Operator

流程

1. 针对此流程在 OpenShift Container Platform Web 控制台中新建一个项目。这个示例使用名为 my-etcd 的项目。

2. 导航至 Operators → Installed Operators 页面。由集群管理员安装到集群且可供使用的 Operator 将以集群服务版本（CSV）列表形式显示在此处。CSV 用于启动和管理由 Operator 提供的软件。

   提示

   使用以下命令从 CLI 获得该列表：

   $ oc get csv

3. 在 Installed Operators 页面中，点 etcd Operator 查看更多详情和可用操作。

   正如 Provided API 下所示，该 Operator 提供了三类新资源，包括一种用于 etcd Cluster 的资源（EtcdCluster 资源）。这些对象的工作方式与内置的原生 Kubernetes 对象（如 Deployment 或 ReplicaSet ）相似，但包含特定于管理 etcd 的逻辑。

4. 新建 etcd 集群：

   1. 在 etcd Cluster API 框中，点 Create instance。
   2. 在下一页上，您可对 EtcdCluster 对象的最小起始模板进行任何修改，比如集群大小。现在，点击 Create 即可完成。点击后即可触发 Operator 启动 pod、服务和新 etcd 集群的其他组件。

5. 点 example etcd 集群，然后点 Resources 选项卡，您可以看到项目现在包含很多由 Operator 自动创建和配置的资源。

   验证已创建了支持您从项目中的其他 pod 访问数据库的 Kubernetes 服务。

6. 给定项目中具有 edit 角色的所有用户均可创建、管理和删除应用程序实例（本例中为 etcd 集群），这些实例由已在项目中创建的 Operator 以自助方式管理，就像云服务一样。如果要赋予其他用户这一权利，项目管理员可使用以下命令添加角色：

   $ oc policy add-role-to-user edit <user> -n <target_project>

流程

1. 在 Web 控制台中导航至 Operators → OperatorHub 页面。

2. 找到您需要的 Operator（滚动页面会在 Filter by keyword 框中输入查找关键字）。例如，输入 advanced 来查找 Advanced Cluster Management for Kubernetes Operator。

   您还可以根据基础架构功能过滤选项。例如，如果您希望 Operator 在断开连接的环境中工作，请选择 Disconnected。

3. 选择要显示更多信息的 Operator。

   注意

   选择 Community Operator 会警告红帽没有认证社区 Operator ; 您必须确认该警告方可继续。

4. 阅读 Operator 信息并单击 Install。

5. 在 Install Operator 页面中：

   1. 选择要在其中安装 Operator 的特定单一命名空间。该 Operator 仅限在该单一命名空间中监视和使用。
   2. 选择一个更新频道（如有多个可用）。
   3. 如前面所述，选择自动或手动批准策略。

6. 点击 Install 使 Operator 可供 OpenShift Container Platform 集群上的所选命名空间使用。

   1. 如果选择了手动批准策略，订阅的升级状态将保持在 Upgrading 状态，直至您审核并批准安装计划。

      在 Install Plan 页面批准后，订阅的升级状态将变为 Up to date。

   2. 如果选择了 Automatic 批准策略，升级状态会在不用人工参与的情况下变为 Up to date。

7. 在订阅的升级状态成为 Up to date 后，选择 Operators → Installed Operators 来验证已安装 Operator 的 ClusterServiceVersion（CSV）是否最终出现了。状态最终会在相关命名空间中变为 InstallSucceeded。

   注意

   对于 All namespaces…​ 安装模式，状态在 openshift-operators 命名空间中解析为 InstallSucceeded，但如果检查其他命名空间，则状态为 Copied。

   如果没有：

   1. 检查 openshift-operators 项目（如果选择了 A specific namespace…​ 安装模式）中的 openshift-operators 项目中的 pod 的日志，这会在 Workloads → Pods 页面中报告问题以便进一步排除故障。

流程

1. 查看 OperatorHub 中集群可用的 Operator 列表：

   $ oc get packagemanifests -n openshift-marketplace

   输出示例

   NAME                               CATALOG               AGE
   3scale-operator                    Red Hat Operators     91m
   advanced-cluster-management        Red Hat Operators     91m
   amq7-cert-manager                  Red Hat Operators     91m
   ...
   couchbase-enterprise-certified     Certified Operators   91m
   crunchy-postgres-operator          Certified Operators   91m
   mongodb-enterprise                 Certified Operators   91m
   ...
   etcd                               Community Operators   91m
   jaeger                             Community Operators   91m
   kubefed                            Community Operators   91m
   ...

