第 7 章 用户置备的基础架构

流程

1. 确保机器上具有集群的 kubeconfig 文件，以及用于安装集群的安装程序。若要实现这一目标，一种方法是使用安装集群时所用的同一台机器。
2. 配置机器，以访问您计划用作计算机器的所有 RHEL 主机。您可以使用公司允许的任何方法，包括使用 SSH 代理或 VPN 的堡垒主机。

3. 在运行 playbook 的机器上配置一个用户，该用户对所有 RHEL 主机具有 SSH 访问权限。

   重要

   如果使用基于 SSH 密钥的身份验证，您必须使用 SSH 代理来管理密钥。

4. 如果还没有这样做，请使用 RHSM 注册机器，并为它附加一个带有 OpenShift 订阅的池：

   1. 使用 RHSM 注册机器：

      # subscription-manager register --username=<user_name> --password=<password>

   2. 从 RHSM 获取最新的订阅数据：

      # subscription-manager refresh

   3. 列出可用的订阅：

      # subscription-manager list --available --matches '*OpenShift*'

   4. 在上一命令的输出中，找到 OpenShift Container Platform 订阅的池 ID 并附加该池：

      # subscription-manager attach --pool=<pool_id>

5. 启用 OpenShift Container Platform 4.3 所需的存储库：

   # subscription-manager repos \
       --enable="rhel-7-server-rpms" \
       --enable="rhel-7-server-extras-rpms" \
       --enable="rhel-7-server-ansible-2.8-rpms" \
       --enable="rhel-7-server-ose-4.3-rpms"

6. 安装所需的软件包，包括 openshift-ansible:

   # yum install openshift-ansible openshift-clients jq

   openshift-ansible 软件包提供了安装实用程序，并且会拉取将 RHEL 计算节点添加到集群所需要的其他软件包，如 Ansible、playbook 和相关的配置文件。openshift-clients 提供 oc CLI，jq 软件包则可改善命令行中 JSON 输出的显示。

1. 在每一主机上进行 RHSM 注册：

   # subscription-manager register --username=<user_name> --password=<password>

2. 从 RHSM 获取最新的订阅数据：

   # subscription-manager refresh

3. 列出可用的订阅：

   # subscription-manager list --available --matches '*OpenShift*'

4. 在上一命令的输出中，找到 OpenShift Container Platform 订阅的池 ID 并附加该池：

   # subscription-manager attach --pool=<pool_id>

5. 禁用所有 yum 存储库：

   1. 禁用所有已启用的 RHSM 存储库：

      # subscription-manager repos --disable="*"

   2. 列出剩余的 yum 存储库，并记录它们在 repo id 下的名称（若有）：

      # yum repolist

   3. 使用 yum-config-manager 禁用剩余的 yum 存储库：

      # yum-config-manager --disable <repo_id>

      或者，禁用所有存储库：

       yum-config-manager --disable \*

      请注意，有大量可用存储库时可能需要花费几分钟

6. 仅启用 OpenShift Container Platform 4.3 需要的存储库：

   # subscription-manager repos \
       --enable="rhel-7-server-rpms" \
       --enable="rhel-7-server-extras-rpms" \
       --enable="rhel-7-server-ose-4.3-rpms"

7. 停止并禁用主机上的防火墙：

   # systemctl disable --now firewalld.service

   注意

   请不要在以后启用防火墙。如果这样做，则无法访问 worker 上的 OpenShift Container Platform 日志。

1. 创建一个名为 /<path>/inventory/hosts 的 Ansible 清单文件，以定义您的计算机器主机和必要的变量：

   [all:vars]
   ansible_user=root 1
   #ansible_become=True 2
   
   openshift_kubeconfig_path="~/.kube/config" 3
   
   [new_workers] 4
   mycluster-rhel7-0.example.com
   mycluster-rhel7-1.example.com

   1

   指定要在远程计算机器上运行 Ansible 任务的用户名。

   2

   如果不将 root 指定为 ansible_user，您必须将 ansible_become 设置为 True，并为该用户分配 sudo 权限。

   3

   指定集群的 kubeconfig 文件的路径和文件名。

   4

   列出要添加到集群中的每台 RHEL 机器。必须为每个主机提供完全限定域名。此名称是集群用来访问机器的主机名，因此请设置用于访问该机器的正确公用或私有名称。

2. 运行 playbook：

   $ cd /usr/share/ansible/openshift-ansible
   $ ansible-playbook -i /<path>/inventory/hosts playbooks/scaleup.yml 1

   1

   对于 <path>，指定您创建的 Ansible 清单文件的路径。

流程

1. 确认集群可以识别这些机器：

   $ oc get nodes
   
   NAME      STATUS    ROLES   AGE  VERSION
   master-0  Ready     master  63m  v1.16.2
   master-1  Ready     master  63m  v1.16.2
   master-2  Ready     master  64m  v1.16.2
   worker-0  NotReady  worker  76s  v1.16.2
   worker-1  NotReady  worker  70s  v1.16.2

   输出将列出您创建的所有机器。

2. 检查待处理的 CSR，并确保添加到集群中的每台机器都有 Pending 或 Approved 状态的客户端和服务器请求：

   $ oc get csr
   
   NAME        AGE     REQUESTOR                                                                   CONDITION
   csr-8b2br   15m     system:serviceaccount:openshift-machine-config-operator:node-bootstrapper   Pending 1
   csr-8vnps   15m     system:serviceaccount:openshift-machine-config-operator:node-bootstrapper   Pending
   csr-bfd72   5m26s   system:node:ip-10-0-50-126.us-east-2.compute.internal                       Pending 2
   csr-c57lv   5m26s   system:node:ip-10-0-95-157.us-east-2.compute.internal                       Pending
   ...

   1

   客户端请求 CSR。

   2

   服务器请求 CSR。

   在本例中，两台机器加入了集群。您可能会在列表中看到更多已批准的 CSR。

3. 如果 CSR 没有获得批准，请在所添加机器的所有待处理 CSR 都处于 Pending 状态后，为您的集群机器批准这些 CSR：

   注意

   由于 CSR 会自动轮转，因此请在将机器添加到集群后一小时内批准您的 CSR。如果没有在一小时内批准，证书将会轮转，每个节点将会存在多个证书。您必须批准所有这些证书。批准初始 CSR 后，集群的 kube-controller-manager 会自动批准后续的节点客户端 CSR。您必须实施一个方法来自动批准 kubelet 提供的证书请求。

   • 若要单独批准，请对每个有效的 CSR 运行以下命令：

     $ oc adm certificate approve <csr_name> 1

     1

     <csr_name> 是当前 CSR 列表中 CSR 的名称。

   • 要批准所有待处理的 CSR，请运行以下命令：

     $ oc get csr -o go-template='{{range .items}}{{if not .status}}{{.metadata.name}}{{"\n"}}{{end}}{{end}}' | xargs oc adm certificate approve