在 OCI 上安装

流程

1. 使用管理员权限登录到您的 Oracle Cloud Infrastructure (OCI) 帐户。

2. 通过定 云账户和资源 (Oracle 文档) 来配置帐户。确保创建了以下资源：

   1. 创建一个子 compartment 用于组织、限制访问以及对 OCI 资源设置用量限制。有关完整流程，请参阅创建 Compartment (Oracle 文档)。
   2. 创建一个新的对象存储桶，您要将发现 ISO 镜像上传到其中。有关完整流程，请参阅创建对象存储 Bucket (Oracle 文档)。

3. 从 oracle-quickstart/oci-openshift 仓库下载 create-cluster-vX.X.X.zip 配置文件。此文件为集群提供基础架构，包含以下配置：

   • Terraform Stacks ：置备 OCI 资源的 Terraform 堆栈代码，以便在 OCI 上创建和管理 OpenShift Container Platform 集群。
   • 自定义清单 ：在 OCI 上安装 OpenShift Container Platform 集群所需的清单文件。
   注意

   要对清单进行任何更改，您可以克隆整个 Oracle GitHub 存储库，并直接访问 custom_manifests 和 terraform-stacks 目录。

   详情请查看配置文件(Oracle 文档)。

流程

1. 登录到您的 Oracle Cloud Infrastructure (OCI) 帐户。
2. 将发现 ISO 镜像从本地驱动器上传到您创建的新对象存储桶。有关完整流程，请参阅将对象存储对象上传到 Bucket (Oracle 文档)。

3. 找到上传的发现 ISO，并完成以下步骤：

   1. 从相邻选项菜单中，为 ISO 创建 Pre-Authenticated Request (PAR)。
   2. 复制生成的 URL，以在下一步中用作 OpenShift Image Source URI。

   有关完整流程，请参阅在对象存储中创建 Pre-Authenticated Requests (Oracle 文档)。

4. 创建并应用 Terraform 堆栈：

   重要

   Terraform 堆栈包含用于创建集群资源和自定义清单的文件。堆栈还包括脚本，当您应用堆栈时，脚本会创建 OCI 资源，如 DNS 记录、实例和其他资源。如需资源列表，请参阅 OpenShift on OCI (OSO) 中的 terraform-stacks 文件夹。

   1. 将 Terraform 堆栈模板 terraform-stacks 上传到新的对象存储桶。

   2. 完成堆栈信息，然后点下一步。

      重要
      • 确保 Cluster Name 与 Assisted Installer 中的 Cluster Name 匹配，并且 Zone DNS 与 Assisted Installer 中的 Base Domain 匹配。
      • 在 OpenShift Image Source URI 字段中，粘贴您在上一步中生成的 Pre-Authenticated Request URL 链接。
      • 根据您要在裸机上或虚拟机上安装，确保定义了正确的 Compute Shape 字段值。如果没有，请从列表中选择不同的形成。详情请查看 Compute Shapes (Oracle 文档)。
   3. 点 Apply 以应用堆栈。

   有关完整流程，请参阅使用资源管理器(Oracle 文档)创建 OpenShift Container Platform 基础架构。

5. 从 Terraform 堆栈的 Outputs 页中复制 dynamic_custom_manifest.yml 文件。

   注意

   YAML 文件包含所有必需的清单，它们对配置值进行串联并进行预格式化。详情请参阅自定义清单 README 文件。

   有关完整流程，请参阅获取 OpenShift Container Platform 自定义清单以了解安装(Oracle 文档)。

流程

1. 在 Red Hat Hybrid Cloud Console 中，进入 Clusters > Assisted Clusters 并选择集群名称。
2. 在 Installation Progress 页中，检查安装进度条是否处于 100%，并显示一条消息 Installation completed successfully。

3. 在 Host inventory 下，确认所有 control plane 和计算节点的状态为 Installed。

   注意

   OpenShift Container Platform 将其中一个 control plane 节点指定为 bootstrap 虚拟机，无需单独 bootstrap 机器。

4. 点 Web Console URL，访问 OpenShift Container Platform Web 控制台。
5. 在菜单中，选择 Compute > Nodes。
6. 从 Nodes 表中查找您的节点。
7. 在 Terminal 选项卡中，验证 iSCSI 是否显示在序列号旁。
8. 在 Overview 选项卡中，检查您的节点的状态是否为 Ready。
9. 选择 YAML 选项卡。
10. 检查 labels 参数，并验证列出的标签是否应用到您的配置。例如，topology.kubernetes.io/region=us-sanjose-1 标签指示节点部署的 OCI 区域。

1. 创建 OCI 资源和服务 (Oracle)。
2. 断开连接的环境：准备可由 OCI 实例访问的 Web 服务器（红帽）。
3. 为基于代理的安装程序准备配置文件(Red Hat)。
4. 生成代理 ISO 镜像（红帽）。
5. 断开连接的环境：将 rootfs 镜像上传到 web 服务器（红帽）。
6. 为 OpenShift Container Platform 配置防火墙（红帽）。
7. 将代理 ISO 镜像上传到存储桶(Oracle)。
8. 从上传的代理 ISO 镜像创建自定义镜像(Oracle)。
9. 在 OCI 上创建计算实例(Oracle)。
10. 验证集群是否在 OCI 上运行(Oracle)。

流程

1. 运行以下命令，创建一个安装目录来存储配置文件：

   $ mkdir ~/<directory_name>

   Copy to Clipboard Toggle word wrap

2. 配置 install-config.yaml 配置文件，以满足您的机构的需求，并将文件保存到您创建的目录中。

   设定外部平台的 install-config.yaml 文件

   # install-config.yaml
   apiVersion: v1
   baseDomain: <base_domain> 

   1

   
   networking:
     clusterNetwork:
     - cidr: 10.128.0.0/14
       hostPrefix: 23
     network type: OVNKubernetes
     machineNetwork:
     - cidr: <ip_address_from_cidr> 

