托管 control plane

流程

1. 运行以下命令，在托管集群上编辑 HostedCluster 自定义资源(CR)：

   $ oc edit <hosted_cluster_name> -n <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

2. 使用以下示例在 HostedCluster CR 中添加 OAuth 配置：

   apiVersion: hypershift.openshift.io/v1alpha1
   kind: HostedCluster
   metadata:
     name: <hosted_cluster_name> 

   1

   
     namespace: <hosted_cluster_namespace> 

   2

   
   spec:
     configuration:
       oauth:
         identityProviders:
         - openID: 

   3

   
             claims:
               email: 

   4

   
                 - <email_address>
               name: 

   5

   
                 - <display_name>
               preferredUsername: 

   6

   
                 - <preferred_username>
             clientID: <client_id> 

   7

   
             clientSecret:
               name: <client_id_secret_name> 

   8

   
             issuer: https://example.com/identity 

   9

   
           mappingMethod: lookup 

   10

   
           name: IAM
           type: OpenID

   Copy to Clipboard Toggle word wrap

   1

   指定托管的集群名称。

   2

   指定托管集群的命名空间。

   3

   此提供程序名称作为前缀放在身份声明值前，以此组成身份名称。提供程序名称也用于构建重定向 URL。

   4

   定义用作电子邮件地址的属性列表。

   5

   定义用作显示名称的属性列表。

   6

   定义用作首选用户名的属性列表。

   7

   定义在 OpenID 提供程序中注册的客户端的 ID。您必须允许客户端重定向到 https://oauth-openshift.apps.<cluster_name>.<cluster_domain>/oauth2callback/<idp_provider_name> URL。

   8

   定义在 OpenID 供应商中注册的客户端的机密。

   9

   OpenID 规范中描述的颁发者标识符。您必须使用没有查询或片段组件的 https。

   10

   定义一个映射方法，用于控制如何在此供应商和 User 对象的身份之间建立映射。

3. 保存文件以使改变生效。

流程

1. 进入到 Home → API Explorer。
2. 使用 Filter by kind 复选框搜索您的 HostedCluster 资源。
3. 点您要编辑的 HostedCluster 资源。
4. 点 实例 选项卡。
5. 点托管集群名称条目旁边的 Options 菜单 ，然后点 Edit HostedCluster。

6. 在 YAML 文件中添加 OAuth 配置：

   spec:
     configuration:
       oauth:
         identityProviders:
         - openID: 

   1

   
             claims:
               email: 

   2

   
                 - <email_address>
               name: 

   3

   
                 - <display_name>
               preferredUsername: 

   4

   
                 - <preferred_username>
             clientID: <client_id> 

   5

   
             clientSecret:
               name: <client_id_secret_name> 

   6

   
             issuer: https://example.com/identity 

   7

   
           mappingMethod: lookup 

   8

   
           name: IAM
           type: OpenID

   Copy to Clipboard Toggle word wrap

   1

   此提供程序名称作为前缀放在身份声明值前，以此组成身份名称。提供程序名称也用于构建重定向 URL。

   2

   定义用作电子邮件地址的属性列表。

   3

   定义用作显示名称的属性列表。

   4

   定义用作首选用户名的属性列表。

   5

   定义在 OpenID 提供程序中注册的客户端的 ID。您必须允许客户端重定向到 https://oauth-openshift.apps.<cluster_name>.<cluster_domain>/oauth2callback/<idp_provider_name> URL。

   6

   定义在 OpenID 供应商中注册的客户端的机密。

   7

   OpenID 规范中描述的颁发者标识符。您必须使用没有查询或片段组件的 https。

   8

   定义一个映射方法，用于控制如何在此供应商和 User 对象的身份之间建立映射。

7. 点击 Save。

流程

1. 运行以下命令，验证 CCO 是否在托管集群的手动模式中配置：

   $ oc get cloudcredentials <hosted_cluster_name> -n <hosted_cluster_namespace> -o=jsonpath={.spec.credentialsMode}

   Copy to Clipboard Toggle word wrap

   预期输出

   Manual

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，验证 serviceAccountIssuer 资源的值是否不为空：

   $ oc get authentication cluster --kubeconfig <hosted_cluster_name>.kubeconfig -o jsonpath --template '{.spec.serviceAccountIssuer }'

