在 Azure 上安装

流程

1. 如果您使用系统分配的受管身份，请在您要从其运行安装程序的虚拟机上启用它。

2. 如果您使用用户分配的受管身份：

   1. 将它分配给您要从中运行安装程序的虚拟机。

   2. 记录其客户端 ID。安装集群时需要这个值。

      有关查看用户分配受管身份的详情的更多信息，请参阅 Microsoft Azure 文档来列出用户分配的管理身份。

3. 验证是否为受管身份分配了所需的权限。

流程

1. 运行以下命令，为您的帐户创建服务主体：

   $ az ad sp create-for-rbac --role <role_name> \1
        --name <service_principal> \2
        --scopes /subscriptions/<subscription_id> 3

   1

   定义角色名称。您可以使用 Contributor 角色，或者指定包含所需权限的自定义角色。

   2

   定义服务主体名称。

   3

   指定订阅 ID。

   输出示例

   Creating 'Contributor' role assignment under scope '/subscriptions/<subscription_id>'
   The output includes credentials that you must protect. Be sure that you do not
   include these credentials in your code or check the credentials into your source
   control. For more information, see https://aka.ms/azadsp-cli
   {
     "appId": "axxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
     "displayName": <service_principal>",
     "password": "00000000-0000-0000-0000-000000000000",
     "tenantId": "8xxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   }

2. 记录输出中的 appId 和 password 参数的值。安装集群时需要这些值。

3. 如果您将 Contributor 角色应用到服务主体，请运行以下命令来分配 User Administrator Access 角色：

   $ az role assignment create --role "User Access Administrator" \
     --assignee-object-id $(az ad sp show --id <appId> --query id -o tsv) 1
     --scope /subscriptions/<subscription_id> 2

   1

   为您的服务主体指定 appId 参数值。

   2

   指定订阅 ID。

流程

1. 如果您在本地计算机上没有可用于在集群节点上进行身份验证的现有 SSH 密钥对，请创建一个。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ ssh-keygen -t ed25519 -N '' -f <path>/<file_name> 1

   1

   指定新 SSH 密钥的路径和文件名，如 ~/.ssh/id_ed25519。如果您已有密钥对，请确保您的公钥位于 ~/.ssh 目录中。

   注意

   如果您计划在 x86_64、ppc64le 和 s390x 架构上安装使用 RHEL 加密库（这些加密库已提交给 NIST 用于 FIPS 140-2/140-3 验证）的 OpenShift Container Platform 集群，则不要创建使用 ed25519 算法的密钥。相反，创建一个使用 rsa 或 ecdsa 算法的密钥。

2. 查看公共 SSH 密钥：

   $ cat <path>/<file_name>.pub

   例如，运行以下命令来查看 ~/.ssh/id_ed25519.pub 公钥：

   $ cat ~/.ssh/id_ed25519.pub

3. 将 SSH 私钥身份添加到本地用户的 SSH 代理（如果尚未添加）。在集群节点上，或者要使用 ./openshift-install gather 命令，需要对该密钥进行 SSH 代理管理，才能在集群节点上进行免密码 SSH 身份验证。

   注意

   在某些发行版中，自动管理默认 SSH 私钥身份，如 ~/.ssh/id_rsa 和 ~/.ssh/id_dsa。

   1. 如果 ssh-agent 进程尚未为您的本地用户运行，请将其作为后台任务启动：

      $ eval "$(ssh-agent -s)"

      输出示例

      Agent pid 31874

      注意

      如果集群处于 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必须是 RSA 或 ECDSA。

4. 将 SSH 私钥添加到 ssh-agent ：

   $ ssh-add <path>/<file_name> 1

   1

   指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_ed25519.pub

   输出示例

   Identity added: /home/<you>/<path>/<file_name> (<computer_name>)

流程

1. 进入 Red Hat Hybrid Cloud Console 上的 Cluster Type 页。如果您有红帽帐户，请使用您的凭证登录。如果没有，请创建一个帐户。
2. 在页的 Run it yourself 部分中选择您的基础架构供应商。
3. 从 OpenShift 安装程序下的下拉菜单中选择您的主机操作系统和架构，然后点下载安装程序。