   2

   
     serviceNetwork:
     - 172.30.0.0/16
   compute:
     - architecture: amd64 

   3

   
     hyperthreading: Enabled
     name: worker
     replicas: 0
   controlPlane:
     architecture: amd64 

   4

   
     hyperthreading: Enabled
     name: master
     replicas: 3
   platform:
      external:
       platformName: oci 

   5

   
       cloudControllerManager: External
   sshKey: <public_ssh_key> 

   6

   
   pullSecret: '<pull_secret>' 

   7

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   云供应商的基域。

   2

   CIDR 分配给网络上操作的资源和组件的虚拟网络 (VCN) 的 IP 地址。

   3 4

   根据您的基础架构，您可以选择 arm64 或 amd64。

   5

   将 OCI 设置为外部平台，以便 OpenShift Container Platform 能够与 OCI 集成。

   6

   指定 SSH 公钥。

   7

   为 OpenShift Container Platform 组件和服务（如 Quay.io）下载容器镜像时，您需要验证目的的 pull secret。请参阅通过 Red Hat Hybrid Cloud Console 安装 OpenShift Container Platform 4。

3. 在本地系统上创建一个名为 openshift 的目录。这必须是安装目录的子目录。

   重要

   不要将 install-config.yaml 或 agent-config.yaml 配置文件移到 openshift 目录中。

4. 如果您使用堆栈置备 OCI 基础架构资源：将 OCI 堆栈的 dynamic_custom_manifest 输出复制并粘贴到名为 manifest.yaml 的文件中，并将该文件保存到 openshift 目录中。

5. 如果您没有使用堆栈来置备 OCI 基础架构资源：下载并准备自定义清单来创建代理 ISO 镜像：

   1. 进入 配置文件 (Oracle 文档)，并按照 GitHub 上的自定义 manifests 目录的链接进行操作。
   2. 复制 condensed-manifest.yml 文件的内容，并将它在本地保存到 openshift 目录中的文件。
   3. 在 condensed-manifest.yml 文件中，更新标记为 TODO 的部分，以指定比较 Oracle® Cloud Identifier (OCID)、VCN OCID、负载均衡器中的子网 OCID，以及安全列表 OCID。

6. 配置 agent-config.yaml 配置文件，以满足您的机构要求。

   IPv4 网络的 agent-config.yaml 文件示例。

   apiVersion: v1beta1
   metadata:
     name: <cluster_name> 

   1

   
     namespace: <cluster_namespace> 

   2

   
   rendezvousIP: <ip_address_from_CIDR> 

   3

   
   bootArtifactsBaseURL: <server_URL> 

   4

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   您在 DNS 记录中指定的集群名称。

   2

   OpenShift Container Platform 上集群的命名空间。

   3

   如果您使用 IPv4 作为网络 IP 地址格式，请确保将 rendezvousIP 参数设置为在网络上分配的 VCN 的无类别域间路由 (CIDR) 方法的 IPv4 地址。另外，请确保使用 ISO 引导的实例池中至少有一个实例与您为 rendezvousIP 参数设置的 IP 地址值匹配。

   4

   要上传 rootfs 镜像的服务器的 URL。这个参数只适用于断开连接的环境。

7. 通过在安装目录中输入以下命令来生成最小 ISO 镜像，它排除 rootfs 镜像：

   $ ./openshift-install agent create image --log-level debug

   Copy to Clipboard Toggle word wrap

   该命令还会完成以下操作：

   • 创建子目录 ./<installation_directory>/auth directory:：将 kubeadmin-password 和 kubeconfig 文件放在 子目录中。
   • 根据您在 agent-config.yaml 配置文件中指定的 IP 地址，创建一个 rendezvousIP 文件。

   • 可选：您对 agent-config.yaml 和 install-config.yaml 配置文件所做的任何修改都会导入到 Zero Touch Provisioning (ZTP)自定义资源。

     重要

     基于代理的安装程序使用 Red Hat Enterprise Linux CoreOS (RHCOS)。在后续步骤中提到的 rootfs 镜像是引导、恢复和修复您的操作系统所必需的。

8. 断开连接的环境：将 rootfs 镜像上传到 web 服务器。

   1. 进入创建最小 ISO 镜像时生成的 ./<installation_directory>/boot-artifacts 目录。

   2. 使用您首选的 Web 服务器，如任何 Hypertext 传输协议守护进程(httpd)，将 rootfs 镜像上传到 agent-config.yaml 文件的 bootArtifactsBaseURL 参数中指定的位置。

      例如，如果 bootArtifactsBaseURL 参数状态 http://192.168.122.20，您可以将生成的 rootfs 镜像上传到此位置，以便基于代理的安装程序可以从 http://192.168.122.20/agent.x86_64-rootfs.img 访问镜像。在基于代理的安装程序为外部平台引导最小 ISO 后，基于代理的安装程序将 rootfs 镜像从 http://192.168.122.20/agent.x86_64-rootfs.img 位置下载到系统内存中。

      注意

      基于代理的安装程序还将 bootArtifactsBaseURL 的值添加到最小 ISO 镜像的配置中，以便在 Operator 引导集群节点时，基于代理的安装程序会将 rootfs 镜像下载到系统内存中。

      重要

      考虑超过 1 GB 的完整 ISO 镜像包括 rootfs 镜像。镜像大于最小 ISO 镜像，该镜像通常小于 150 MB。

流程

1. 为您的防火墙的允许列表设置以下 registry URL：

   Expand

   URL	port	功能
   registry.redhat.io	443	提供核心容器镜像
   access.redhat.com	443	托管签名存储，容器客户端需要验证从 registry.access.redhat.com 中拉取的镜像。在防火墙环境中，确保此资源位于允许列表中。
   registry.access.redhat.com	443	托管存储在 Red Hat Ecosytem Catalog 中的所有容器镜像，包括核心容器镜像。
   quay.io	443	提供核心容器镜像
   cdn.quay.io	443	提供核心容器镜像
   cdn01.quay.io	443	提供核心容器镜像
   cdn02.quay.io	443	提供核心容器镜像
   cdn03.quay.io	443	提供核心容器镜像
   cdn04.quay.io	443	提供核心容器镜像
   cdn05.quay.io	443	提供核心容器镜像
   cdn06.quay.io	443	提供核心容器镜像
   sso.redhat.com	443	https://console.redhat.com 站点使用来自 sso.redhat.com 的身份验证
   icr.io	443	提供 IBM Cloud Pak 容器镜像。只有在使用 IBM Cloud Paks 时，才需要这个域。
   cp.icr.io	443	提供 IBM Cloud Pak 容器镜像。只有在使用 IBM Cloud Paks 时，才需要这个域。