   记录下所需 Operator 的目录。

2. 检查所需 Operator，以验证其支持的安装模式和可用频道：

   $ oc describe packagemanifests <operator_name> -n openshift-marketplace

3. 一个 Operator 组（由 OperatorGroup 对象定义），在其中选择目标命名空间，在其中为与 Operator 组相同的命名空间中的所有 Operator 生成所需的 RBAC 访问权限。

   订阅 Operator 的命名空间必须具有与 Operator 的安装模式相匹配的 Operator 组，可采用 AllNamespaces 模式，也可采用 SingleNamespace 模式。如果您要使用 AllNamespaces 安装 Operator，则 openshift-operators 命名空间已有适当的 Operator 组。

   如果要安装的 Operator 采用 SingleNamespace 模式，而您没有适当的 Operator 组，则必须创建一个。

   注意

   在选择 SingleNamespace 模式时，该流程的 Web 控制台版本会在后台自动为您处理 OperatorGroup 和 Subscription 对象的创建。

   1. 创建 OperatorGroup 对象 YAML 文件，如 operatorgroup.yaml：

      OperatorGroup 对象示例

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: <operatorgroup_name>
        namespace: <namespace>
      spec:
        targetNamespaces:
        - <namespace>

   2. 创建 OperatorGroup 对象：

      $ oc apply -f operatorgroup.yaml

4. 创建一个 Subscription 对象 YAML 文件，以便为 Operator 订阅一个命名空间，如 sub.yaml：

   Subscription 对象示例

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: <subscription_name>
     namespace: openshift-operators 1
   spec:
     channel: <channel_name> 2
     name: <operator_name> 3
     source: redhat-operators 4
     sourceNamespace: openshift-marketplace 5
     config:
       env: 6
       - name: ARGS
         value: "-v=10"
       envFrom: 7
       - secretRef:
           name: license-secret
       volumes: 8
       - name: <volume_name>
         configMap:
           name: <configmap_name>
       volumeMounts: 9
       - mountPath: <directory_name>
         name: <volume_name>
       tolerations: 10
       - operator: "Exists"
       resources: 11
         requests:
           memory: "64Mi"
           cpu: "250m"
         limits:
           memory: "128Mi"
           cpu: "500m"
       nodeSelector: 12
         foo: bar

   1

   对于 AllNamespaces 安装模式的使用，指定 openshift-operators 命名空间。否则，为 SingleNamespace 安装模式使用指定相关单一命名空间。

   2

   要订阅的频道的名称。

   3

   要订阅的 Operator 的名称。

   4

   提供 Operator 的目录源的名称。

   5

   目录源的命名空间。将 openshift-marketplace 用于默认的 OperatorHub 目录源。

   6

   env 参数定义必须存在于由 OLM 创建的 pod 中所有容器中的环境变量列表。

   7

   envFrom 参数定义要在容器中填充环境变量的源列表。

   8

   volumes 参数定义 OLM 创建的 pod 上必须存在的卷列表。

   9

   volumeMounts 参数定义由 OLM 创建的 pod 中必须存在的 VolumeMounts 列表。如果 volumeMount 引用不存在的 卷，OLM 无法部署 Operator。

   10

   tolerations 参数为 OLM 创建的 pod 定义 Tolerations 列表。

   11

   resources 参数为 OLM 创建的 pod 中所有容器定义资源限制。

   12

   nodeSelector 参数为 OLM 创建的 pod 定义 NodeSelector。

5. 创建 Subscription 对象：

   $ oc apply -f sub.yaml

   此时，OLM 已了解所选的 Operator。Operator 的集群服务版本（CSV）应出现在目标命名空间中，由 Operator 提供的 API 应可用于创建。