   Copy to Clipboard Toggle word wrap

   输出示例

   https://aos-hypershift-ci-oidc-29999.s3.us-east-2.amazonaws.com/hypershift-ci-29999

   Copy to Clipboard Toggle word wrap

流程

1. 更新 Operator 项目的 ClusterServiceVersion (CSV)对象：

   1. 确保 Operator 有 RBAC 权限来创建 CredentialsRequests 对象：

      例 3.1. clusterPermissions 列表示例

      # ...
      install:
        spec:
          clusterPermissions:
          - rules:
            - apiGroups:
              - "cloudcredential.openshift.io"
              resources:
              - credentialsrequests
              verbs:
              - create
              - delete
              - get
              - list
              - patch
              - update
              - watch

      Copy to Clipboard Toggle word wrap

   2. 添加以下注解来声明对使用 AWS STS 的基于 CCO 工作流的方法的支持：

      # ...
      metadata:
       annotations:
         features.operators.openshift.io/token-auth-aws: "true"

      Copy to Clipboard Toggle word wrap

2. 更新 Operator 项目代码：

   1. 从 pod 上由 Subscription 对象设置的环境变量获取角色 ARN。例如：

      // Get ENV var
      roleARN := os.Getenv("ROLEARN")
      setupLog.Info("getting role ARN", "role ARN = ", roleARN)
      webIdentityTokenPath := "/var/run/secrets/openshift/serviceaccount/token"

      Copy to Clipboard Toggle word wrap

   2. 确保具有 CredentialsRequest 对象已准备好修补并应用。例如：

      例 3.2. CredentialsRequest 对象创建示例

      import (
         minterv1 "github.com/openshift/cloud-credential-operator/pkg/apis/cloudcredential/v1"
         corev1 "k8s.io/api/core/v1"
         metav1 "k8s.io/apimachinery/pkg/apis/meta/v1"
      )
      
      var in = minterv1.AWSProviderSpec{
         StatementEntries: []minterv1.StatementEntry{
            {
               Action: []string{
                  "s3:*",
               },
               Effect:   "Allow",
               Resource: "arn:aws:s3:*:*:*",
            },
         },
      	STSIAMRoleARN: "<role_arn>",
      }
      
      var codec = minterv1.Codec
      var ProviderSpec, _ = codec.EncodeProviderSpec(in.DeepCopyObject())
      
      const (
         name      = "<credential_request_name>"
         namespace = "<namespace_name>"
      )
      
      var CredentialsRequestTemplate = &minterv1.CredentialsRequest{
         ObjectMeta: metav1.ObjectMeta{
             Name:      name,
             Namespace: "openshift-cloud-credential-operator",
         },
         Spec: minterv1.CredentialsRequestSpec{
            ProviderSpec: ProviderSpec,
            SecretRef: corev1.ObjectReference{
               Name:      "<secret_name>",
               Namespace: namespace,
            },
            ServiceAccountNames: []string{
               "<service_account_name>",
            },
            CloudTokenPath:   "",
         },
      }

      Copy to Clipboard Toggle word wrap

      另外，如果您从 YAML 表单的 CredentialsRequest 对象开始（例如，作为 Operator 项目代码的一部分），您可以以不同的方式处理它：

      例 3.3. 以 YAML 格式创建 CredentialsRequest 对象示例

      // CredentialsRequest is a struct that represents a request for credentials
      type CredentialsRequest struct {
        APIVersion string `yaml:"apiVersion"`
        Kind       string `yaml:"kind"`
        Metadata   struct {
           Name      string `yaml:"name"`
           Namespace string `yaml:"namespace"`
        } `yaml:"metadata"`
        Spec struct {
           SecretRef struct {
              Name      string `yaml:"name"`
              Namespace string `yaml:"namespace"`
           } `yaml:"secretRef"`
           ProviderSpec struct {
              APIVersion     string `yaml:"apiVersion"`
              Kind           string `yaml:"kind"`
              StatementEntries []struct {
                 Effect   string   `yaml:"effect"`
                 Action   []string `yaml:"action"`
                 Resource string   `yaml:"resource"`
              } `yaml:"statementEntries"`
              STSIAMRoleARN   string `yaml:"stsIAMRoleARN"`
           } `yaml:"providerSpec"`
      