   Show more
   • 您可以在 allowlist 中使用 wildcard () quay.io 而不是 cdn.quay.io 和 cdn0[1-6].quay.io。
   • 您可以使用通配符 *.access.redhat.com 来简化配置，并确保所有子域（包括 registry.access.redhat.com ）都被允许。
   • 在 allowlist 中添加站点（如 quay.io ）时，不要向 denylist 添加通配符条目，如 *.quay.io。在大多数情况下，镜像 registry 使用内容交付网络（CDN）来提供镜像。如果防火墙阻止访问，则初始下载请求重定向到一个主机名（如 cdn01.quay.io ）时，镜像下载将被拒绝。
2. 将防火墙的允许列表设置为包含为构建所需的语言或框架提供资源的任何站点。

3. 如果不禁用 Telemetry，您必须授予对以下 URL 的访问权限，以访问 Red Hat Insights：

   Expand

   URL	port	功能
   cert-api.access.redhat.com	443	Telemetry 所需
   api.access.redhat.com	443	Telemetry 所需
   infogw.api.openshift.com	443	Telemetry 所需
   console.redhat.com	443	Telemetry 和 insights-operator需要

   Show more

4. 将防火墙的允许列表设置为包含以下 registry URL：

   Expand

   URL	port	功能
   api.openshift.com	443	集群令牌需要，并检查集群是否有可用的更新。
   rhcos.mirror.openshift.com	443	下载 Red Hat Enterprise Linux CoreOS (RHCOS) 镜像需要此项。

   Show more

5. 将防火墙的允许列表设置为包含以下外部 URL：每个存储库 URL 都托管 OCI 容器。考虑将镜像镜像到几个存储库，以减少任何性能问题。

   Expand

   URL	port	功能
   k8s.gcr.io	port	为基于社区的镜像 registry 托管容器镜像的 Kubernetes registry。此镜像 registry 托管在自定义 Google Container Registry (GCR)域中。
   ghcr.io	port	一个 GitHub 镜像 registry，您可以在其中存储和管理开放容器项目镜像。需要访问令牌发布、安装和删除私有、内部和公共软件包。
   storage.googleapis.com	443	发行版本镜像签名源，但 Cluster Version Operator 只需要一个可正常工作的源。
   registry.k8s.io	port	替换 k8s.gcr.io 镜像 registry，因为 k8s.gcr.io 镜像 registry 不支持其他平台和供应商。

   Show more

流程

1. 将代理 ISO 镜像上传到 Oracle 的默认 Object Storage 存储桶，并将代理 ISO 镜像作为自定义镜像导入到此存储桶。确保将自定义镜像配置为以统一可扩展固件接口(UEFI)模式引导。如需更多信息，请参阅创建 OpenShift Container Platform ISO 镜像(Oracle 文档)。

2. 从集群拓扑提供的基础镜像创建计算实例。请参阅在 OCI (Oracle 文档)上创建 OpenShift Container Platform 集群。

   重要

   在创建计算实例前，请检查您有足够的内存和磁盘资源。另外，请确保至少有一个计算实例与 agent-config.yaml 文件中 rendezvousIP 下声明的地址相同的 IP 地址。

1. 创建 Compute Cloud@Customer 资源和服务(Oracle)。
2. 为基于代理的安装程序准备配置文件(Red Hat)。
3. 生成代理 ISO 镜像（红帽）。
4. 将 ISO 镜像转换为 Oracle Cloud Infrastructure (OCI)镜像，将其上传到 OCI Home Region Bucket，然后将上传的镜像导入到 Compute Cloud@Customer 系统(Oracle)。
5. 断开连接的环境：准备可由 OCI 实例访问的 Web 服务器（红帽）。
6. 断开连接的环境：将 rootfs 镜像上传到 web 服务器（红帽）。
7. 为 OpenShift Container Platform 配置防火墙（红帽）。
8. 创建 control plane 节点并配置负载均衡器(Oracle)。
9. 创建计算节点并配置负载均衡器(Oracle)。
10. 验证集群是否在 OCI 上运行(Oracle)。

流程

1. 运行以下命令，创建一个安装目录来存储配置文件：

   $ mkdir ~/<directory_name>

   Copy to Clipboard Toggle word wrap

2. 配置 install-config.yaml 配置文件，以满足您的机构的需求，并将文件保存到您创建的目录中。

   设定外部平台的 install-config.yaml 文件

   # install-config.yaml
   apiVersion: v1
   baseDomain: <base_domain> 

   1

   
   networking:
     clusterNetwork:
     - cidr: 10.128.0.0/14
       hostPrefix: 23
     network type: OVNKubernetes
     machineNetwork:
     - cidr: <ip_address_from_cidr> 

   2

   
     serviceNetwork:
     - 172.30.0.0/16
   compute:
     - architecture: amd64 

   3

   
     hyperthreading: Enabled
     name: worker
     replicas: 0
   controlPlane:
     architecture: amd64 

   4

   
     hyperthreading: Enabled
     name: master
     replicas: 3
   platform:
      external:
       platformName: oci 

   5

   
       cloudControllerManager: External
   sshKey: <public_ssh_key> 

   6

   
   pullSecret: '<pull_secret>' 