4. 将下载的文件保存在要存储安装配置文件的目录中。

   重要
   • 安装程序会在用来安装集群的计算机上创建几个文件。在完成集群安装后，您必须保留安装程序和安装程序所创建的文件。删除集群需要这两个文件。
   • 删除安装程序创建的文件不会删除您的集群，即使集群在安装过程中失败也是如此。要删除集群，请为特定云供应商完成 OpenShift Container Platform 卸载流程。

5. 提取安装程序。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ tar -xvf openshift-install-linux.tar.gz

6. 从 Red Hat OpenShift Cluster Manager 下载安装 pull secret。此 pull secret 允许您与所含授权机构提供的服务进行身份验证，这些服务包括为 OpenShift Container Platform 组件提供容器镜像的 Quay.io。

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 从 产品变体 下拉列表中选择架构。
3. 从 版本 下拉列表中选择适当的版本。
4. 点 OpenShift v4.17 Linux Clients 条目旁的 Download Now 来保存文件。

5. 解包存档：

   $ tar xvf <file>

6. 将 oc 二进制文件放到 PATH 中的目录中。

   要查看您的 PATH，请执行以下命令：

   $ echo $PATH

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 从 版本 下拉列表中选择适当的版本。
3. 点 OpenShift v4.17 Windows Client 条目旁的 Download Now 来保存文件。
4. 使用 ZIP 程序解压存档。

5. 将 oc 二进制文件移到 PATH 中的目录中。

   要查看您的 PATH，请打开命令提示并执行以下命令：

   C:\> path

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 从 版本 下拉列表中选择适当的版本。

3. 点 OpenShift v4.17 macOS Clients 条目旁的 Download Now 来保存文件。

   注意

   对于 macOS arm64，请选择 OpenShift v4.17 macOS arm64 Client 条目。

4. 解包和解压存档。

5. 将 oc 二进制文件移到 PATH 的目录中。

   要查看您的 PATH，请打开终端并执行以下命令：

   $ echo $PATH

流程

1. 运行以下命令，为 Azure 资源组设置以下环境变量：

   $ export RESOURCEGROUP="<resource_group>" \1
       LOCATION="<location>" 2

   1

   指定您要创建磁盘加密集和加密密钥的 Azure 资源组名称。为了避免在销毁集群后丢失对密钥的访问，您应该在与安装集群的资源组不同的资源组中创建 Disk Encryption Set。

   2

   指定您要创建资源组的 Azure 位置。

2. 运行以下命令，为 Azure Key Vault 和 Disk Encryption Set 设置以下环境变量：

   $ export KEYVAULT_NAME="<keyvault_name>" \1
       KEYVAULT_KEY_NAME="<keyvault_key_name>" \2
       DISK_ENCRYPTION_SET_NAME="<disk_encryption_set_name>" 3

   1

   指定您要创建的 Azure Key Vault 的名称。

   2

   指定您要创建的加密密钥名称。

   3

   指定您要创建的磁盘加密集的名称。

3. 运行以下命令，为您的 Azure Service Principal 设置环境变量：

   $ export CLUSTER_SP_ID="<service_principal_id>" 1

   1

   指定用于此安装的服务主体的 ID。

4. 运行以下命令，在 Azure 中启用主机级别加密：

   $ az feature register --namespace "Microsoft.Compute" --name "EncryptionAtHost"

   $ az feature show --namespace Microsoft.Compute --name EncryptionAtHost

   $ az provider register -n Microsoft.Compute

5. 运行以下命令，创建一个 Azure 资源组来保存磁盘加密集和相关资源：

   $ az group create --name $RESOURCEGROUP --location $LOCATION

6. 运行以下命令来创建 Azure 密钥库：

   $ az keyvault create -n $KEYVAULT_NAME -g $RESOURCEGROUP -l $LOCATION \
       --enable-purge-protection true

7. 运行以下命令，在密钥 vault 中创建加密密钥：

   $ az keyvault key create --vault-name $KEYVAULT_NAME -n $KEYVAULT_KEY_NAME \
       --protection software