           // added new field
            CloudTokenPath   string `yaml:"cloudTokenPath"`
        } `yaml:"spec"`
      }
      
      // ConsumeCredsRequestAddingTokenInfo is a function that takes a YAML filename and two strings as arguments
      // It unmarshals the YAML file to a CredentialsRequest object and adds the token information.
      func ConsumeCredsRequestAddingTokenInfo(fileName, tokenString, tokenPath string) (*CredentialsRequest, error) {
        // open a file containing YAML form of a CredentialsRequest
        file, err := os.Open(fileName)
        if err != nil {
           return nil, err
        }
        defer file.Close()
      
        // create a new CredentialsRequest object
        cr := &CredentialsRequest{}
      
        // decode the yaml file to the object
        decoder := yaml.NewDecoder(file)
        err = decoder.Decode(cr)
        if err != nil {
           return nil, err
        }
      
        // assign the string to the existing field in the object
        cr.Spec.CloudTokenPath = tokenPath
      
        // return the modified object
        return cr, nil
      }

      Copy to Clipboard Toggle word wrap
      注意

      目前不支持在 Operator 捆绑包中添加 CredentialsRequest 对象。

   3. 在凭证请求中添加角色 ARN 和 Web 身份令牌路径，并在 Operator 初始化过程中应用它：

      例 3.4. 在 Operator 初始化过程中应用 CredentialsRequest 对象示例

      // apply credentialsRequest on install
      credReq := credreq.CredentialsRequestTemplate
      credReq.Spec.CloudTokenPath = webIdentityTokenPath
      
      c := mgr.GetClient()
      if err := c.Create(context.TODO(), credReq); err != nil {
         if !errors.IsAlreadyExists(err) {
            setupLog.Error(err, "unable to create CredRequest")
            os.Exit(1)
         }
      }

      Copy to Clipboard Toggle word wrap

   4. 确保 Operator 可以等待 Secret 对象从 CCO 显示，如下例所示，以及您在 Operator 中协调的其他项目：

      例 3.5. 等待 Secret 对象示例

      // WaitForSecret is a function that takes a Kubernetes client, a namespace, and a v1 "k8s.io/api/core/v1" name as arguments
      // It waits until the secret object with the given name exists in the given namespace
      // It returns the secret object or an error if the timeout is exceeded
      func WaitForSecret(client kubernetes.Interface, namespace, name string) (*v1.Secret, error) {
        // set a timeout of 10 minutes
        timeout := time.After(10 * time.Minute) 

      1

      
      
        // set a polling interval of 10 seconds
        ticker := time.NewTicker(10 * time.Second)
      
        // loop until the timeout or the secret is found
        for {
           select {
           case <-timeout:
              // timeout is exceeded, return an error
              return nil, fmt.Errorf("timed out waiting for secret %s in namespace %s", name, namespace)
                 // add to this error with a pointer to instructions for following a manual path to a Secret that will work on STS
           case <-ticker.C:
              // polling interval is reached, try to get the secret
              secret, err := client.CoreV1().Secrets(namespace).Get(context.Background(), name, metav1.GetOptions{})
              if err != nil {
                 if errors.IsNotFound(err) {
                    // secret does not exist yet, continue waiting
                    continue
                 } else {
                    // some other error occurred, return it
                    return nil, err
                 }
              } else {
                 // secret is found, return it
                 return secret, nil
              }
           }
        }
      }

      Copy to Clipboard Toggle word wrap

      1

      timeout 值基于 CCO 检测添加的 CredentialsRequest 对象并生成 Secret 对象的速度。您可能会考虑降低时间或为集群管理员创建自定义反馈，这可能会导致 Operator 尚未访问云资源的原因。

   5. 通过从凭证请求中读取 CCO 创建的 secret 并设置 AWS 配置，并创建包含该 secret 数据的 AWS 配置文件：

      例 3.6. AWS 配置创建示例

      func SharedCredentialsFileFromSecret(secret *corev1.Secret) (string, error) {
         var data []byte
         switch {
         case len(secret.Data["credentials"]) > 0:
             data = secret.Data["credentials"]
         default:
             return "", errors.New("invalid secret for aws credentials")
         }
      
      
         f, err := ioutil.TempFile("", "aws-shared-credentials")
         if err != nil {
             return "", errors.Wrap(err, "failed to create file for shared credentials")
         }
         defer f.Close()
         if _, err := f.Write(data); err != nil {
             return "", errors.Wrapf(err, "failed to write credentials to %s", f.Name())
         }
         return f.Name(), nil
      }

