第 4 章 部署托管的 control plane

流程

1. 运行以下命令，创建一个可对集群托管 OIDC 发现文档的公共访问权限的 S3 存储桶：

   $ aws s3api create-bucket --bucket <bucket_name> \1
     --create-bucket-configuration LocationConstraint=<region> \2
     --region <region> 3

   1

   将 <bucket_name > 替换为您要创建的 S3 存储桶的名称。

   2 3

   要在 us-east-1 区域以外的区域中创建存储桶，请包含这一行，并将 &lt ;region > 替换为您要使用的区域。要在 us-east-1 区域中创建存储桶，请省略这一行。

   $ aws s3api delete-public-access-block --bucket <bucket_name> 1

   1

   将 <bucket_name > 替换为您要创建的 S3 存储桶的名称。

   $ echo '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": "*",
               "Action": "s3:GetObject",
               "Resource": "arn:aws:s3:::<bucket_name>/*" 1
           }
       ]
   }' | envsubst > policy.json

   1

   将 <bucket_name > 替换为您要创建的 S3 存储桶的名称。

   $ aws s3api put-bucket-policy --bucket <bucket_name> --policy file://policy.json 1

   1

   将 <bucket_name > 替换为您要创建的 S3 存储桶的名称。

   注意

   如果使用 Mac 计算机，则必须导出存储桶名称才能使策略正常工作。

2. 为 HyperShift Operator 创建一个名为 hypershift-operator-oidc-provider-s3-credentials 的 OIDC S3 secret。
3. 将 secret 保存到 local-cluster 命名空间中。

4. 请查看下表以验证 secret 是否包含以下字段：

   表 4.1. AWS secret 的必填字段

   字段名称	描述
   bucket	包含具有公共访问权限的 S3 存储桶，用于保存托管集群的 OIDC 发现文档。
   credentials	对包含可以访问存储桶的 default 配置集凭证的文件的引用。默认情况下，HyperShift 仅使用 default 配置集来运行 bucket。
   region	指定 S3 存储桶的区域。

5. 要创建 AWS secret，请运行以下命令：

   $ oc create secret generic <secret_name> --from-file=credentials=<path>/.aws/credentials --from-literal=bucket=<s3_bucket> --from-literal=region=<region> -n local-cluster

   注意

   secret 的灾难恢复备份不会被自动启用。要添加启用 hypershift-operator-oidc-provider-s3-credentials secret 的标签来备份灾难恢复，请运行以下命令：

   $ oc label secret hypershift-operator-oidc-provider-s3-credentials -n local-cluster cluster.open-cluster-management.io/backup=true

流程

1. 运行以下命令，获取用户的 Amazon 资源名称(ARN)：

   $ aws sts get-caller-identity --query "Arn" --output text

   输出示例

   arn:aws:iam::1234567890:user/<aws_username>

   使用此输出作为下一步中 <arn> 的值。

2. 创建一个包含角色信任关系配置的 JSON 文件。请参见以下示例：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "<arn>" 1
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

   1

   将 <arn> 替换为您在上一步中记下的用户的 ARN。

3. 运行以下命令来创建 Identity and Access Management (IAM) 角色：

   $ aws iam create-role \
   --role-name <name> \1
   --assume-role-policy-document file://<file_name>.json \2
   --query "Role.Arn"