8. 运行以下命令捕获密钥 vault 的 ID：

   $ KEYVAULT_ID=$(az keyvault show --name $KEYVAULT_NAME --query "[id]" -o tsv)

9. 运行以下命令，捕获密钥 vault 中的密钥 URL：

   $ KEYVAULT_KEY_URL=$(az keyvault key show --vault-name $KEYVAULT_NAME --name \
       $KEYVAULT_KEY_NAME --query "[key.kid]" -o tsv)

10. 运行以下命令来创建磁盘加密集：

    $ az disk-encryption-set create -n $DISK_ENCRYPTION_SET_NAME -l $LOCATION -g \
        $RESOURCEGROUP --source-vault $KEYVAULT_ID --key-url $KEYVAULT_KEY_URL

11. 运行以下命令，为 DiskEncryptionSet 资源授予对密钥 vault 的访问权限：

    $ DES_IDENTITY=$(az disk-encryption-set show -n $DISK_ENCRYPTION_SET_NAME -g \
        $RESOURCEGROUP --query "[identity.principalId]" -o tsv)

    $ az keyvault set-policy -n $KEYVAULT_NAME -g $RESOURCEGROUP --object-id \
        $DES_IDENTITY --key-permissions wrapkey unwrapkey get

12. 运行以下命令，授予 Azure Service Principal 权限来读取 DiskEncryptionSet：

    $ DES_RESOURCE_ID=$(az disk-encryption-set show -n $DISK_ENCRYPTION_SET_NAME -g \
        $RESOURCEGROUP --query "[id]" -o tsv)

    $ az role assignment create --assignee $CLUSTER_SP_ID --role "<reader_role>" \1
        --scope $DES_RESOURCE_ID -o jsonc

    1

    指定对磁盘加密集的读取权限的 Azure 角色。您可以使用 Owner 角色或具有所需权限的自定义角色。

流程

1. 可选： 如果您在此计算机上运行安装程序，并希望使用替代服务主体，请转至 ~/.azure/ 目录并删除 osServicePrincipal.json 配置文件。

   删除此文件可防止安装程序自动重复使用之前安装中的订阅和验证值。

2. 进入包含安装程序的目录并初始化集群部署：

   $ ./openshift-install create cluster --dir <installation_directory> \ 1
       --log-level=info 2

   1

   对于 <installation_directory>，请指定要存储安装程序创建的文件的目录名称。

   2

   要查看不同的安装详情，请指定 warn、debug 或 error，而不是 info。

   在指定目录时：

   • 验证该目录是否具有执行权限。在安装目录中运行 Terraform 二进制文件需要这个权限。
   • 使用空目录。有些安装资产，如 bootstrap X.509 证书的过期间隔较短，因此不得重复使用安装目录。如果要重复使用另一个集群安装中的单个文件，您可以将它们复制到您的目录中。但是，安装资产的文件名可能会在发行版本间有所变化。从以前的 OpenShift Container Platform 版本中复制安装文件时请小心。

3. 在提示符处提供值：

   1. 可选： 选择用于访问集群机器的 SSH 密钥。

      注意

      对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

   2. 选择 azure 作为目标平台。

      如果安装程序无法找到之前安装中的 osServicePrincipal.json 配置文件，会提示您输入 Azure 订阅和验证值。

   3. 为您的订阅和服务主体指定以下 Azure 参数值：

      • Azure subscription id ：输入用于集群的订阅 ID。
      • Azure 租户 id ：输入租户 ID。
      • Azure 服务主体客户端 id ：输入其应用程序 ID。
      • Azure 服务主体客户端 secret ：输入其密码。
   4. 选择要将集群部署到的区域。
   5. 选择集群要部署到的基域。基域与您为集群创建的 Azure DNS 区对应。

   6. 为集群输入一个描述性名称。

      重要

      所有通过公共端点提供的 Azure 资源均存在资源名称的限制，您无法创建使用某些名称的资源。如需 Azure 限制词语列表，请参阅 Azure 文档中的解决保留资源名称错误。