      Copy to Clipboard Toggle word wrap
      重要

      secret 被假定为存在，但在使用此 secret 时，您的 Operator 代码应等待和重试，以提供 CCO 创建 secret 的时间。

      另外，等待周期最终应该超时，并警告用户 OpenShift Container Platform 集群版本，因此 CCO 可能会是一个较早的版本，它不支持使用 STS 检测的 CredentialsRequest 对象工作流。在这种情况下，指示用户必须使用其他方法添加 secret。

   6. 配置 AWS SDK 会话，例如：

      例 3.7. AWS SDK 会话配置示例

      sharedCredentialsFile, err := SharedCredentialsFileFromSecret(secret)
      if err != nil {
         // handle error
      }
      options := session.Options{
         SharedConfigState: session.SharedConfigEnable,
         SharedConfigFiles: []string{sharedCredentialsFile},
      }

      Copy to Clipboard Toggle word wrap

流程

1. 要在管理集群中的配置映射中创建 MachineConfig 对象，请输入以下信息：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: <configmap_name>
     namespace: clusters
   data:
     config: |
       apiVersion: machineconfiguration.openshift.io/v1
       kind: MachineConfig
       metadata:
         labels:
           machineconfiguration.openshift.io/role: worker
         name: <machineconfig_name>
       spec:
         config:
           ignition:
             version: 3.2.0
           storage:
             files:
             - contents:
                 source: data:...
               mode: 420
               overwrite: true
               path: ${PATH} 

   1

   Copy to Clipboard Toggle word wrap

   1

   在存储 MachineConfig 对象的节点上设置路径。

2. 将对象添加到配置映射后，您可以将配置映射应用到节点池，如下所示：

   $ oc edit nodepool <nodepool_name> --namespace <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

   apiVersion: hypershift.openshift.io/v1alpha1
   kind: NodePool
   metadata:
   # ...
     name: nodepool-1
     namespace: clusters
   # ...
   spec:
     config:
     - name: <configmap_name> 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   将 <configmap_name> 替换为配置映射的名称。

流程

1. 输入以下信息，在管理集群中的配置映射中添加 kubelet 配置：

   带有 kubelet 配置的 ConfigMap 对象示例

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: <configmap_name> 

   1

   
     namespace: clusters
   data:
     config: |
       apiVersion: machineconfiguration.openshift.io/v1
       kind: KubeletConfig
       metadata:
         name: <kubeletconfig_name> 

   2

   
       spec:
         kubeletConfig:
           registerWithTaints:
           - key: "example.sh/unregistered"
             value: "true"
             effect: "NoExecute"

   Copy to Clipboard Toggle word wrap

   1

   将 <configmap_name> 替换为配置映射的名称。

   2

   将 <kubeletconfig_name> 替换为 KubeletConfig 资源的名称。

2. 输入以下命令将配置映射应用到节点池：

   $ oc edit nodepool <nodepool_name> --namespace clusters 

   1

   Copy to Clipboard Toggle word wrap

   1

   将 <nodepool_name> 替换为节点池的名称。

   NodePool 资源配置示例

   apiVersion: hypershift.openshift.io/v1alpha1
   kind: NodePool
   metadata:
   # ...
     name: nodepool-1
     namespace: clusters
   # ...
   spec:
     config:
     - name: <configmap_name> 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   将 <configmap_name> 替换为配置映射的名称。

流程

1. 创建包含有效 tuned 清单的配置映射，并引用节点池中的清单。在以下示例中，Tuned 清单定义了一个配置文件，在包含 tuned-1-node-label 节点标签的节点上将 vm.dirty_ratio 设为 55。将以下 ConfigMap 清单保存到名为 tuned-1.yaml 的文件中：

       apiVersion: v1
       kind: ConfigMap
       metadata:
         name: tuned-1
         namespace: clusters
       data:
         tuning: |
           apiVersion: tuned.openshift.io/v1
           kind: Tuned
           metadata:
             name: tuned-1
             namespace: openshift-cluster-node-tuning-operator
           spec:
             profile:
             - data: |
                 [main]
                 summary=Custom OpenShift profile
                 include=openshift-node
                 [sysctl]
                 vm.dirty_ratio="55"
               name: tuned-1-profile
             recommend:
             - priority: 20
               profile: tuned-1-profile