   7

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   云供应商的基域。

   2

   CIDR 分配给网络上操作的资源和组件的虚拟网络 (VCN) 的 IP 地址。

   3 4

   根据您的基础架构，您可以选择 arm64 或 amd64。

   5

   将 OCI 设置为外部平台，以便 OpenShift Container Platform 能够与 OCI 集成。

   6

   指定 SSH 公钥。

   7

   为 OpenShift Container Platform 组件和服务（如 Quay.io）下载容器镜像时，您需要验证目的的 pull secret。请参阅通过 Red Hat Hybrid Cloud Console 安装 OpenShift Container Platform 4。

3. 在本地系统上创建一个名为 openshift 的目录。这必须是安装目录的子目录。

   重要

   不要将 install-config.yaml 或 agent-config.yaml 配置文件移到 openshift 目录中。

4. 配置 Oracle 自定义清单文件。

   1. 进入 OpenShift Cluster Setup with Agent Based Installer on Compute Cloud@Customer (Oracle 文档) 中的 "Prepare the OpenShift Master Images"。
   2. 将 oci-ccm.yml、oci-csi.yml 和 machineconfig-ccm.yml 文件复制到 openshift 目录中。
   3. 编辑 oci-ccm.yml 和 oci-csi.yml 文件，以指定比较 Oracle® 云标识符(OCID)、VCN OCID、负载均衡器中的子网 OCID 和 c3-cert.pem 部分。

5. 配置 agent-config.yaml 配置文件，以满足您的机构要求。

   IPv4 网络的 agent-config.yaml 文件示例。

   apiVersion: v1beta1
   metadata:
     name: <cluster_name> 

   1

   
     namespace: <cluster_namespace> 

   2

   
   rendezvousIP: <ip_address_from_CIDR> 

   3

   
   bootArtifactsBaseURL: <server_URL> 

   4

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   您在 DNS 记录中指定的集群名称。

   2

   OpenShift Container Platform 上集群的命名空间。

   3

   如果您使用 IPv4 作为网络 IP 地址格式，请确保将 rendezvousIP 参数设置为在网络上分配的 VCN 的无类别域间路由 (CIDR) 方法的 IPv4 地址。另外，请确保使用 ISO 引导的实例池中至少有一个实例与您为 rendezvousIP 参数设置的 IP 地址值匹配。

   4

   要上传 rootfs 镜像的服务器的 URL。这个参数只适用于断开连接的环境。

6. 通过在安装目录中输入以下命令来生成最小 ISO 镜像，它排除 rootfs 镜像：

   $ ./openshift-install agent create image --log-level debug

   Copy to Clipboard Toggle word wrap

   该命令还会完成以下操作：

   • 创建子目录 ./<installation_directory>/auth directory:：将 kubeadmin-password 和 kubeconfig 文件放在 子目录中。
   • 根据您在 agent-config.yaml 配置文件中指定的 IP 地址，创建一个 rendezvousIP 文件。

   • 可选：您对 agent-config.yaml 和 install-config.yaml 配置文件所做的任何修改都会导入到 Zero Touch Provisioning (ZTP)自定义资源。

     重要

     基于代理的安装程序使用 Red Hat Enterprise Linux CoreOS (RHCOS)。在后续步骤中提到的 rootfs 镜像是引导、恢复和修复您的操作系统所必需的。

7. 断开连接的环境：将 rootfs 镜像上传到 web 服务器。

   1. 进入创建最小 ISO 镜像时生成的 ./<installation_directory>/boot-artifacts 目录。

   2. 使用您首选的 Web 服务器，如任何 Hypertext 传输协议守护进程(httpd)，将 rootfs 镜像上传到 agent-config.yaml 文件的 bootArtifactsBaseURL 参数中指定的位置。

      例如，如果 bootArtifactsBaseURL 参数状态 http://192.168.122.20，您可以将生成的 rootfs 镜像上传到此位置，以便基于代理的安装程序可以从 http://192.168.122.20/agent.x86_64-rootfs.img 访问镜像。在基于代理的安装程序为外部平台引导最小 ISO 后，基于代理的安装程序将 rootfs 镜像从 http://192.168.122.20/agent.x86_64-rootfs.img 位置下载到系统内存中。

      注意

      基于代理的安装程序还将 bootArtifactsBaseURL 的值添加到最小 ISO 镜像的配置中，以便在 Operator 引导集群节点时，基于代理的安装程序会将 rootfs 镜像下载到系统内存中。

      重要

      考虑超过 1 GB 的完整 ISO 镜像包括 rootfs 镜像。镜像大于最小 ISO 镜像，该镜像通常小于 150 MB。

流程

1. 为您的防火墙的允许列表设置以下 registry URL：

   Expand

   URL	port	功能
   registry.redhat.io	443	提供核心容器镜像
   access.redhat.com	443	托管签名存储，容器客户端需要验证从 registry.access.redhat.com 中拉取的镜像。在防火墙环境中，确保此资源位于允许列表中。
   registry.access.redhat.com	443	托管存储在 Red Hat Ecosytem Catalog 中的所有容器镜像，包括核心容器镜像。
   quay.io	443	提供核心容器镜像
   cdn.quay.io	443	提供核心容器镜像
   cdn01.quay.io	443	提供核心容器镜像
   cdn02.quay.io	443	提供核心容器镜像
   cdn03.quay.io	443	提供核心容器镜像
   cdn04.quay.io	443	提供核心容器镜像
   cdn05.quay.io	443	提供核心容器镜像
   cdn06.quay.io	443	提供核心容器镜像
   sso.redhat.com	443	https://console.redhat.com 站点使用来自 sso.redhat.com 的身份验证
   icr.io	443	提供 IBM Cloud Pak 容器镜像。只有在使用 IBM Cloud Paks 时，才需要这个域。
   cp.icr.io	443	提供 IBM Cloud Pak 容器镜像。只有在使用 IBM Cloud Paks 时，才需要这个域。