流程

1. 通过设置 startingCSV 字段，创建一个 Subscription 对象 YAML 文件，向带有特定版本的 Operator 订阅一个命名空间。将 installPlanApproval 字段设置为 Manual，以便在目录中存在更新的版本时防止 Operator 自动升级。

   例如，可以使用以下 sub.yaml 文件安装 Red Hat Quay Operator，专门用于版本 3.4.0：

   带有特定起始 Operator 版本的订阅

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: quay-operator
     namespace: quay
   spec:
     channel: quay-v3.4
     installPlanApproval: Manual 1
     name: quay-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: quay-operator.v3.4.0 2

   1

   如果您指定的版本会被目录中的更新版本取代，则将批准策略设置为 Manual。此计划阻止自动升级到更新的版本，且需要在启动 CSV 可以完成安装前手动批准。

   2

   设置 Operator CSV 的特定版本。

2. 创建 Subscription 对象：

   $ oc apply -f sub.yaml

3. 手动批准待处理的安装计划以完成 Operator 安装。

流程

1. 在 Web 控制台中导航至 Operators → OperatorHub 页面。

2. 找到您需要的 Operator（滚动页面会在 Filter by keyword 框中输入查找关键字）。例如，输入 advanced 来查找 Advanced Cluster Management for Kubernetes Operator。

   您还可以根据基础架构功能过滤选项。例如，如果您希望 Operator 在断开连接的环境中工作，请选择 Disconnected。

3. 选择要显示更多信息的 Operator。

   注意

   选择 Community Operator 会警告红帽没有认证社区 Operator ; 您必须确认该警告方可继续。

4. 阅读 Operator 信息并单击 Install。

5. 在 Install Operator 页面中：

   1. 任选以下一项：

      • All namespaces on the cluster (default)，选择该项会将 Operator 安装至默认 openshift-operators 命名空间，以便供集群中的所有命名空间监视和使用。该选项并非始终可用。
      • A specific namespace on the cluster，该项支持您选择单一特定命名空间来安装 Operator。该 Operator 仅限在该单一命名空间中监视和使用。
   2. 选择要在其中安装 Operator 的特定单一命名空间。该 Operator 仅限在该单一命名空间中监视和使用。
   3. 选择一个更新频道（如有多个可用）。
   4. 如前面所述，选择自动或手动批准策略。

6. 点击 Install 使 Operator 可供 OpenShift Container Platform 集群上的所选命名空间使用。

   1. 如果选择了手动批准策略，订阅的升级状态将保持在 Upgrading 状态，直至您审核并批准安装计划。

      在 Install Plan 页面批准后，订阅的升级状态将变为 Up to date。

   2. 如果选择了 Automatic 批准策略，升级状态会在不用人工参与的情况下变为 Up to date。

7. 在订阅的升级状态成为 Up to date 后，选择 Operators → Installed Operators 来验证已安装 Operator 的 ClusterServiceVersion（CSV）是否最终出现了。状态最终会在相关命名空间中变为 InstallSucceeded。

   注意

   对于 All namespaces…​ 安装模式，状态在 openshift-operators 命名空间中解析为 InstallSucceeded，但如果检查其他命名空间，则状态为 Copied。

   如果没有：

   1. 检查 openshift-operators 项目（如果选择了 A specific namespace…​ 安装模式）中的 openshift-operators 项目中的 pod 的日志，这会在 Workloads → Pods 页面中报告问题以便进一步排除故障。

流程

1. 查看 OperatorHub 中集群可用的 Operator 列表：

   $ oc get packagemanifests -n openshift-marketplace

   输出示例

   NAME                               CATALOG               AGE
   3scale-operator                    Red Hat Operators     91m
   advanced-cluster-management        Red Hat Operators     91m
   amq7-cert-manager                  Red Hat Operators     91m
   ...
   couchbase-enterprise-certified     Certified Operators   91m
   crunchy-postgres-operator          Certified Operators   91m
   mongodb-enterprise                 Certified Operators   91m
   ...
   etcd                               Community Operators   91m
   jaeger                             Community Operators   91m
   kubefed                            Community Operators   91m
   ...

