10.7. 为 Zero Trust Workload Identity Manager 启用 create-only 模式
通过启用 create-only
模式,您可以暂停 Operator 协调,这允许您在没有控制器覆盖更改的情况下执行手动配置或调试。这可以通过注解由 Operator 管理的 API 资源来完成。以下是使用 create-only
模式时的示例:
需要手动自定义 :您需要使用与 Operator 默认值不同的特定配置自定义 Operator 管理的资源(ConfigMap、Deployment、DaemonSet 等)
第 2 天操作 :在初始部署后,您要防止 Operator 在后续协调周期期间覆盖其手动更改
配置 Drift Prevention :您希望保持对某些资源配置的控制,同时仍然受益于 Operator 的生命周期管理
10.7.1. 通过注解暂停 Operator 协调 复制链接链接已复制到粘贴板!
通过注解协调支持 SpireServer
、SpireAgent
、SpiffeCSIDriver
、SpireOIDCDiscoveryProvider
和 ZeroTrustWorkloadIdentityManager
自定义资源。您可以通过添加注解来暂停协调过程。
先决条件
- 您已在机器上安装 Zero Trust Workload Identity Manager。
- 已安装 SPIRE 服务器、代理、SPIFFE Container Storage Interface (CSI) 和 OpenID Connect (OIDC) 发现提供程序,并处于 running 状态。
流程
要暂停协调
SpireServer
自定义资源,运行以下命令为命名的cluster
添加create-only
注解:oc annotate SpireServer cluster -n zero-trust-workload-identity-manager ztwim.openshift.io/create-only=true
$ oc annotate SpireServer cluster -n zero-trust-workload-identity-manager ztwim.openshift.io/create-only=true
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
验证
检查
SpireServer
资源的状态,以确认create-only
模式处于活动状态。status
必须为true
,reason
必须是CreateOnlyModeEnabled
。oc get SpireServer cluster -o yaml
$ oc get SpireServer cluster -o yaml
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
输出示例
10.7.2. 通过注解恢复 Operator 协调 复制链接链接已复制到粘贴板!
流程
按照以下步骤重启协调过程:
运行
oc annotate
命令,在注解名称的末尾添加一个连字符(-
)。这会从集群资源中删除注解。oc annotate SpireServer cluster -n zero-trust-workload-identity-manager ztwim.openshift.io/create-only-
$ oc annotate SpireServer cluster -n zero-trust-workload-identity-manager ztwim.openshift.io/create-only-
Copy to Clipboard Copied! Toggle word wrap Toggle overflow 运行以下命令重启控制器:
oc rollout restart deploy/zero-trust-workload-identity-manager-controller-manager -n zero-trust-workload-identity-manager
$ oc rollout restart deploy/zero-trust-workload-identity-manager-controller-manager -n zero-trust-workload-identity-manager
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
验证
检查
SpireServer
资源的状态,以确认create-only
模式已被禁用。status
需要是false
,reason
是CreateOnlyModeDisabled
。oc get SpireServer cluster -o yaml
$ oc get SpireServer cluster -o yaml
Copy to Clipboard Copied! Toggle word wrap Toggle overflow
输出示例
在启用了 create-only
模式后,它将保留,直到 Operator pod 重启为止,即使注解已被删除。要退出此模式,您可能需要删除或取消设置注解并重启 Operator pod。