   Show more
   • 您可以在 allowlist 中使用 wildcard () quay.io 而不是 cdn.quay.io 和 cdn0[1-6].quay.io。
   • 您可以使用通配符 *.access.redhat.com 来简化配置，并确保所有子域（包括 registry.access.redhat.com ）都被允许。
   • 在 allowlist 中添加站点（如 quay.io ）时，不要向 denylist 添加通配符条目，如 *.quay.io。在大多数情况下，镜像 registry 使用内容交付网络（CDN）来提供镜像。如果防火墙阻止访问，则初始下载请求重定向到一个主机名（如 cdn01.quay.io ）时，镜像下载将被拒绝。
2. 将防火墙的允许列表设置为包含为构建所需的语言或框架提供资源的任何站点。

3. 如果不禁用 Telemetry，您必须授予对以下 URL 的访问权限，以访问 Red Hat Insights：

   Expand

   URL	port	功能
   cert-api.access.redhat.com	443	Telemetry 所需
   api.access.redhat.com	443	Telemetry 所需
   infogw.api.openshift.com	443	Telemetry 所需
   console.redhat.com	443	Telemetry 和 insights-operator需要

   Show more

4. 如果使用 Alibaba Cloud、Amazon Web Services (AWS)、Microsoft Azure 或 Google Cloud Platform (GCP) 来托管您的集群，您必须授予对为该云提供云供应商 API 和 DNS 的 URL 的访问权限：

   Expand

   云	URL	port	功能
   Alibaba	*.aliyuncs.com	443	需要此项以访问 Alibaba Cloud 服务和资源。查看 Alibaba endpoint_config.go 文件，以查找您使用的区域所允许的确切端点。
   AWS	aws.amazon.com	443	用于在 AWS 环境中安装和管理集群。
   	*.amazonaws.com 另外，如果您选择不对 AWS API 使用通配符，则必须在允许列表中包含以下 URL：	443	需要此项以访问 AWS 服务和资源。请参阅 AWS 文档中的 AWS Service Endpoints，以查找您使用的区域所允许的确切端点。
   	ec2.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	events.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	iam.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	route53.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	*.s3.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	*.s3.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	*.s3.dualstack.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	sts.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	sts.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	tagging.us-east-1.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。此端点始终为 us-east-1，无论集群要部署到的区域。
   	ec2.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	elasticloadbalancing.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	servicequotas.<aws_region>.amazonaws.com	443	必需。用于确认用于部署该服务的配额。
   	tagging.<aws_region>.amazonaws.com	443	允许以标签的形式分配 AWS 资源的元数据。
   	*.cloudfront.net	443	用于提供对 CloudFront 的访问。如果使用 AWS 安全令牌服务(STS)和私有 S3 存储桶，您必须提供对 CloudFront 的访问。
   GCP	*.googleapis.com	443	需要此项以访问 GCP 服务和资源。请参阅 GCP 文档中的 Cloud Endpoints，以查找您的 API 允许的端点。
   	accounts.google.com	443	需要此项以访问您的 GCP 帐户。
   Microsoft Azure	management.azure.com	443	需要此项以访问 Microsoft Azure 服务和资源。请参阅 Microsoft Azure 文档中的 Microsoft Azure REST API 参考，以查找允许您 API 的端点。
   	*.blob.core.windows.net	443	需要下载 Ignition 文件。
   	login.microsoftonline.com	443	需要此项以访问 Microsoft Azure 服务和资源。请参阅 Microsoft Azure 文档中的 Azure REST API 参考，以查找您的 API 允许的端点。

   Show more

5. 将以下 URL 列入允许列表：

   Expand

   URL	port	功能
   *.apps.<cluster_name>.<base_domain>	443	需要此项以访问默认集群路由，除非您在安装过程中设置了入口通配符。
   api.openshift.com	443	集群令牌需要，并检查集群是否有可用的更新。
   console.redhat.com	443	集群令牌所需。
   mirror.openshift.com	443	需要此项以访问镜像安装内容和镜像。此站点也是发行版本镜像签名的来源，但 Cluster Version Operator 只需要一个可正常工作的源。
   quayio-production-s3.s3.amazonaws.com	443	需要此项以访问 AWS 中的 Quay 镜像内容。
   rhcos.mirror.openshift.com	443	下载 Red Hat Enterprise Linux CoreOS (RHCOS) 镜像需要此项。
   sso.redhat.com	443	https://console.redhat.com 站点使用来自 sso.redhat.com 的身份验证
   storage.googleapis.com/openshift-release	443	发行版本镜像签名源，但 Cluster Version Operator 只需要一个可正常工作的源。

   Show more

   Operator 需要路由访问权限来执行健康检查。特别是，身份验证和 Web 控制台 Operator 会连接到两个路由，以验证路由是否正常工作。如果您是集群管理员，且不想允许 *.apps.<cluster_name>.<base_domain>，则允许这些路由：

   • oauth-openshift.apps.<cluster_name>.<base_domain>
   • canary-openshift-ingress-canary.apps.<cluster_name>.<base_domain>
   • console-openshift-console.apps.<cluster_name>.<base_domain>，或在 consoles.operator/cluster 对象中的 spec.route.hostname 项指定的主机名（如果这个项不为空）。

6. 将以下 URL 列入允许的可选第三方内容：

   Expand

   URL	port	功能
   registry.connect.redhat.com	443	所有第三方镜像和认证操作器必填.
   rhc4tp-prod-z8cxf-image-registry-us-east-1-evenkyleffocxqvofrk.s3.dualstack.us-east-1.amazonaws.com	443	提供对托管在 registry.connect.redhat.com上的容器镜像的访问
   oso-rhc4tp-docker-registry.s3-us-west-2.amazonaws.com	443	对于 Sonatype Nexus, F5 Big IP operator 是必需的。

