2.3. OperatorGroup

OperatorGroup 是一个 OLM 资源，为 OLM 安装的 Operator 提供多租户配置。OperatorGroup 选择一组目标命名空间，在其中为其成员 Operator 生成所需的 RBAC 访问权限。

这一组目标命名空间通过存储在 ClusterServiceVersion (CSV) 的 olm.targetNamespaces 注解中的以逗号分隔的字符串来提供。该注解应用于成员 Operator 的 CSV 实例，并注入它们的部署中。

满足以下任一条件，Operator 即可被视为 OperatorGroup 的 member：

InstallMode 由 InstallModeType 字段和 Supported 布尔字段组成。CSV 的 spec 可包含由四个不同 InstallModeType 组成的 InstallMode 集：

使用带有 spec.selector 字段的标签选择器为 OperatorGroup 指定命名空间集：

apiVersion: operators.coreos.com/v1
kind: OperatorGroup
metadata:
  name: my-group
  namespace: my-namespace
  spec:
    selector:
      matchLabels:
        cool.io/prod: "true"

您还可使用 spec.targetNamespaces 字段显式命名目标命名空间：

apiVersion: operators.coreos.com/v1
kind: OperatorGroup
metadata:
  name: my-group
  namespace: my-namespace
spec:
  targetNamespaces:
  - my-namespace
  - my-other-namespace
  - my-other-other-namespace

另外，您还可省略 spec.selector 和 spec.targetNamespaces，以指定选择所有命名空间的全局 OperatorGroup：

apiVersion: operators.coreos.com/v1
kind: OperatorGroup
metadata:
  name: my-group
  namespace: my-namespace

选定命名空间的解析集会显示在 OperatorGroup 的 status.namespaces 字段中。全局 OperatorGroup 的 status.namespace 包含空字符串 ("")，而该字符串会向正在使用的 Operator 发出信号，要求其监视所有命名空间。

OperatorGroup 的成员 CSV 附有以下注解：

olm.providedAPIs 注解中会显示有关 OperatorGroup 提供了哪些 GroupVersionKinds (GVK) 的信息。该注解值为一个字符串，由用逗号分隔的 <kind>.<version>.<group> 组成。其中包括由 OperatorGroup 的所有活跃成员 CSV 提供的 CRD 和 APIService 的 GVK。

查看以下 OperatorGroup 示例，该 OperatorGroup 带有提供 PackageManifest 资源的单个活跃成员 CSV：

apiVersion: operators.coreos.com/v1
kind: OperatorGroup
metadata:
  annotations:
    olm.providedAPIs: PackageManifest.v1alpha1.packages.apps.redhat.com
  name: olm-operators
  namespace: local
  ...
spec:
  selector: {}
  serviceAccount:
    metadata:
      creationTimestamp: null
  targetNamespaces:
  - local
status:
  lastUpdated: 2019-02-19T16:18:28Z
  namespaces:
  - local

创建 OperatorGroup 时，会生成三个 ClusterRole。每个 ClusterRole 均包含一个 AggregationRule，后者设置了 ClusterRoleSelector 以匹配标签，如下所示：

当 CSV 成为 OperatorGroup 的活跃成员时，只要该 CSV 正在使用 AllNamespaces InstallMode 来监视所有命名空间，且没有因 InterOperatorGroupOwnerConflict 原因处于故障状态，便会生成以下 RBAC 资源。

OLM 会在每个 OperatorGroup 的目标命名空间中复制 OperatorGroup 的所有活跃成员 CSV。复制 CSV 的目的在于告诉目标命名空间的用户，特定 Operator 已配置为监视在此创建的资源。复制的 CSV 会复制状态原因，并会更新以匹配其源 CSV 的状态。在集群上创建复制的 CSV 之前，会从这些 CSV 中分离 olm.targetNamespaces 注解。省略目标命名空间选择可避免租户之间存在目标命名空间重复的现象。当所复制的 CSV 的源 CSV 不存在或其源 CSV 所属的 OperatorGroup 不再指向复制的 CSV 命名空间时，将会删除复制的 CSV。

如果 OperatorGroup 的 spec.staticProvidedAPIs 字段设置为 true，则该 OperatorGroup 为静态。这样 OLM 就不会修改 OperatorGroup 的 olm.providedAPIs 注解，因此可以提前设置该注解。如果一组命名空间没有活跃的成员 CSV 来为资源提供 API，而用户想使用 OperatorGroup 来防止命名空间集中发生资源争用，则这一操作十分有用。

下面提供一个使用 something.cool.io/cluster-monitoring: "true" 注解来保护所有命名空间中 Prometheus 资源的 OperatorGroup 的示例：

apiVersion: operators.coreos.com/v1
kind: OperatorGroup
metadata:
  name: cluster-monitoring
  namespace: cluster-monitoring
  annotations:
    olm.providedAPIs: Alertmanager.v1.monitoring.coreos.com,Prometheus.v1.monitoring.coreos.com,PrometheusRule.v1.monitoring.coreos.com,ServiceMonitor.v1.monitoring.coreos.com
spec:
  staticProvidedAPIs: true
  selector:
    matchLabels:
      something.cool.io/cluster-monitoring: "true"

如果两个 OperatorGroup 的目标命名空间集的交集不是空集，且根据 olm.providedAPIs 注解的定义，所提供的 API 集的交集也不是空集，则称这两个 OperatorGroup 的提供的 API 有交集。

一个潜在问题是，提供的 API 有交集的 OperatorGroup 可能在命名空间交集中竞争相同资源。

交集规则

每次活跃成员 CSV 同步时，OLM 均会查询集群，以获取 CSV 的 OperatorGroup 和其他所有 OperatorGroup 之间在所提供的 API 方面的交集。然后 OLM 会检查该交集是否为空集：

每次 OperatorGroup 同步时均会执行以下操作：

成员资格