   记录下所需 Operator 的目录。

2. 检查所需 Operator，以验证其支持的安装模式和可用频道：

   $ oc describe packagemanifests <operator_name> -n openshift-marketplace

3. 一个 Operator 组（由 OperatorGroup 对象定义），在其中选择目标命名空间，在其中为与 Operator 组相同的命名空间中的所有 Operator 生成所需的 RBAC 访问权限。

   订阅 Operator 的命名空间必须具有与 Operator 的安装模式相匹配的 Operator 组，可采用 AllNamespaces 模式，也可采用 SingleNamespace 模式。如果您要使用 AllNamespaces 安装 Operator，则 openshift-operators 命名空间已有适当的 Operator 组。

   如果要安装的 Operator 采用 SingleNamespace 模式，而您没有适当的 Operator 组，则必须创建一个。

   注意

   在选择 SingleNamespace 模式时，该流程的 Web 控制台版本会在后台自动为您处理 OperatorGroup 和 Subscription 对象的创建。

   1. 创建 OperatorGroup 对象 YAML 文件，如 operatorgroup.yaml：

      OperatorGroup 对象示例

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: <operatorgroup_name>
        namespace: <namespace>
      spec:
        targetNamespaces:
        - <namespace>

   2. 创建 OperatorGroup 对象：

      $ oc apply -f operatorgroup.yaml

4. 创建一个 Subscription 对象 YAML 文件，以便为 Operator 订阅一个命名空间，如 sub.yaml：

   Subscription 对象示例

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: <subscription_name>
     namespace: openshift-operators 1
   spec:
     channel: <channel_name> 2
     name: <operator_name> 3
     source: redhat-operators 4
     sourceNamespace: openshift-marketplace 5
     config:
       env: 6
       - name: ARGS
         value: "-v=10"
       envFrom: 7
       - secretRef:
           name: license-secret
       volumes: 8
       - name: <volume_name>
         configMap:
           name: <configmap_name>
       volumeMounts: 9
       - mountPath: <directory_name>
         name: <volume_name>
       tolerations: 10
       - operator: "Exists"
       resources: 11
         requests:
           memory: "64Mi"
           cpu: "250m"
         limits:
           memory: "128Mi"
           cpu: "500m"
       nodeSelector: 12
         foo: bar

   1

   对于 AllNamespaces 安装模式的使用，指定 openshift-operators 命名空间。否则，为 SingleNamespace 安装模式使用指定相关单一命名空间。

   2

   要订阅的频道的名称。

   3

   要订阅的 Operator 的名称。

   4

   提供 Operator 的目录源的名称。

   5

   目录源的命名空间。将 openshift-marketplace 用于默认的 OperatorHub 目录源。

   6

   env 参数定义必须存在于由 OLM 创建的 pod 中所有容器中的环境变量列表。

   7

   envFrom 参数定义要在容器中填充环境变量的源列表。

   8

   volumes 参数定义 OLM 创建的 pod 上必须存在的卷列表。

   9

   volumeMounts 参数定义由 OLM 创建的 pod 中必须存在的 VolumeMounts 列表。如果 volumeMount 引用不存在的 卷，OLM 无法部署 Operator。

   10

   tolerations 参数为 OLM 创建的 pod 定义 Tolerations 列表。

   11

   resources 参数为 OLM 创建的 pod 中所有容器定义资源限制。

   12

   nodeSelector 参数为 OLM 创建的 pod 定义 NodeSelector。

5. 创建 Subscription 对象：

   $ oc apply -f sub.yaml

   此时，OLM 已了解所选的 Operator。Operator 的集群服务版本（CSV）应出现在目标命名空间中，由 Operator 提供的 API 应可用于创建。

流程

1. 通过设置 startingCSV 字段，创建一个 Subscription 对象 YAML 文件，向带有特定版本的 Operator 订阅一个命名空间。将 installPlanApproval 字段设置为 Manual，以便在目录中存在更新的版本时防止 Operator 自动升级。

   例如，可以使用以下 sub.yaml 文件安装 Red Hat Quay Operator，专门用于版本 3.4.0：

   带有特定起始 Operator 版本的订阅

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: quay-operator
     namespace: quay
   spec:
     channel: quay-v3.4
     installPlanApproval: Manual 1
     name: quay-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: quay-operator.v3.4.0 2