   1

   将 <name> 替换为角色名称，如 hcp-cli-role。

   2

   将 < file_name > 替换为您在上一步中创建的 JSON 文件的名称。

   输出示例

   arn:aws:iam::820196288204:role/myrole

4. 创建名为 policy.json 的 JSON 文件，其中包含您的角色的以下权限策略：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "EC2",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateDhcpOptions",
                   "ec2:DeleteSubnet",
                   "ec2:ReplaceRouteTableAssociation",
                   "ec2:DescribeAddresses",
                   "ec2:DescribeInstances",
                   "ec2:DeleteVpcEndpoints",
                   "ec2:CreateNatGateway",
                   "ec2:CreateVpc",
                   "ec2:DescribeDhcpOptions",
                   "ec2:AttachInternetGateway",
                   "ec2:DeleteVpcEndpointServiceConfigurations",
                   "ec2:DeleteRouteTable",
                   "ec2:AssociateRouteTable",
                   "ec2:DescribeInternetGateways",
                   "ec2:DescribeAvailabilityZones",
                   "ec2:CreateRoute",
                   "ec2:CreateInternetGateway",
                   "ec2:RevokeSecurityGroupEgress",
                   "ec2:ModifyVpcAttribute",
                   "ec2:DeleteInternetGateway",
                   "ec2:DescribeVpcEndpointConnections",
                   "ec2:RejectVpcEndpointConnections",
                   "ec2:DescribeRouteTables",
                   "ec2:ReleaseAddress",
                   "ec2:AssociateDhcpOptions",
                   "ec2:TerminateInstances",
                   "ec2:CreateTags",
                   "ec2:DeleteRoute",
                   "ec2:CreateRouteTable",
                   "ec2:DetachInternetGateway",
                   "ec2:DescribeVpcEndpointServiceConfigurations",
                   "ec2:DescribeNatGateways",
                   "ec2:DisassociateRouteTable",
                   "ec2:AllocateAddress",
                   "ec2:DescribeSecurityGroups",
                   "ec2:RevokeSecurityGroupIngress",
                   "ec2:CreateVpcEndpoint",
                   "ec2:DescribeVpcs",
                   "ec2:DeleteSecurityGroup",
                   "ec2:DeleteDhcpOptions",
                   "ec2:DeleteNatGateway",
                   "ec2:DescribeVpcEndpoints",
                   "ec2:DeleteVpc",
                   "ec2:CreateSubnet",
                   "ec2:DescribeSubnets"
               ],
               "Resource": "*"
           },
           {
               "Sid": "ELB",
               "Effect": "Allow",
               "Action": [
                   "elasticloadbalancing:DeleteLoadBalancer",
                   "elasticloadbalancing:DescribeLoadBalancers",
                   "elasticloadbalancing:DescribeTargetGroups",
                   "elasticloadbalancing:DeleteTargetGroup"
               ],
               "Resource": "*"
           },
           {
               "Sid": "IAMPassRole",
               "Effect": "Allow",
               "Action": "iam:PassRole",
               "Resource": "arn:*:iam::*:role/*-worker-role",
               "Condition": {
                   "ForAnyValue:StringEqualsIfExists": {
                       "iam:PassedToService": "ec2.amazonaws.com"
                   }
               }
           },
           {
               "Sid": "IAM",
               "Effect": "Allow",
               "Action": [
                   "iam:CreateInstanceProfile",
                   "iam:DeleteInstanceProfile",
                   "iam:GetRole",
                   "iam:UpdateAssumeRolePolicy",
                   "iam:GetInstanceProfile",
                   "iam:TagRole",
                   "iam:RemoveRoleFromInstanceProfile",
                   "iam:CreateRole",
                   "iam:DeleteRole",
                   "iam:PutRolePolicy",
                   "iam:AddRoleToInstanceProfile",
                   "iam:CreateOpenIDConnectProvider",
                   "iam:ListOpenIDConnectProviders",
                   "iam:DeleteRolePolicy",
                   "iam:UpdateRole",
                   "iam:DeleteOpenIDConnectProvider",
                   "iam:GetRolePolicy"
               ],
               "Resource": "*"
           },
           {
               "Sid": "Route53",
               "Effect": "Allow",
               "Action": [
                   "route53:ListHostedZonesByVPC",
                   "route53:CreateHostedZone",
                   "route53:ListHostedZones",
                   "route53:ChangeResourceRecordSets",
                   "route53:ListResourceRecordSets",
                   "route53:DeleteHostedZone",
                   "route53:AssociateVPCWithHostedZone",
                   "route53:ListHostedZonesByName"
               ],
               "Resource": "*"
           },
           {
               "Sid": "S3",
               "Effect": "Allow",
               "Action": [
                   "s3:ListAllMyBuckets",
                   "s3:ListBucket",
                   "s3:DeleteObject",
                   "s3:DeleteBucket"
               ],
               "Resource": "*"
           }
       ]
   }

5. 运行以下命令，将 policy.json 文件附加到角色中：

   $ aws iam put-role-policy \
     --role-name <role_name> \1
     --policy-name <policy_name> \2
     --policy-document file://policy.json 3