   Show more

7. 如果您使用默认的红帽网络时间协议(NTP)服务器允许以下 URL：

   • 1.rhel.pool.ntp.org
   • 2.rhel.pool.ntp.org
   • 3.rhel.pool.ntp.org

流程

1. 将代理 ISO 镜像转换为 OCI 镜像，将它上传到 OCI Home Region Bucket，然后将上传的镜像导入到 Compute Cloud@Customer 系统。具体步骤，请参阅 OpenShift Cluster Setup with Agent Based Installer on Compute Cloud@Customer (Oracle documentation) 中的 "Prepare the OpenShift Master Images"。
2. 在 Compute Cloud@Customer 上创建 control plane 实例。具体步骤，请参阅 OpenShift Cluster Setup with Agent Based Installer on Compute Cloud@Customer (Oracle documentation) 中的 "Create control plane instances on C3 and Master Node LB Backend Sets"。

3. 从集群拓扑提供的基础镜像创建计算实例。具体步骤，请参阅 OpenShift Cluster Setup with Agent Based Installer on Compute Cloud@Customer (Oracle documentation) 中的 "Add worker nodes"。

   重要

   在创建计算实例前，请检查您有足够的内存和磁盘资源。另外，请确保至少有一个计算实例与 agent-config.yaml 文件中 rendezvousIP 下声明的地址相同的 IP 地址。

1. 创建私有云设备资源和服务(Oracle)。
2. 为基于代理的安装程序准备配置文件(Red Hat)。
3. 生成代理 ISO 镜像（红帽）。
4. 将 ISO 镜像转换为 Oracle Cloud Infrastructure (OCI) 镜像，将其上传到 OCI Home Region Bucket，然后将上传的镜像导入到私有云设备系统 (Oracle)。
5. 断开连接的环境：准备可由 OCI 实例访问的 Web 服务器（红帽）。
6. 断开连接的环境：将 rootfs 镜像上传到 web 服务器（红帽）。
7. 为 OpenShift Container Platform 配置防火墙（红帽）。
8. 创建 control plane 节点并配置负载均衡器(Oracle)。
9. 创建计算节点并配置负载均衡器(Oracle)。
10. 验证集群是否在 OCI 上运行(Oracle)。

流程

1. 运行以下命令，创建一个安装目录来存储配置文件：

   $ mkdir ~/<directory_name>

   Copy to Clipboard Toggle word wrap

2. 配置 install-config.yaml 配置文件，以满足您的机构的需求，并将文件保存到您创建的目录中。

   设定外部平台的 install-config.yaml 文件

   # install-config.yaml
   apiVersion: v1
   baseDomain: <base_domain> 

   1

   
   networking:
     clusterNetwork:
     - cidr: 10.128.0.0/14
       hostPrefix: 23
     network type: OVNKubernetes
     machineNetwork:
     - cidr: <ip_address_from_cidr> 

   2

   
     serviceNetwork:
     - 172.30.0.0/16
   compute:
     - architecture: amd64 

   3

   
     hyperthreading: Enabled
     name: worker
     replicas: 0
   controlPlane:
     architecture: amd64 

   4

   
     hyperthreading: Enabled
     name: master
     replicas: 3
   platform:
      external:
       platformName: oci 

   5

   
       cloudControllerManager: External
   sshKey: <public_ssh_key> 

   6

   
   pullSecret: '<pull_secret>' 

   7

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   云供应商的基域。

   2

   CIDR 分配给网络上操作的资源和组件的虚拟网络 (VCN) 的 IP 地址。

   3 4

   根据您的基础架构，您可以选择 arm64 或 amd64。

   5

   将 OCI 设置为外部平台，以便 OpenShift Container Platform 能够与 OCI 集成。

   6

   指定 SSH 公钥。

   7

   为 OpenShift Container Platform 组件和服务（如 Quay.io）下载容器镜像时，您需要验证目的的 pull secret。请参阅通过 Red Hat Hybrid Cloud Console 安装 OpenShift Container Platform 4。

3. 在本地系统上创建一个名为 openshift 的目录。这必须是安装目录的子目录。

   重要

   不要将 install-config.yaml 或 agent-config.yaml 配置文件移到 openshift 目录中。

4. 配置 Oracle 自定义清单文件。

   1. 进入 OpenShift Cluster Setup with Agent Based Installer on Private Cloud Appliance (Oracle 文档) 中的 "Prepare the OpenShift Master Images" 部分。
   2. 将 oci-ccm.yml、oci-csi.yml 和 machineconfig-ccm.yml 文件复制到 openshift 目录中。
   3. 编辑 oci-ccm.yml 和 oci-csi.yml 文件，以指定比较 Oracle® 云标识符(OCID)、VCN OCID、负载均衡器中的子网 OCID 和 c3-cert.pem 部分。

5. 配置 agent-config.yaml 配置文件，以满足您的机构要求。

   IPv4 网络的 agent-config.yaml 文件示例。

   apiVersion: v1beta1
   metadata:
     name: <cluster_name> 

   1

   
     namespace: <cluster_namespace> 

   2

   
   rendezvousIP: <ip_address_from_CIDR> 

   3

   
   bootArtifactsBaseURL: <server_URL> 

   4

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   您在 DNS 记录中指定的集群名称。

   2

   OpenShift Container Platform 上集群的命名空间。

   3

   如果您使用 IPv4 作为网络 IP 地址格式，请确保将 rendezvousIP 参数设置为在网络上分配的 VCN 的无类别域间路由 (CIDR) 方法的 IPv4 地址。另外，请确保使用 ISO 引导的实例池中至少有一个实例与您为 rendezvousIP 参数设置的 IP 地址值匹配。

   4

   要上传 rootfs 镜像的服务器的 URL。这个参数只适用于断开连接的环境。

6. 通过在安装目录中输入以下命令来生成最小 ISO 镜像，它排除 rootfs 镜像：

   $ ./openshift-install agent create image --log-level debug

   Copy to Clipboard Toggle word wrap

   该命令还会完成以下操作：

   • 创建子目录 ./<installation_directory>/auth directory:：将 kubeadmin-password 和 kubeconfig 文件放在 子目录中。
   • 根据您在 agent-config.yaml 配置文件中指定的 IP 地址，创建一个 rendezvousIP 文件。

