9.2. 限定 Operator 安装范围

流程

1. 新建命名空间：

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: Namespace
   metadata:
     name: scoped
   EOF

   Copy to Clipboard Toggle word wrap

2. 分配 Operator 的权限范围。这一步涉及新建服务账户、相关角色和角色绑定。

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: scoped
     namespace: scoped
   EOF

   Copy to Clipboard Toggle word wrap

   为简便起见，以下示例授予服务账户在指定命名空间进行任何操作的权限。在生产环境中，应创建更为精细的权限集：

   $ cat <<EOF | oc create -f -
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: scoped
     namespace: scoped
   rules:
   - apiGroups: ["*"]
     resources: ["*"]
     verbs: ["*"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: scoped-bindings
     namespace: scoped
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: scoped
   subjects:
   - kind: ServiceAccount
     name: scoped
     namespace: scoped
   EOF

   Copy to Clipboard Toggle word wrap

3. 在指定的命名空间中创建一个 OperatorGroup。该 OperatorGroup 以指定的命名空间为目标，以确保其租期仅限于相应命名空间。另外，OperatorGroup 还允许用户指定服务账户。指定上一步创建的 ServiceAccount：

   $ cat <<EOF | oc create -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: scoped
     namespace: scoped
   spec:
     serviceAccountName: scoped
     targetNamespaces:
     - scoped
   EOF

   Copy to Clipboard Toggle word wrap

   在指定命名空间中安装的任何 Operator 均会关联至该 OperatorGroup，因此也会关联至指定的服务账户。

4. 在指定命名空间中创建订阅以安装 Operator：

   $ cat <<EOF | oc create -f -
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: etcd
     namespace: scoped
   spec:
     channel: singlenamespace-alpha
     name: etcd
     source: <catalog_source_name> 

   1

   
     sourceNamespace: <catalog_source_namespace> 

   2

   
   EOF

   Copy to Clipboard Toggle word wrap

   1

   指定一个已存在于指定命名空间中或位于全局目录命名空间中的 CatalogSource。

   2

   指定创建 CatalogSource 的 CatalogSourceNamespace。

   与该 OperatorGroup 相关联的所有 Operator 已被限制在指定服务账户获得的权限范围内。如果 Operator 请求的权限超出服务账户范围，安装将会失败，并将显示相应错误。