   7. 粘贴 Red Hat OpenShift Cluster Manager 中的 pull secret。

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 1

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 验证您可以使用导出的配置成功运行 oc 命令：

   $ oc whoami

   输出示例

   system:admin

流程

1. 运行以下命令之一，显示所有可用的 OpenShift Container Platform 镜像：

   • 北美：

     $  az vm image list --all --offer rh-ocp-worker --publisher redhat -o table

     输出示例

     Offer          Publisher       Sku                 Urn                                                             Version
     -------------  --------------  ------------------  --------------------------------------------------------------  -----------------
     rh-ocp-worker  RedHat          rh-ocp-worker       RedHat:rh-ocp-worker:rh-ocp-worker:4.15.2024072409              4.15.2024072409
     rh-ocp-worker  RedHat          rh-ocp-worker-gen1  RedHat:rh-ocp-worker:rh-ocp-worker-gen1:4.15.2024072409         4.15.2024072409

   • 欧洲、中东和非洲地区：

     $  az vm image list --all --offer rh-ocp-worker --publisher redhat-limited -o table

     输出示例

     Offer          Publisher       Sku                 Urn                                                                     Version
     -------------  --------------  ------------------  --------------------------------------------------------------          -----------------
     rh-ocp-worker  redhat-limited  rh-ocp-worker       redhat-limited:rh-ocp-worker:rh-ocp-worker:4.15.2024072409              4.15.2024072409
     rh-ocp-worker  redhat-limited  rh-ocp-worker-gen1  redhat-limited:rh-ocp-worker:rh-ocp-worker-gen1:4.15.2024072409         4.15.2024072409

   注意

   使用可用于 compute 和 control plane 节点的最新镜像。如果需要，您的虚拟机会在安装过程中自动升级。

2. 运行以下命令之一检查您的所提供的镜像：

   • 北美：

     $ az vm image show --urn redhat:rh-ocp-worker:rh-ocp-worker:<version>

   • 欧洲、中东和非洲地区：

     $ az vm image show --urn redhat-limited:rh-ocp-worker:rh-ocp-worker:<version>

3. 运行以下命令之一查看提供的术语：

   • 北美：

     $ az vm image terms show --urn redhat:rh-ocp-worker:rh-ocp-worker:<version>

   • 欧洲、中东和非洲地区：

     $ az vm image terms show --urn redhat-limited:rh-ocp-worker:rh-ocp-worker:<version>

4. 运行以下命令之一接受产品条款：

   • 北美：

     $ az vm image terms accept --urn redhat:rh-ocp-worker:rh-ocp-worker:<version>

   • 欧洲、中东和非洲地区：

     $ az vm image terms accept --urn redhat-limited:rh-ocp-worker:rh-ocp-worker:<version>

5. 记录您的所提供的镜像详情。在部署集群前，您必须使用 publisher, offer, sku, 和 version 的值来更新 install-config.yaml 文件中的 compute 部分。您还可以更新 controlPlane 部分，以使用指定镜像详情或 defaultMachinePlatform 部分部署 control plane 机器，以使用指定镜像详情部署 control plane 和计算机器。将最新的可用镜像用于 control plane 和计算节点。

流程

1. 可选：如果您之前在这个计算机上运行安装程序，并希望使用替代的服务主体或受管身份，请进入 ~/.azure/ 目录并删除 osServicePrincipal.json 配置文件。

   删除此文件可防止安装程序自动重复使用之前安装中的订阅和验证值。

2. 创建 install-config.yaml 文件。

   1. 进入包含安装程序的目录并运行以下命令：

      $ ./openshift-install create install-config --dir <installation_directory> 1

      1

      对于 <installation_directory>，请指定要存储安装程序创建的文件的目录名称。

      在指定目录时：

      • 验证该目录是否具有执行权限。在安装目录中运行 Terraform 二进制文件需要这个权限。
      • 使用空目录。有些安装资产，如 bootstrap X.509 证书的过期间隔较短，因此不得重复使用安装目录。如果要重复使用另一个集群安装中的单个文件，您可以将它们复制到您的目录中。但是，安装资产的文件名可能会在发行版本间有所变化。从以前的 OpenShift Container Platform 版本中复制安装文件时请小心。