   Copy to Clipboard Toggle word wrap
   注意

   如果您没有将任何标签添加到 Tuned spec 的 spec.recommend 部分中的条目中，则假定基于 node-pool 的匹配，因此 spec.recommend 部分中的最高优先级配置集应用于池中的节点。虽然您可以通过在 Tuned .spec.recommend.match 部分中设置标签值来实现更精细的节点标记匹配，除非您将节点池的 .spec.management.upgradeType 值设置为 InPlace。

2. 在管理集群中创建 ConfigMap 对象：

   $ oc --kubeconfig="$MGMT_KUBECONFIG" create -f tuned-1.yaml

   Copy to Clipboard Toggle word wrap

3. 通过编辑节点池或创建节点池的 spec.tuningConfig 字段中引用 ConfigMap 对象。在本例中，假设您只有一个 NodePool，名为 nodepool-1，它含有 2 个节点。

       apiVersion: hypershift.openshift.io/v1alpha1
       kind: NodePool
       metadata:
         ...
         name: nodepool-1
         namespace: clusters
       ...
       spec:
         ...
         tuningConfig:
         - name: tuned-1
       status:
       ...

   Copy to Clipboard Toggle word wrap
   注意

   您可以在多个节点池中引用同一配置映射。在托管的 control plane 中，Node Tuning Operator 会将节点池名称和命名空间的哈希值附加到 Tuned CR 的名称中，以区分它们。在这种情况下，请不要为同一托管集群在不同的 Tuned CR 中创建多个名称相同的 TuneD 配置集。

1. 列出托管的集群中的 Tuned 对象：

   $ oc --kubeconfig="$HC_KUBECONFIG" get tuned.tuned.openshift.io -n openshift-cluster-node-tuning-operator

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME       AGE
   default    7m36s
   rendered   7m36s
   tuned-1    65s

   Copy to Clipboard Toggle word wrap

2. 列出托管的集群中的 Profile 对象：

   $ oc --kubeconfig="$HC_KUBECONFIG" get profile.tuned.openshift.io -n openshift-cluster-node-tuning-operator

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                           TUNED            APPLIED   DEGRADED   AGE
   nodepool-1-worker-1            tuned-1-profile  True      False      7m43s
   nodepool-1-worker-2            tuned-1-profile  True      False      7m14s

   Copy to Clipboard Toggle word wrap

   注意

   如果没有创建自定义配置集，则默认应用 openshift-node 配置集。

3. 要确认正确应用了调整，请在节点上启动一个 debug shell，并检查 sysctl 值：

   $ oc --kubeconfig="$HC_KUBECONFIG" debug node/nodepool-1-worker-1 -- chroot /host sysctl vm.dirty_ratio

   Copy to Clipboard Toggle word wrap

   输出示例

   vm.dirty_ratio = 55

   Copy to Clipboard Toggle word wrap

流程

1. 创建命名空间和 Operator 组：

   apiVersion: v1
   kind: Namespace
   metadata:
     name: openshift-sriov-network-operator
   ---
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: sriov-network-operators
     namespace: openshift-sriov-network-operator
   spec:
     targetNamespaces:
     - openshift-sriov-network-operator

   Copy to Clipboard Toggle word wrap

2. 创建 SR-IOV Operator 的订阅：

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: sriov-network-operator-subsription
     namespace: openshift-sriov-network-operator
   spec:
     channel: stable
     name: sriov-network-operator
     config:
       nodeSelector:
         node-role.kubernetes.io/worker: ""
     source: redhat-operators
     sourceNamespace: openshift-marketplace

   Copy to Clipboard Toggle word wrap

验证

1. 要验证 SR-IOV Operator 是否已就绪，请运行以下命令并查看生成的输出：

   $ oc get csv -n openshift-sriov-network-operator

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                                         DISPLAY                   VERSION               REPLACES                                     PHASE
   sriov-network-operator.4.16.0-202211021237   SR-IOV Network Operator   4.16.0-202211021237   sriov-network-operator.4.16.0-202210290517   Succeeded