   1

   如果您指定的版本会被目录中的更新版本取代，则将批准策略设置为 Manual。此计划阻止自动升级到更新的版本，且需要在启动 CSV 可以完成安装前手动批准。

   2

   设置 Operator CSV 的特定版本。

2. 创建 Subscription 对象：

   $ oc apply -f sub.yaml

3. 手动批准待处理的安装计划以完成 Operator 安装。

1. 根据您的要求，确定 pod 的目标节点或一组节点。如果可用，请注意现有标签，如 node-role.kubernetes.io/app，用于标识节点。否则，使用机器集或直接编辑节点来添加标签，如 myoperator。您将在以后的步骤中使用此标签作为项目上的节点选择器。
2. 如果要确保只有具有特定标签的 pod 才能在节点上运行，同时将不相关的工作负载加载到其他节点，通过使用机器集或直接编辑节点为节点添加污点。使用一个效果来确保与污点不匹配的新 pod 不能调度到节点上。例如，myoperator:NoSchedule 污点确保与污点不匹配的新 pod 不能调度到该节点上，但节点上现有的 pod 可以保留。
3. 创建使用默认节点选择器配置的项目，如果您添加了污点，则创建一个匹配的容限。

流程

1. 在 web 控制台的 Administrator 视角中，导航到 Operators → Installed Operators。
2. 点击您要更改更新频道的 Operator 名称。
3. 点 Subscription 标签页。
4. 点 Channel 中的更新频道的名称。
5. 点要更改的更新频道，然后点 Save。

6. 对于带有 自动批准策略 的订阅，更新会自动开始。返回到 Operators → Installed Operators 页面，以监控更新的进度。完成后，状态会变为 Succeeded 和 Up to date。

   对于采用手动批准策略的订阅，您可以从 Subscription 选项卡中手动批准更新。

流程

1. 在 OpenShift Container Platform Web 控制台的 Administrator 视角中，进入 Operators → Installed Operators。
2. 处于待定更新的 Operator 会显示 Upgrade available 状态。点您要更新的 Operator 的名称。
3. 点 Subscription 标签页。任何需要批准的更新都会在 Upgrade Status 旁边显示。例如：它可能会显示 1 requires approval。
4. 点 1 requires approval，然后点 Preview Install Plan。
5. 检查列出可用于更新的资源。在满意后，点 Approve。
6. 返回到 Operators → Installed Operators 页面，以监控更新的进度。完成后，状态会变为 Succeeded 和 Up to date。

流程

1. 进入 Operators → Installed Operators 页面，在 Filter by name 字段滚动鼠标或键入关键词，以查找您想要的 Operator。然后点它。

2. 在 Operator Details 页面右侧，从 Actions 列表中选择 Uninstall Operator。

   此时会显示 Uninstall Operator? 对话框，提醒您：

   删除 Operator 不会移除任何自定义资源定义或受管资源。如果 Operator 在集群中部署了应用程序，或者配置了非集群资源，则这些应用程序将继续运行，需要手动清理。

   此操作将删除 Operator 以及 Operator 部署和 pod（若有）。任何 Operands 和由 Operator 管理的资源（包括 CRD 和 CR）都不会被删除。Web 控制台为一些 Operator 启用仪表板和导航项。要在卸载 Operator 后删除这些，您可能需要手动删除 Operator CRD。

3. 选择 Uninstall。此 Operator 将停止运行，并且不再接收更新。

流程

1. 通过 currentCSV 字段检查已订阅 Operator 的当前版本（如 jaeger）：

   $ oc get subscription jaeger -n openshift-operators -o yaml | grep currentCSV

   输出示例

     currentCSV: jaeger-operator.v1.8.2

2. 删除订阅（如 jaeger）:

   $ oc delete subscription jaeger -n openshift-operators

   输出示例

   subscription.operators.coreos.com "jaeger" deleted

3. 使用上一步中的 currentCSV 值来删除目标命名空间中相应 Operator 的 CSV：

   $ oc delete clusterserviceversion jaeger-operator.v1.8.2 -n openshift-operators

   输出示例

   clusterserviceversion.operators.coreos.com "jaeger-operator.v1.8.2" deleted

流程

1. 从安装 Operator 的命名空间中获取 Subscription 和 ClusterServiceVersion 对象的名称：

   $ oc get sub,csv -n <namespace>

   输出示例

   NAME                                                       PACKAGE                  SOURCE             CHANNEL
   subscription.operators.coreos.com/elasticsearch-operator   elasticsearch-operator   redhat-operators   5.0
   
