $ aws --profile account-a route53 list-hosted-zones | grep testextdnsoperator.apacshift.support

   输出示例

   HOSTEDZONES	terraform	/hostedzone/Z02355203TNN1XXXX1J6O	testextdnsoperator.apacshift.support. 5

3. 运行以下命令来创建 ExternalDNS 对象：

   $ cat <<EOF | oc create -f -
   apiVersion: externaldns.olm.openshift.io/v1beta1
   kind: ExternalDNS
   metadata:
     name: sample-aws
   spec:
     domains:
     - filterType: Include
       matchType: Exact
       name: testextdnsoperator.apacshift.support
     provider:
       type: AWS
       aws:
         assumeRole:
           arn: arn:aws:iam::12345678901234:role/user-rol1 1
     source:
       type: OpenShiftRoute
       openshiftRouteOptions:
         routerName: default
   EOF

   1

   指定 Role ARN，以便在帐户 A 中创建 DNS 记录。

4. 使用以下命令，检查为 OpenShift Container Platform (OCP) 路由创建的记录：

   $ aws --profile account-a route53 list-resource-record-sets --hosted-zone-id Z02355203TNN1XXXX1J6O --query "ResourceRecordSets[?Type == 'CNAME']" | grep console-openshift-console

流程

1. 运行以下命令，从 kube-system 命名空间中获取凭证以使用云供应商客户端：

   $ CLIENT_ID=$(oc get secrets azure-credentials  -n kube-system  --template={{.data.azure_client_id}} | base64 -d)
   $ CLIENT_SECRET=$(oc get secrets azure-credentials  -n kube-system  --template={{.data.azure_client_secret}} | base64 -d)
   $ RESOURCE_GROUP=$(oc get secrets azure-credentials  -n kube-system  --template={{.data.azure_resourcegroup}} | base64 -d)
   $ SUBSCRIPTION_ID=$(oc get secrets azure-credentials  -n kube-system  --template={{.data.azure_subscription_id}} | base64 -d)
   $ TENANT_ID=$(oc get secrets azure-credentials  -n kube-system  --template={{.data.azure_tenant_id}} | base64 -d)

2. 运行以下命令来登录到 Azure：

   $ az login --service-principal -u "${CLIENT_ID}" -p "${CLIENT_SECRET}" --tenant "${TENANT_ID}"

3. 运行以下命令来获取路由列表：

   $ oc get routes --all-namespaces | grep console

   输出示例

   openshift-console          console             console-openshift-console.apps.test.azure.example.com                       console             https   reencrypt/Redirect     None
   openshift-console          downloads           downloads-openshift-console.apps.test.azure.example.com                     downloads           http    edge/Redirect          None

4. 运行以下命令，获取 DNS 区域列表：

   $ az network dns zone list --resource-group "${RESOURCE_GROUP}"

5. 创建一个 YAML 文件，如 external-dns-sample-azure.yaml，该文件定义 ExternalDNS 对象：

   external-dns-sample-azure.yaml 文件示例

   apiVersion: externaldns.olm.openshift.io/v1beta1
   kind: ExternalDNS
   metadata:
     name: sample-azure 1
   spec:
     zones:
     - "/subscriptions/1234567890/resourceGroups/test-azure-xxxxx-rg/providers/Microsoft.Network/dnszones/test.azure.example.com" 2
     provider:
       type: Azure 3
     source:
       openshiftRouteOptions: 4
         routerName: default 5
       type: OpenShiftRoute 6

   1

   指定外部 DNS 名称。

   2

   定义区域 ID。

   3

   定义提供程序类型。

   4

   您可以定义 DNS 记录源的选项。

   5

   如果源类型是 OpenShiftRoute，您可以传递 OpenShift Ingress Controller 名称。外部 DNS 在创建 CNAME 记录时，选择该路由器的规范主机名作为目标。

   6

   将 route 资源定义为 Azure DNS 记录的来源。

6. 运行以下命令，检查为 OpenShift Container Platform 路由创建的 DNS 记录：

   $ az network dns record-set list -g "${RESOURCE_GROUP}"  -z test.azure.example.com | grep console

   注意

   要在私有 Azure DNS 上的私有托管区上创建记录，您需要在 zones 字段中指定私有区，用于在 ExternalDNS 容器参数中将供应商类型填充到 azure-private-dns。

流程

1. 运行以下命令，将 gcp-credentials secret 复制到 encoded-gcloud.json 文件中：

   $ oc get secret gcp-credentials -n kube-system --template='{{$v := index .data "service_account.json"}}{{$v}}' | base64 -d - > decoded-gcloud.json

2. 运行以下命令导出 Google 凭证：

   $ export GOOGLE_CREDENTIALS=decoded-gcloud.json

3. 使用以下命令激活您的帐户：

   $ gcloud auth activate-service-account  <client_email as per decoded-gcloud.json> --key-file=decoded-gcloud.json