   Copy to Clipboard Toggle word wrap

2. 要验证 SR-IOV pod 是否已部署，请运行以下命令：

   $ oc get pods -n openshift-sriov-network-operator

   Copy to Clipboard Toggle word wrap

流程

1. 创建一个 Butane 配置文件 99-worker-chrony.bu，其中包含 chrony.conf 文件的内容。有关 Butane 的更多信息，请参阅"使用 Butane 创建机器配置"。

   99-worker-chrony.bu 配置示例

   # ...
   variant: openshift
   version: 4.16.0
   metadata:
     name: 99-worker-chrony
     labels:
       machineconfiguration.openshift.io/role: worker
   storage:
     files:
     - path: /etc/chrony.conf
       mode: 0644  

   1

   
       overwrite: true
       contents:
         inline: |
           pool 0.rhel.pool.ntp.org iburst  

   2

   
           driftfile /var/lib/chrony/drift
           makestep 1.0 3
           rtcsync
           logdir /var/log/chrony
   # ...

   Copy to Clipboard Toggle word wrap

   1

   为机器配置文件的 mode 字段指定数值模式。创建文件并应用更改后，mode 字段将转换为十进制值。

   2

   指定任何有效的、可访问的时间源，如由动态主机配置协议(DHCP)服务器提供的时间源。

   注意

   对于机器到机器的通信，用户数据报协议(UDP)端口上的 NTP 为 123。如果配置了外部 NTP 时间服务器，您必须打开 UDP 端口 123。

2. 使用 Butane 生成 MachineConfig 对象文件 99-worker-chrony.yaml，其中包含 Butane 发送到节点的配置。运行以下命令:

   $ butane 99-worker-chrony.bu -o 99-worker-chrony.yaml

   Copy to Clipboard Toggle word wrap

   99-worker-chrony.yaml 配置示例

   # Generated by Butane; do not edit
   apiVersion: machineconfiguration.openshift.io/v1
   kind: MachineConfig
   metadata:
     labels:
       machineconfiguration.openshift.io/role: worker
     name: <machineconfig_name>
   spec:
     config:
       ignition:
         version: 3.2.0
       storage:
         files:
           - contents:
               source: data:...
             mode: 420
             overwrite: true
             path: /example/path

   Copy to Clipboard Toggle word wrap

3. 在管理集群的配置映射中添加 99-worker-chrony.yaml 文件的内容：

   配置映射示例

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: <configmap_name>
     namespace: <namespace>  

   1

   
   data:
     config: |
       apiVersion: machineconfiguration.openshift.io/v1
       kind: MachineConfig
       metadata:
         labels:
           machineconfiguration.openshift.io/role: worker
         name: <machineconfig_name>
       spec:
         config:
           ignition:
             version: 3.2.0
           storage:
             files:
             - contents:
                 source: data:...
               mode: 420
               overwrite: true
               path: /example/path
   # ...

   Copy to Clipboard Toggle word wrap

   1

   将 <namespace> 替换为创建节点池的命名空间的名称，如 clusters。

4. 运行以下命令，将配置映射应用到节点池：

   $ oc edit nodepool <nodepool_name> --namespace <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

   NodePool 配置示例

   apiVersion: hypershift.openshift.io/v1alpha1
   kind: NodePool
   metadata:
   # ...
     name: nodepool-1
     namespace: clusters
   # ...
   spec:
     config:
     - name: <configmap_name> 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   将 <configmap_name> 替换为配置映射的名称。

5. 在 infra-env.yaml 文件中添加 NTP 服务器列表，该文件定义 InfraEnv 自定义资源(CR)：

   infra-env.yaml 文件示例

   apiVersion: agent-install.openshift.io/v1beta1
   kind: InfraEnv
   # ...
   spec:
     additionalNTPSources:
     - <ntp_server> 

   1

   
     - <ntp_server1>
     - <ntp_server2>
   # ...