   2. 在提示符处，提供云的配置详情：

      1. 可选： 选择用于访问集群机器的 SSH 密钥。

         注意

         对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

      2. 选择 azure 作为目标平台。

         如果安装程序无法找到之前安装中的 osServicePrincipal.json 配置文件，会提示您输入 Azure 订阅和验证值。

      3. 为您的订阅输入以下 Azure 参数值：

         • Azure subscription id ：输入用于集群的订阅 ID。
         • Azure 租户 id ：输入租户 ID。

      4. 根据您用来部署集群的 Azure 身份，在提示输入 azure 服务主体客户端 id 时执行以下操作之一：

         • 如果您使用服务主体，请输入其应用程序 ID。
         • 如果您使用系统分配的受管身份，请将此值设为空白。
         • 如果您使用用户分配的受管身份，请指定其客户端 ID。

      5. 根据您用来部署集群的 Azure 身份，在提示输入 azure 服务主体客户端 secret 时执行以下操作之一：

         • 如果您使用服务主体，请输入其密码。
         • 如果您使用系统分配的受管身份，请将此值设为空白。
         • 如果您使用用户分配的受管身份，请将此值设为空白。
      6. 选择要将集群部署到的区域。
      7. 选择集群要部署到的基域。基域与您为集群创建的 Azure DNS 区对应。

      8. 为集群输入一个描述性名称。

         重要

         所有通过公共端点提供的 Azure 资源均存在资源名称的限制，您无法创建使用某些名称的资源。如需 Azure 限制词语的列表，请参阅 Azure 文档中的解决预留资源名称错误。

3. 修改 install-config.yaml 文件。您可以在"安装配置参数"部分找到有关可用参数的更多信息。

   注意

   如果要安装三节点集群，请确保将 compute.replicas 参数设置为 0。这样可确保集群的 control plane 可以调度。如需更多信息，请参阅"在 Azure 上安装三节点集群"。

4. 备份 install-config.yaml 文件，以便您可以使用它安装多个集群。

   重要

   install-config.yaml 文件会在安装过程中消耗掉。如果要重复使用该文件，您必须立即备份该文件。

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 1

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 验证您可以使用导出的配置成功运行 oc 命令：

   $ oc whoami

   输出示例

   system:admin

流程

1. 可选：如果您之前在这个计算机上运行安装程序，并希望使用替代的服务主体或受管身份，请进入 ~/.azure/ 目录并删除 osServicePrincipal.json 配置文件。

   删除此文件可防止安装程序自动重复使用之前安装中的订阅和验证值。

2. 创建 install-config.yaml 文件。

   1. 进入包含安装程序的目录并运行以下命令：

      $ ./openshift-install create install-config --dir <installation_directory> 1

      1

      对于 <installation_directory>，请指定要存储安装程序创建的文件的目录名称。

      在指定目录时：

      • 验证该目录是否具有执行权限。在安装目录中运行 Terraform 二进制文件需要这个权限。
      • 使用空目录。有些安装资产，如 bootstrap X.509 证书的过期间隔较短，因此不得重复使用安装目录。如果要重复使用另一个集群安装中的单个文件，您可以将它们复制到您的目录中。但是，安装资产的文件名可能会在发行版本间有所变化。从以前的 OpenShift Container Platform 版本中复制安装文件时请小心。

   2. 在提示符处，提供云的配置详情：

      1. 可选： 选择用于访问集群机器的 SSH 密钥。

         注意

         对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

      2. 选择 azure 作为目标平台。

         如果安装程序无法找到之前安装中的 osServicePrincipal.json 配置文件，会提示您输入 Azure 订阅和验证值。

      3. 为您的订阅输入以下 Azure 参数值：

         • Azure subscription id ：输入用于集群的订阅 ID。
         • Azure 租户 id ：输入租户 ID。

      4. 根据您用来部署集群的 Azure 身份，在提示输入 azure 服务主体客户端 id 时执行以下操作之一：

         • 如果您使用服务主体，请输入其应用程序 ID。
         • 如果您使用系统分配的受管身份，请将此值设为空白。
         • 如果您使用用户分配的受管身份，请指定其客户端 ID。