   NAME                                                                         DISPLAY                            VERSION    REPLACES   PHASE
   clusterserviceversion.operators.coreos.com/elasticsearch-operator.5.0.0-65   OpenShift Elasticsearch Operator   5.0.0-65              Succeeded

2. 删除订阅：

   $ oc delete subscription <subscription_name> -n <namespace>

3. 删除集群服务版本：

   $ oc delete csv <csv_name> -n <namespace>

4. 在 openshift-marketplace 命名空间中获取所有失败的作业的名称和相关配置映射：

   $ oc get job,configmap -n openshift-marketplace

   输出示例

   NAME                                                                        COMPLETIONS   DURATION   AGE
   job.batch/1de9443b6324e629ddf31fed0a853a121275806170e34c926d69e53a7fcbccb   1/1           26s        9m30s
   
   NAME                                                                        DATA   AGE
   configmap/1de9443b6324e629ddf31fed0a853a121275806170e34c926d69e53a7fcbccb   3      9m30s

5. 删除作业：

   $ oc delete job <job_name> -n openshift-marketplace

   这样可确保尝试拉取无法访问的镜像的 Pod 不会被重新创建。

6. 删除配置映射：

   $ oc delete configmap <configmap_name> -n openshift-marketplace

7. 在 Web 控制台中使用 OperatorHub 重新安装 Operator。

流程

1. 在 Web 控制台中导航至 Operators → OperatorHub 页面。
2. 选择 Operator 并点 Install。

3. 在 Install Operator 页面中，修改 Subscription 对象，使其在 spec 部分中包含一个或多个以下环境变量：

   • HTTP_PROXY
   • HTTPS_PROXY
   • NO_PROXY

   例如：

   带有代理设置的Subscription 对象覆盖

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: etcd-config-test
     namespace: openshift-operators
   spec:
     config:
       env:
       - name: HTTP_PROXY
         value: test_http
       - name: HTTPS_PROXY
         value: test_https
       - name: NO_PROXY
         value: test
     channel: clusterwide-alpha
     installPlanApproval: Automatic
     name: etcd
     source: community-operators
     sourceNamespace: openshift-marketplace
     startingCSV: etcdoperator.v0.9.4-clusterwide

   注意

   这些环境变量也可以使用空值取消设置，以删除所有之前设定的集群范围或自定义代理设置。

   OLM 将这些环境变量作为一个单元处理; 如果至少设置了一个环境变量，则所有三个变量都将被视为覆盖，并且集群范围的默认值不会用于订阅的 Operator 部署。

4. 点击 Install 使 Operator 可供所选命名空间使用。

5. 当 Operator 的 CSV 出现在相关命名空间中后，您可以验证部署中是否设置了自定义代理环境变量。例如，使用 CLI：

   $ oc get deployment -n openshift-operators \
       etcd-operator -o yaml \
       | grep -i "PROXY" -A 2

   输出示例

           - name: HTTP_PROXY
             value: test_http
           - name: HTTPS_PROXY
             value: test_https
           - name: NO_PROXY
             value: test
           image: quay.io/coreos/etcd-operator@sha256:66a37fd61a06a43969854ee6d3e21088a98b93838e284a6086b13917f96b0d9c
   ...

流程

1. 在存在 Operator 订阅的命名空间中创建一个空配置映射，并包括以下标签：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: trusted-ca 1
     labels:
       config.openshift.io/inject-trusted-cabundle: "true" 2

   1

   配置映射的名称。

   2

   请求 Cluster Network Operator 注入合并的捆绑包。

   创建此配置映射后，它会立即使用合并捆绑包的证书内容填充。

2. 更新您的 Subscription 对象，使其包含 spec.config 部分，该部分可将 trusted-ca 配置映射作为卷挂载到需要自定义 CA 的 pod 中的每个容器：