   Copy to Clipboard Toggle word wrap

   1

   将 <ntp_server> 替换为 NTP 服务器的名称。有关创建主机清单和 InfraEnv CR 的详情，请参阅"创建主机清单"。

6. 运行以下命令来应用 InfraEnv CR：

   $ oc apply -f infra-env.yaml

   Copy to Clipboard Toggle word wrap

流程

1. 运行以下命令，打开 HostedCluster CR 以在托管集群上进行编辑：

   $ oc edit <hosted_cluster_name> -n <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

2. 通过在 featureSet 字段中输入值来定义功能集。例如：

   apiVersion: hypershift.openshift.io/v1beta1
   kind: HostedCluster
   metadata:
     name: <hosted_cluster_name> 

   1

   
     namespace: <hosted_cluster_namespace> 

   2

   
   spec:
     configuration:
       featureGate:
         featureSet: TechPreviewNoUpgrade 

   3

   Copy to Clipboard Toggle word wrap

   1

   指定托管的集群名称。

   2

   指定托管集群的命名空间。

   3

   这个功能集是当前技术预览功能的子集。

   警告

   在集群中启用 TechPreviewNoUpgrade 功能集无法撤消，并会阻止次版本更新。此功能集允许您在测试集群中启用这些技术预览功能，您可以在测试集群中完全测试它们。不要在生产环境集群中启用此功能。

3. 保存文件以使改变生效。

流程

1. 输入以下命令使用自定义证书创建 secret：

   $ oc create secret tls sample-hosted-kas-custom-cert \
     --cert=path/to/cert.crt \
     --key=path/to/key.key \
     -n <hosted_cluster_namespace>

   Copy to Clipboard Toggle word wrap

2. 使用自定义证书详情更新 HostedCluster 配置，如下例所示：

   spec:
     configuration:
       apiServer:
         servingCerts:
           namedCertificates:
           - names: 

   1

   
             - api-custom-cert-sample-hosted.sample-hosted.example.com
             servingCertificate: 

   2

   
               name: sample-hosted-kas-custom-cert

   Copy to Clipboard Toggle word wrap

   1

   证书有效的 DNS 名称列表。

   2

   包含自定义证书的 secret 的名称。

3. 输入以下命令将更改应用到 HostedCluster 配置：

   $ oc apply -f <hosted_cluster_config>.yaml

   Copy to Clipboard Toggle word wrap

流程

1. 在供应商平台中，配置 DNS 记录，以便 kubeAPIServerDNSName URL 指向 Kubernetes API 服务器所公开的 IP 地址。DNS 记录必须正确配置并可从集群解析。

   配置 DNS 记录的命令示例

   $ dig + short kubeAPIServerDNSName

   Copy to Clipboard Toggle word wrap

2. 在 HostedCluster 规格中，修改 kubeAPIServerDNSName 字段，如下例所示：

   apiVersion: hypershift.openshift.io/v1beta1
   kind: HostedCluster
   metadata:
     name: <hosted_cluster_name>
     namespace: <hosted_cluster_namespace>
   spec:
     configuration:
       apiServer:
         servingCerts:
           namedCertificates:
           - names: 

   1

   
             - api-custom-cert-sample-hosted.sample-hosted.example.com
             servingCertificate: 

   2

   
               name: sample-hosted-kas-custom-cert
     kubeAPIServerDNSName: api-custom-cert-sample-hosted.sample-hosted.example.com 

   3

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   证书有效的 DNS 名称列表。此字段中列出的名称不能与 spec.servicePublishingStrategy resolvedhostname 字段中指定的名称相同。

   2

   包含自定义证书的 secret 的名称。

   3

   此字段接受用作 API 服务器端点的 URI。

3. 输入以下命令应用配置：

   $ oc -f <hosted_cluster_spec>.yaml

   Copy to Clipboard Toggle word wrap

   应用配置后，HyperShift Operator 会生成一个新的 kubeconfig secret，指向您的自定义 DNS 域。

4. 使用 CLI 或控制台检索 kubeconfig secret。

   1. 要使用 CLI 检索 secret，请输入以下命令：

      $ kubectl get secret <hosted_cluster_name>-custom-admin-kubeconfig \
        -n <cluster_namespace> \
        -o jsonpath='{.data.kubeconfig}' | base64 -d

      Copy to Clipboard Toggle word wrap

   2. 要使用控制台检索 secret，进入托管集群并点 Download Kubeconfig。

      注意

      您不能在控制台中使用 show login 命令 选项来使用新的 kubeconfig secret。

流程

1. 验证 DNS 记录是否已正确配置并解决。

2. 输入以下命令检查自定义域的 TLS 证书是否有效，验证您的 SAN 是否正确：

   $ oc get secret \
     -n clusters <serving_certificate_name> \
     -o jsonpath='{.data.tls\.crt}' | base64 \
     -d |openssl x509 -text -noout -