4. 运行以下命令来设置项目：

   $ gcloud config set project <project_id as per decoded-gcloud.json>

5. 运行以下命令来获取路由列表：

   $ oc get routes --all-namespaces | grep console

   输出示例

   openshift-console          console             console-openshift-console.apps.test.gcp.example.com                       console             https   reencrypt/Redirect     None
   openshift-console          downloads           downloads-openshift-console.apps.test.gcp.example.com                     downloads           http    edge/Redirect          None

6. 运行以下命令来获取受管区列表：

   $ gcloud dns managed-zones list | grep test.gcp.example.com

   输出示例

   qe-cvs4g-private-zone test.gcp.example.com

7. 创建一个 YAML 文件，如 external-dns-sample-gcp.yaml，该文件定义 ExternalDNS 对象：

   external-dns-sample-gcp.yaml 文件示例

   apiVersion: externaldns.olm.openshift.io/v1beta1
   kind: ExternalDNS
   metadata:
     name: sample-gcp 1
   spec:
     domains:
       - filterType: Include 2
         matchType: Exact 3
         name: test.gcp.example.com 4
     provider:
       type: GCP 5
     source:
       openshiftRouteOptions: 6
         routerName: default 7
       type: OpenShiftRoute 8

   1

   指定外部 DNS 名称。

   2

   默认情况下，所有托管区都被选为潜在的目标。您可以包含托管区。

   3

   目标的域必须与 name 键定义的字符串匹配。

   4

   指定您要更新的区域的确切域。路由的主机名必须是指定域的子域。

   5

   定义提供程序类型。

   6

   您可以定义 DNS 记录源的选项。

   7

   如果源类型是 OpenShiftRoute，您可以传递 OpenShift Ingress Controller 名称。外部 DNS 在创建 CNAME 记录时，选择该路由器的规范主机名作为目标。

   8

   将 route 资源定义为 GCP DNS 记录的源。

8. 运行以下命令，检查为 OpenShift Container Platform 路由创建的 DNS 记录：

   $ gcloud dns record-sets list --zone=qe-cvs4g-private-zone | grep console

流程

1. 运行以下命令，使用 Infoblox 凭证创建 secret 对象：

   $ oc -n external-dns-operator create secret generic infoblox-credentials --from-literal=EXTERNAL_DNS_INFOBLOX_WAPI_USERNAME=<infoblox_username> --from-literal=EXTERNAL_DNS_INFOBLOX_WAPI_PASSWORD=<infoblox_password>

2. 运行以下命令来获取路由列表：

   $ oc get routes --all-namespaces | grep console

   输出示例

   openshift-console          console             console-openshift-console.apps.test.example.com                       console             https   reencrypt/Redirect     None
   openshift-console          downloads           downloads-openshift-console.apps.test.example.com                     downloads           http    edge/Redirect          None

3. 创建一个 YAML 文件，如 external-dns-sample-infoblox.yaml，该文件定义 ExternalDNS 对象：

   external-dns-sample-infoblox.yaml 文件示例

   apiVersion: externaldns.olm.openshift.io/v1beta1
   kind: ExternalDNS
   metadata:
     name: sample-infoblox 1
   spec:
     provider:
       type: Infoblox 2
       infoblox:
         credentials:
           name: infoblox-credentials
         gridHost: ${INFOBLOX_GRID_PUBLIC_IP}
         wapiPort: 443
         wapiVersion: "2.3.1"
     domains:
     - filterType: Include
       matchType: Exact
       name: test.example.com
     source:
       type: OpenShiftRoute 3
       openshiftRouteOptions:
         routerName: default 4

   1

   指定外部 DNS 名称。

   2

   定义提供程序类型。

   3

   您可以定义 DNS 记录源的选项。

   4

   如果源类型是 OpenShiftRoute，您可以传递 OpenShift Ingress Controller 名称。外部 DNS 在创建 CNAME 记录时，选择该路由器的规范主机名作为目标。

4. 运行以下命令，在 Infoblox 上创建 ExternalDNS 资源：

   $ oc create -f external-dns-sample-infoblox.yaml

5. 通过 Infoblox UI，检查为 console 路由创建的 DNS 记录：

   1. 点 Data Management DNS Zones。
   2. 选择区域名称。

流程

1. 运行以下命令，创建配置映射以在 external-dns-operator 命名空间中包含 CA 捆绑包：

   $ oc -n external-dns-operator create configmap trusted-ca

2. 要将可信 CA 捆绑包注入配置映射中，请运行以下命令将 config.openshift.io/inject-trusted-cabundle=true 标签添加到配置映射中：

   $ oc -n external-dns-operator label cm trusted-ca config.openshift.io/inject-trusted-cabundle=true

3. 运行以下命令更新外部 DNS Operator 的订阅：

   $ oc -n external-dns-operator patch subscription external-dns-operator --type='json' -p='[{"op": "add", "path": "/spec/config", "value":{"env":[{"name":"TRUSTED_CA_CONFIGMAP_NAME","value":"trusted-ca"}]}}]'