      5. 根据您用来部署集群的 Azure 身份，在提示输入 azure 服务主体客户端 secret 时执行以下操作之一：

         • 如果您使用服务主体，请输入其密码。
         • 如果您使用系统分配的受管身份，请将此值设为空白。
         • 如果您使用用户分配的受管身份，请将此值设为空白。
      6. 选择要将集群部署到的区域。
      7. 选择集群要部署到的基域。基域与您为集群创建的 Azure DNS 区对应。

      8. 为集群输入一个描述性名称。

         重要

         所有通过公共端点提供的 Azure 资源均存在资源名称的限制，您无法创建使用某些名称的资源。如需 Azure 限制词语的列表，请参阅 Azure 文档中的解决预留资源名称错误。

3. 修改 install-config.yaml 文件。您可以在"安装配置参数"部分找到有关可用参数的更多信息。

4. 备份 install-config.yaml 文件，以便您可以使用它安装多个集群。

   重要

   install-config.yaml 文件会在安装过程中消耗掉。如果要重复使用该文件，您必须立即备份该文件。

流程

1. 进入包含安装程序的目录并创建清单：

   $ ./openshift-install create manifests --dir <installation_directory> 1

   1

   <installation_directory> 指定包含集群的 install-config.yaml 文件的目录名称。

2. 在 <installation_directory>/manifests/ 目录中 为高级网络配置创建一个名为 cluster-network-03-config.yml 的 stub 清单文件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:

3. 在 cluster-network-03-config.yml 文件中指定集群的高级网络配置，如下例所示：

   为 OVN-Kubernetes 网络供应商启用 IPsec

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     defaultNetwork:
       ovnKubernetesConfig:
         ipsecConfig:
           mode: Full

4. 可选：备份 manifests/cluster-network-03-config.yml 文件。创建 Ignition 配置文件时，安装程序会使用 manifests/ 目录。

流程

1. 进入包含安装程序的目录并创建清单：

   $ ./openshift-install create manifests --dir <installation_directory>

   其中：

   <installation_directory>

   指定包含集群的 install-config.yaml 文件的目录名称。

2. 在 <installation_directory>/manifests/ 目录中 为高级网络配置创建一个名为 cluster-network-03-config.yml 的 stub 清单文件：

   $ cat <<EOF > <installation_directory>/manifests/cluster-network-03-config.yml
   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
   EOF

   其中：

   <installation_directory>

   指定包含集群的 manifests/ 目录的目录名称。

3. 在编辑器中打开 cluster-network-03-config.yml 文件，并使用混合网络配置 OVN-Kubernetes，如下例所示：

   指定混合网络配置

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     defaultNetwork:
       ovnKubernetesConfig:
         hybridOverlayConfig:
           hybridClusterNetwork: 1
           - cidr: 10.132.0.0/14
             hostPrefix: 23
           hybridOverlayVXLANPort: 9898 2

   1

   指定用于额外覆盖网络上节点的 CIDR 配置。hybridClusterNetwork CIDR 不能与 clusterNetwork CIDR 重叠。

   2

   为额外覆盖网络指定自定义 VXLAN 端口。这是在 vSphere 上安装的集群中运行 Windows 节点所需要的，且不得为任何其他云供应商配置。自定义端口可以是除默认 4789 端口外的任何打开的端口。有关此要求的更多信息，请参阅 Microsoft 文档中的 Pod 到主机间的 pod 连接性。

   注意

   Windows Server Long-Term Servicing Channel（LTSC）：Windows Server 2019 在带有自定义 hybridOverlayVXLANPort 值的集群中不被支持，因为这个 Windows server 版本不支持选择使用自定义的 VXLAN 端口。

4. 保存 cluster-network-03-config.yml 文件，再退出文本编辑器。
5. 可选：备份 manifests/cluster-network-03-config.yml 文件。创建集群时，安装程序会删除 manifests/ 目录。

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 1

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 验证您可以使用导出的配置成功运行 oc 命令：

   $ oc whoami

   输出示例

   system:admin

流程

1. 可选：如果您之前在这个计算机上运行安装程序，并希望使用替代的服务主体或受管身份，请进入 ~/.azure/ 目录并删除 osServicePrincipal.json 配置文件。