   Copy to Clipboard Toggle word wrap
3. 确保到自定义域的网络连接正常工作。

4. 在 HostedCluster 资源中，验证状态是否显示正确的自定义 kubeconfig 信息，如下例所示：

   HostedCluster 状态示例

   status:
     customKubeconfig:
       name: sample-hosted-custom-admin-kubeconfig

   Copy to Clipboard Toggle word wrap

5. 输入以下命令检查 HostedControlPlane 命名空间中的 kube-apiserver 日志：

   $ oc logs -n <hosted_control_plane_namespace> \
     -l app=kube-apiserver -f -c kube-apiserver

   Copy to Clipboard Toggle word wrap

1. 将 OpenShift Container Platform 集群升级到最新版本。如需更多信息，请参阅"使用 Web 控制台更新集群"或"使用 CLI 更新集群"。
2. 将多集群引擎 Operator 升级到最新版本。如需更多信息，请参阅"更新已安装的 Operator"。
3. 将托管的集群和节点池从以前的 OpenShift Container Platform 版本升级到最新版本。如需更多信息，请参阅"在托管集群中更新 control plane"和"更新托管集群中的节点池"。

流程

1. 输入以下命令将 hypershift.openshift.io/force-upgrade-to=<openshift_release_image> 注解添加到托管集群：

   $ oc annotate hostedcluster -n <hosted_cluster_namespace> <hosted_cluster_name> "hypershift.openshift.io/force-upgrade-to=<openshift_release_image>" --overwrite 

   1

   2

   Copy to Clipboard Toggle word wrap

   1

   将 <hosted_cluster_name> 和 <hosted_cluster_namespace> 替换为托管的集群名称和托管集群命名空间。

   2

   <openshift_release_image> 变量指定要升级到的新 OpenShift Container Platform 发行镜像，例如 quay.io/openshift-release-dev/ocp-release:4.y.z-x86_64。将 <4.y.z> 替换为支持的 OpenShift Container Platform 版本。

2. 输入以下命令更改托管的集群中的 spec.release.image 值：

   $ oc patch hostedcluster <hosted_cluster_name> -n <hosted_cluster_namespace> --type=merge -p '{"spec":{"release":{"image":"<openshift_release_image>"}}}'

   Copy to Clipboard Toggle word wrap

流程

1. 选择 All clusters。
2. 进入到 Infrastructure → Clusters 以查看受管集群。
3. 点 Upgrade available 链接来更新 control plane 和节点池。

流程

1. 在 local-cluster 命名空间中创建 hypershift-operator-install-flags 配置映射。请参见以下示例配置：

   kind: ConfigMap
   apiVersion: v1
   metadata:
     name: hypershift-operator-install-flags
     namespace: local-cluster
   data:
     installFlagsToAdd: "--monitoring-dashboards --metrics-set=All" 

   1

   
     installFlagsToRemove: ""

   Copy to Clipboard Toggle word wrap

   1

   --monitoring-dashboards --metrics-set=All 标志添加所有指标的监控仪表板。

2. 等待几分钟，使 hypershift 命名空间中的 HyperShift Operator 部署被更新，使其包含以下环境变量：

       - name: MONITORING_DASHBOARDS
         value: "1"

   Copy to Clipboard Toggle word wrap

   当启用监控仪表板时，对于 HyperShift Operator 管理的每个托管集群，Operator 会在 openshift-config-managed 命名空间中创建一个名为 cp-<hosted_cluster_namespace>-<hosted_cluster_name> 的配置映射，其中 <hosted_cluster_namespace> 是托管集群的命名空间，<hosted_cluster_name> 是托管集群的名称。因此，在管理集群的管理控制台中会添加新仪表板。

3. 要查看仪表板，请登录到管理控制台，并通过点 Observe → Dashboards 进入托管集群的仪表板。
4. 可选： 要在托管集群中禁用监控仪表板，请从 hypershift-operator-install-flags 配置映射中删除 --monitoring-dashboards --metrics-set=All 标志。当您删除托管集群时，其对应的仪表板也会被删除。