   • 可选：您对 agent-config.yaml 和 install-config.yaml 配置文件所做的任何修改都会导入到 Zero Touch Provisioning (ZTP)自定义资源。

     重要

     基于代理的安装程序使用 Red Hat Enterprise Linux CoreOS (RHCOS)。在后续步骤中提到的 rootfs 镜像是引导、恢复和修复您的操作系统所必需的。

7. 断开连接的环境：将 rootfs 镜像上传到 web 服务器。

   1. 进入创建最小 ISO 镜像时生成的 ./<installation_directory>/boot-artifacts 目录。

   2. 使用您首选的 Web 服务器，如任何 Hypertext 传输协议守护进程(httpd)，将 rootfs 镜像上传到 agent-config.yaml 文件的 bootArtifactsBaseURL 参数中指定的位置。

      例如，如果 bootArtifactsBaseURL 参数状态 http://192.168.122.20，您可以将生成的 rootfs 镜像上传到此位置，以便基于代理的安装程序可以从 http://192.168.122.20/agent.x86_64-rootfs.img 访问镜像。在基于代理的安装程序为外部平台引导最小 ISO 后，基于代理的安装程序将 rootfs 镜像从 http://192.168.122.20/agent.x86_64-rootfs.img 位置下载到系统内存中。

      注意

      基于代理的安装程序还将 bootArtifactsBaseURL 的值添加到最小 ISO 镜像的配置中，以便在 Operator 引导集群节点时，基于代理的安装程序会将 rootfs 镜像下载到系统内存中。

      重要

      考虑超过 1 GB 的完整 ISO 镜像包括 rootfs 镜像。镜像大于最小 ISO 镜像，该镜像通常小于 150 MB。

流程

1. 为您的防火墙的允许列表设置以下 registry URL：

   Expand

   URL	port	功能
   registry.redhat.io	443	提供核心容器镜像
   access.redhat.com	443	托管签名存储，容器客户端需要验证从 registry.access.redhat.com 中拉取的镜像。在防火墙环境中，确保此资源位于允许列表中。
   registry.access.redhat.com	443	托管存储在 Red Hat Ecosytem Catalog 中的所有容器镜像，包括核心容器镜像。
   quay.io	443	提供核心容器镜像
   cdn.quay.io	443	提供核心容器镜像
   cdn01.quay.io	443	提供核心容器镜像
   cdn02.quay.io	443	提供核心容器镜像
   cdn03.quay.io	443	提供核心容器镜像
   cdn04.quay.io	443	提供核心容器镜像
   cdn05.quay.io	443	提供核心容器镜像
   cdn06.quay.io	443	提供核心容器镜像
   sso.redhat.com	443	https://console.redhat.com 站点使用来自 sso.redhat.com 的身份验证
   icr.io	443	提供 IBM Cloud Pak 容器镜像。只有在使用 IBM Cloud Paks 时，才需要这个域。
   cp.icr.io	443	提供 IBM Cloud Pak 容器镜像。只有在使用 IBM Cloud Paks 时，才需要这个域。

   Show more
   • 您可以在 allowlist 中使用 wildcard () quay.io 而不是 cdn.quay.io 和 cdn0[1-6].quay.io。
   • 您可以使用通配符 *.access.redhat.com 来简化配置，并确保所有子域（包括 registry.access.redhat.com ）都被允许。
   • 在 allowlist 中添加站点（如 quay.io ）时，不要向 denylist 添加通配符条目，如 *.quay.io。在大多数情况下，镜像 registry 使用内容交付网络（CDN）来提供镜像。如果防火墙阻止访问，则初始下载请求重定向到一个主机名（如 cdn01.quay.io ）时，镜像下载将被拒绝。
2. 将防火墙的允许列表设置为包含为构建所需的语言或框架提供资源的任何站点。

3. 如果不禁用 Telemetry，您必须授予对以下 URL 的访问权限，以访问 Red Hat Insights：

   Expand

   URL	port	功能
   cert-api.access.redhat.com	443	Telemetry 所需
   api.access.redhat.com	443	Telemetry 所需
   infogw.api.openshift.com	443	Telemetry 所需
   console.redhat.com	443	Telemetry 和 insights-operator需要

   Show more

4. 如果使用 Alibaba Cloud、Amazon Web Services (AWS)、Microsoft Azure 或 Google Cloud Platform (GCP) 来托管您的集群，您必须授予对为该云提供云供应商 API 和 DNS 的 URL 的访问权限：

   Expand

   云	URL	port	功能
   Alibaba	*.aliyuncs.com	443	需要此项以访问 Alibaba Cloud 服务和资源。查看 Alibaba endpoint_config.go 文件，以查找您使用的区域所允许的确切端点。
   AWS	aws.amazon.com	443	用于在 AWS 环境中安装和管理集群。
   	*.amazonaws.com 另外，如果您选择不对 AWS API 使用通配符，则必须在允许列表中包含以下 URL：	443	需要此项以访问 AWS 服务和资源。请参阅 AWS 文档中的 AWS Service Endpoints，以查找您使用的区域所允许的确切端点。
   	ec2.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	events.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	iam.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	route53.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	*.s3.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	*.s3.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	*.s3.dualstack.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	sts.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	sts.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	tagging.us-east-1.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。此端点始终为 us-east-1，无论集群要部署到的区域。
   	ec2.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	elasticloadbalancing.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	servicequotas.<aws_region>.amazonaws.com	443	必需。用于确认用于部署该服务的配额。
   	tagging.<aws_region>.amazonaws.com	443	允许以标签的形式分配 AWS 资源的元数据。
   	*.cloudfront.net	443	用于提供对 CloudFront 的访问。如果使用 AWS 安全令牌服务(STS)和私有 S3 存储桶，您必须提供对 CloudFront 的访问。
   GCP	*.googleapis.com	443	需要此项以访问 GCP 服务和资源。请参阅 GCP 文档中的 Cloud Endpoints，以查找您的 API 允许的端点。
   	accounts.google.com	443	需要此项以访问您的 GCP 帐户。
   Microsoft Azure	management.azure.com	443	需要此项以访问 Microsoft Azure 服务和资源。请参阅 Microsoft Azure 文档中的 Microsoft Azure REST API 参考，以查找允许您 API 的端点。
   	*.blob.core.windows.net	443	需要下载 Ignition 文件。
   	login.microsoftonline.com	443	需要此项以访问 Microsoft Azure 服务和资源。请参阅 Microsoft Azure 文档中的 Azure REST API 参考，以查找您的 API 允许的端点。