   删除此文件可防止安装程序自动重复使用之前安装中的订阅和验证值。

2. 创建 install-config.yaml 文件。

   1. 进入包含安装程序的目录并运行以下命令：

      $ ./openshift-install create install-config --dir <installation_directory> 1

      1

      对于 <installation_directory>，请指定要存储安装程序创建的文件的目录名称。

      在指定目录时：

      • 验证该目录是否具有执行权限。在安装目录中运行 Terraform 二进制文件需要这个权限。
      • 使用空目录。有些安装资产，如 bootstrap X.509 证书的过期间隔较短，因此不得重复使用安装目录。如果要重复使用另一个集群安装中的单个文件，您可以将它们复制到您的目录中。但是，安装资产的文件名可能会在发行版本间有所变化。从以前的 OpenShift Container Platform 版本中复制安装文件时请小心。

   2. 在提示符处，提供云的配置详情：

      1. 可选： 选择用于访问集群机器的 SSH 密钥。

         注意

         对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

      2. 选择 azure 作为目标平台。

         如果安装程序无法找到之前安装中的 osServicePrincipal.json 配置文件，会提示您输入 Azure 订阅和验证值。

      3. 为您的订阅输入以下 Azure 参数值：

         • Azure subscription id ：输入用于集群的订阅 ID。
         • Azure 租户 id ：输入租户 ID。

      4. 根据您用来部署集群的 Azure 身份，在提示输入 azure 服务主体客户端 id 时执行以下操作之一：

         • 如果您使用服务主体，请输入其应用程序 ID。
         • 如果您使用系统分配的受管身份，请将此值设为空白。
         • 如果您使用用户分配的受管身份，请指定其客户端 ID。

      5. 根据您用来部署集群的 Azure 身份，在提示输入 azure 服务主体客户端 secret 时执行以下操作之一：

         • 如果您使用服务主体，请输入其密码。
         • 如果您使用系统分配的受管身份，请将此值设为空白。
         • 如果您使用用户分配的受管身份，请将此值设为空白。
      6. 选择要将集群部署到的区域。
      7. 选择集群要部署到的基域。基域与您为集群创建的 Azure DNS 区对应。

      8. 为集群输入一个描述性名称。

         重要

         所有通过公共端点提供的 Azure 资源均存在资源名称的限制，您无法创建使用某些名称的资源。如需 Azure 限制词语列表，请参阅 Azure 文档中的解决保留资源名称错误。

      9. 粘贴 Red Hat OpenShift Cluster Manager 中的 pull secret。

3. 编辑 install-config.yaml 文件，以提供在受限网络中安装所需的额外信息。

   1. 更新 pullSecret 值，使其包含 registry 的身份验证信息：

      pullSecret: '{"auths":{"<mirror_host_name>:5000": {"auth": "<credentials>","email": "you@example.com"}}}'

      对于 <mirror_host_name>，请指定 您在镜像 registry 证书中指定的 registry 域名 ；对于 <credentials>， 请指定您的镜像 registry 的 base64 编码用户名和密码。

   2. 添加 additionalTrustBundle 参数和值。

      additionalTrustBundle: |
        -----BEGIN CERTIFICATE-----
        ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ
        -----END CERTIFICATE-----

      该值必须是您用于镜像 registry 的证书文件内容。证书文件可以是现有的可信证书颁发机构，也可以是您为镜像 registry 生成的自签名证书。

   3. 在 platform.azure 字段中定义 VNet 的网络和子网，以安装集群：

      networkResourceGroupName: <vnet_resource_group> 1
      virtualNetwork: <vnet> 2
      controlPlaneSubnet: <control_plane_subnet> 3
      computeSubnet: <compute_subnet> 4

      1

      将 <vnet_resource_group> 替换为包含现有虚拟网络 (VNet)的资源组名称。

      2

      将 <vnet> 替换为现有的虚拟网络名称。

      3

      将 <control_plane_subnet> 替换为部署 control plane 机器的现有子网名称。

      4

      将 <compute_subnet> 替换为部署计算机器的现有子网名称。

   4. 添加镜像内容资源，类似于以下 YAML 摘录：

      imageContentSources:
      - mirrors:
        - <mirror_host_name>:5000/<repo_name>/release
        source: quay.io/openshift-release-dev/ocp-release
      - mirrors:
        - <mirror_host_name>:5000/<repo_name>/release
        source: registry.redhat.io/ocp/release