   1

   将 <role_name> 替换为您的角色的名称。

   2

   将 <policy_name> 替换为您的策略名称。

   3

   policy.json 文件包含您的角色的权限策略。

6. 运行以下命令，在名为 sts-creds.json 的 JSON 文件中检索 STS 凭证：

   $ aws sts get-session-token --output json > sts-creds.json

   sts-creds.json 文件示例

   {
                 "Credentials": {
                     "AccessKeyId": "ASIA1443CE0GN2ATHWJU",
                     "SecretAccessKey": "XFLN7cZ5AP0d66KhyI4gd8Mu0UCQEDN9cfelW1”,
                     "SessionToken": "IQoJb3JpZ2luX2VjEEAaCXVzLWVhc3QtMiJHMEUCIDyipkM7oPKBHiGeI0pMnXst1gDLfs/TvfskXseKCbshAiEAnl1l/Html7Iq9AEIqf////KQburfkq4A3TuppHMr/9j1TgCj1z83SO261bHqlJUazKoy7vBFR/a6LHt55iMBqtKPEsIWjBgj/jSdRJI3j4Gyk1//luKDytcfF/tb9YrxDTPLrACS1lqAxSIFZ82I/jDhbDs=",
                     "Expiration": "2025-05-16T04:19:32+00:00"
                 }
             }

流程

1. 为 HyperShift Operator 创建 AWS 凭证 secret，并将其命名为 hypershift-operator-private-link-credentials。secret 必须位于用作管理集群的受管集群的命名空间中。如果使用 local-cluster，请在 local-cluster 命名空间中创建 secret。
2. 下表确认 secret 包含必填字段：

流程

1. 要在 AWS 上创建托管集群，请运行以下命令：

   $ hcp create cluster aws \
       --name <hosted_cluster_name> \1
       --infra-id <infra_id> \2
       --base-domain <basedomain> \3
       --sts-creds <path_to_sts_credential_file> \4
       --pull-secret <path_to_pull_secret> \5
       --region <region> \6
       --generate-ssh \
       --node-pool-replicas <node_pool_replica_count> \7
       --namespace <hosted_cluster_namespace> \8
       --role-arn <role_name> \9
       --render-into <file_name>.yaml 10

   1

   指定托管集群的名称，如 example。

   2

   指定您的基础架构名称。您必须为 <hosted_cluster_name> 和 <infra_id> 提供相同的值。否则，集群可能无法在 Kubernetes Operator 控制台的多集群引擎中正确显示。

   3

   指定您的基域，例如 example.com。

   4

   指定 AWS STS 凭证文件的路径，例如 /home/user/sts-creds/sts-creds.json。

   5

   指定 pull secret 的路径，例如 /user/name/pullsecret。

   6

   指定 AWS 区域名称，如 us-east-1。

   7

   指定节点池副本数，例如 3。

   8

   默认情况下，所有 HostedCluster 和 NodePool 自定义资源都会在 clusters 命名空间中创建。您可以使用-- namespace <namespace> 参数，在特定命名空间中创建 HostedCluster 和 NodePool 自定义资源。

   9

   指定 Amazon Resource Name (ARN)，例如 arn:aws:iam::820196288204:role/myrole。

   10

   如果要指明 EC2 实例是否在共享或单个租户硬件上运行，请包含此字段。--render-into 标志会将 Kubernetes 资源呈现到您在此字段中指定的 YAML 文件中。然后，继续执行下一步来编辑 YAML 文件。

2. 如果在上一命令中包含了 --render-into 标志，请编辑指定的 YAML 文件。编辑 YAML 文件中的 NodePool 规格，以指示 EC2 实例是否应该在共享或单租户硬件上运行，如下例所示：

   YAML 文件示例

   apiVersion: hypershift.openshift.io/v1beta1
   kind: NodePool
   metadata:
     name: <nodepool_name> 1
   spec:
     platform:
       aws:
         placement:
           tenancy: "default" 2

   1

   指定 NodePool 资源的名称。

   2

   为 tenancy 指定有效的值：" default"、"dedicated" 或 "host "。当节点池实例在共享硬件上运行时，请使用 "default "。当每个节点池实例在单租户硬件上运行时，请使用 "dedicated "。当节点池实例在预分配的专用主机上运行时，请使用 "host "。

验证

1. 验证托管集群的状态，以检查 AVAILABLE 的值是否为 True。运行以下命令:

   $ oc get hostedclusters -n <hosted_cluster_namespace>

2. 运行以下命令，获取节点池列表：

   $ oc get nodepools --namespace <hosted_cluster_namespace>