   Show more

5. 将以下 URL 列入允许列表：

   Expand

   URL	port	功能
   *.apps.<cluster_name>.<base_domain>	443	需要此项以访问默认集群路由，除非您在安装过程中设置了入口通配符。
   api.openshift.com	443	集群令牌需要，并检查集群是否有可用的更新。
   console.redhat.com	443	集群令牌所需。
   mirror.openshift.com	443	需要此项以访问镜像安装内容和镜像。此站点也是发行版本镜像签名的来源，但 Cluster Version Operator 只需要一个可正常工作的源。
   quayio-production-s3.s3.amazonaws.com	443	需要此项以访问 AWS 中的 Quay 镜像内容。
   rhcos.mirror.openshift.com	443	下载 Red Hat Enterprise Linux CoreOS (RHCOS) 镜像需要此项。
   sso.redhat.com	443	https://console.redhat.com 站点使用来自 sso.redhat.com 的身份验证
   storage.googleapis.com/openshift-release	443	发行版本镜像签名源，但 Cluster Version Operator 只需要一个可正常工作的源。

   Show more

   Operator 需要路由访问权限来执行健康检查。特别是，身份验证和 Web 控制台 Operator 会连接到两个路由，以验证路由是否正常工作。如果您是集群管理员，且不想允许 *.apps.<cluster_name>.<base_domain>，则允许这些路由：

   • oauth-openshift.apps.<cluster_name>.<base_domain>
   • canary-openshift-ingress-canary.apps.<cluster_name>.<base_domain>
   • console-openshift-console.apps.<cluster_name>.<base_domain>，或在 consoles.operator/cluster 对象中的 spec.route.hostname 项指定的主机名（如果这个项不为空）。

6. 将以下 URL 列入允许的可选第三方内容：

   Expand

   URL	port	功能
   registry.connect.redhat.com	443	所有第三方镜像和认证操作器必填.
   rhc4tp-prod-z8cxf-image-registry-us-east-1-evenkyleffocxqvofrk.s3.dualstack.us-east-1.amazonaws.com	443	提供对托管在 registry.connect.redhat.com上的容器镜像的访问
   oso-rhc4tp-docker-registry.s3-us-west-2.amazonaws.com	443	对于 Sonatype Nexus, F5 Big IP operator 是必需的。

   Show more

7. 如果您使用默认的红帽网络时间协议(NTP)服务器允许以下 URL：

   • 1.rhel.pool.ntp.org
   • 2.rhel.pool.ntp.org
   • 3.rhel.pool.ntp.org

流程

1. 将代理 ISO 镜像转换为 OCI 镜像，将它上传到 OCI Home Region Bucket，然后将上传的镜像导入到 Private Cloud Appliance 系统。进入 OpenShift Cluster Setup with Agent Based Installer on Private Cloud Appliance (Oracle 文档) 中的 "Prepare the OpenShift Master Images" 部分。
2. 在私有云设备上创建 control plane 实例。具体步骤，请参阅 OpenShift Cluster Setup with Agent Based Installer on Private Cloud Appliance (Oracle documentation) 中的 "Create control plane instances on PCA and Master Node LB Backend Sets"。

3. 从集群拓扑提供的基础镜像创建计算实例。具体步骤，请参阅 OpenShift Cluster Setup with Agent Based Installer on Private Cloud Appliance (Oracle documentation) 中的 "Add worker nodes"。

   重要

   在创建计算实例前，请检查您有足够的内存和磁盘资源。另外，请确保至少有一个计算实例与 agent-config.yaml 文件中 rendezvousIP 下声明的地址相同的 IP 地址。

1. 准备 Compute Cloud@Customer bastion 服务器。
2. 通过 Home 区域运行 Terraform 脚本。
3. 为 Oracle Cloud Infrastructure (OCI) 准备 OpenShift Container Platform 镜像。
4. 通过 Compute Cloud@Customer 区域运行 Terraform 脚本。
5. 使用 Assisted Installer Web 控制台安装集群。

流程

1. 安装堡垒服务器。详情请查看 Oracle 文档中的 "安装"部分。
2. 安装用于运行 Terraform 脚本的 Terraform 应用程序。详情请查看 Oracle 文档中的 "Terraform Installation"部分。
3. 安装和配置 OCI 命令行界面(CLI)。详情请参阅 Oracle 文档中的 "安装和配置 OCI CLI"部分。

流程

1. 通过 SSH 连接到堡垒服务器。
2. 创建 OpenShift\createResourceOnHomeRegion 文件夹。
3. 将 createInfraResources.tf 和 terraform.tfvars 文件从 C3_PCA GitHub 存储库复制到 createResourceOnHomeRegion 文件夹中。
4. 确保您有权访问源环境，并且已导出了 C3 证书。
5. 运行 createInfraResources.tf Terraform 脚本。

流程

1. 通过 SSH 连接到堡垒服务器。
2. 设置 C3 证书位置并导出证书。
3. 运行 terraform.tfvars 脚本，以创建三个 control plane 节点和三个计算节点。
4. 更新 control plane 和计算节点的标签。
5. 在 Compute Cloud@Customer 门户上逐一停止并重启实例。