      对于这些值，请使用您在创建镜像 registry 时记录的 imageContentSources。

   5. 可选：将发布策略设置为 Internal：

      publish: Internal

      通过设置这个选项，您可以创建一个内部 Ingress Controller 和一个私有负载均衡器。

      重要

      Azure Firewall 无法与 Azure 公共负载均衡器无缝工作。因此，当使用 Azure Firewall 来限制互联网访问时，install-config.yaml 中的 publish 字段应设置为 Internal。

4. 对您需要的 install-config.yaml 文件进行任何其他修改。

   有关参数的更多信息，请参阅"安装配置参数"。

5. 备份 install-config.yaml 文件，以便您可以使用它安装多个集群。

   重要

   install-config.yaml 文件会在安装过程中消耗掉。如果要重复使用该文件，您必须立即备份该文件。

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 1

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 验证您可以使用导出的配置成功运行 oc 命令：

   $ oc whoami

   输出示例

   system:admin

流程

1. 可选：如果您之前在这个计算机上运行安装程序，并希望使用替代的服务主体或受管身份，请进入 ~/.azure/ 目录并删除 osServicePrincipal.json 配置文件。

   删除此文件可防止安装程序自动重复使用之前安装中的订阅和验证值。

2. 创建 install-config.yaml 文件。

   1. 进入包含安装程序的目录并运行以下命令：

      $ ./openshift-install create install-config --dir <installation_directory> 1

      1

      对于 <installation_directory>，请指定要存储安装程序创建的文件的目录名称。

      在指定目录时：

      • 验证该目录是否具有执行权限。在安装目录中运行 Terraform 二进制文件需要这个权限。
      • 使用空目录。有些安装资产，如 bootstrap X.509 证书的过期间隔较短，因此不得重复使用安装目录。如果要重复使用另一个集群安装中的单个文件，您可以将它们复制到您的目录中。但是，安装资产的文件名可能会在发行版本间有所变化。从以前的 OpenShift Container Platform 版本中复制安装文件时请小心。

   2. 在提示符处，提供云的配置详情：

      1. 可选： 选择用于访问集群机器的 SSH 密钥。

         注意

         对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

      2. 选择 azure 作为目标平台。

         如果安装程序无法找到之前安装中的 osServicePrincipal.json 配置文件，会提示您输入 Azure 订阅和验证值。

      3. 为您的订阅输入以下 Azure 参数值：

         • Azure subscription id ：输入用于集群的订阅 ID。
         • Azure 租户 id ：输入租户 ID。

      4. 根据您用来部署集群的 Azure 身份，在提示输入 azure 服务主体客户端 id 时执行以下操作之一：

         • 如果您使用服务主体，请输入其应用程序 ID。
         • 如果您使用系统分配的受管身份，请将此值设为空白。
         • 如果您使用用户分配的受管身份，请指定其客户端 ID。

      5. 根据您用来部署集群的 Azure 身份，在提示输入 azure 服务主体客户端 secret 时执行以下操作之一：

         • 如果您使用服务主体，请输入其密码。
         • 如果您使用系统分配的受管身份，请将此值设为空白。
         • 如果您使用用户分配的受管身份，请将此值设为空白。
      6. 选择要将集群部署到的区域。
      7. 选择集群要部署到的基域。基域与您为集群创建的 Azure DNS 区对应。

      8. 为集群输入一个描述性名称。

         重要

         所有通过公共端点提供的 Azure 资源均存在资源名称的限制，您无法创建使用某些名称的资源。如需 Azure 限制词语的列表，请参阅 Azure 文档中的解决预留资源名称错误。

3. 修改 install-config.yaml 文件。您可以在"安装配置参数"部分找到有关可用参数的更多信息。

4. 备份 install-config.yaml 文件，以便您可以使用它安装多个集群。

   重要

   install-config.yaml 文件会在安装过程中消耗掉。如果要重复使用该文件，您必须立即备份该文件。