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: my-operator
   spec:
     package: etcd
     channel: alpha
     config: 1
       selector:
         matchLabels:
           <labels_for_pods> 2
       volumes: 3
       - name: trusted-ca
         configMap:
           name: trusted-ca
           items:
             - key: ca-bundle.crt 4
               path: tls-ca-bundle.pem 5
       volumeMounts: 6
       - name: trusted-ca
         mountPath: /etc/pki/ca-trust/extracted/pem
         readOnly: true

   1

   如果不存在，请添加 config 部分。

   2

   指定标签以匹配 Operator 拥有的 pod。

   3

   创建一个 trusted-ca 卷。

   4

   ca-bundle.crt 需要作为配置映射键。

   5

   tls-ca-bundle.pem 需要作为配置映射路径。

   6

   创建一个 trusted-ca 卷挂载。

流程

1. 列出 Operator 订阅：

   $ oc get subs -n <operator_namespace>

2. 使用 oc describe 命令检查 Subscription 资源：

   $ oc describe sub <subscription_name> -n <operator_namespace>

3. 在命令输出中，找到 Operator 订阅状况类型的 Conditions 部分。在以下示例中，CatalogSourcesUnhealthy 条件类型具有 false 状态，因为所有可用目录源都健康：

   输出示例

   Conditions:
      Last Transition Time:  2019-07-29T13:42:57Z
      Message:               all available catalogsources are healthy
      Reason:                AllCatalogSourcesHealthy
      Status:                False
      Type:                  CatalogSourcesUnhealthy

流程

1. 列出命名空间中的目录源。例如，您可以检查 openshift-marketplace 命名空间，该命名空间用于集群范围的目录源：

   $ oc get catalogsources -n openshift-marketplace

   输出示例

   NAME                  DISPLAY               TYPE   PUBLISHER   AGE
   certified-operators   Certified Operators   grpc   Red Hat     55m
   community-operators   Community Operators   grpc   Red Hat     55m
   example-catalog       Example Catalog       grpc   Example Org 2m25s
   redhat-marketplace    Red Hat Marketplace   grpc   Red Hat     55m
   redhat-operators      Red Hat Operators     grpc   Red Hat     55m

2. 使用 oc describe 命令获取有关目录源的详情和状态：

   $ oc describe catalogsource example-catalog -n openshift-marketplace

   输出示例

   Name:         example-catalog
   Namespace:    openshift-marketplace
   ...
   Status:
     Connection State:
       Address:              example-catalog.openshift-marketplace.svc:50051
       Last Connect:         2021-09-09T17:07:35Z
       Last Observed State:  TRANSIENT_FAILURE
     Registry Service:
       Created At:         2021-09-09T17:05:45Z
       Port:               50051
       Protocol:           grpc
       Service Name:       example-catalog
       Service Namespace:  openshift-marketplace

   在上例的输出中，最后观察到的状态是 TRANSIENT_FAILURE。此状态表示目录源建立连接时出现问题。

3. 列出创建目录源的命名空间中的 pod：

   $ oc get pods -n openshift-marketplace

   输出示例

   NAME                                    READY   STATUS             RESTARTS   AGE
   certified-operators-cv9nn               1/1     Running            0          36m
   community-operators-6v8lp               1/1     Running            0          36m
   marketplace-operator-86bfc75f9b-jkgbc   1/1     Running            0          42m
   example-catalog-bwt8z                   0/1     ImagePullBackOff   0          3m55s
   redhat-marketplace-57p8c                1/1     Running            0          36m
   redhat-operators-smxx8                  1/1     Running            0          36m

   在命名空间中创建目录源时，会在该命名空间中为目录源创建一个 pod。在前面的示例中，example-catalog-bwt8z pod 的状态是 ImagePullBackOff。此状态表示拉取目录源的索引镜像存在问题。

4. 使用 oc describe 命令检查 pod 以获取更多详细信息：

   $ oc describe pod example-catalog-bwt8z -n openshift-marketplace

   输出示例

   Name:         example-catalog-bwt8z
   Namespace:    openshift-marketplace
   Priority:     0
   Node:         ci-ln-jyryyg2-f76d1-ggdbq-worker-b-vsxjd/10.0.128.2
   ...
   Events:
     Type     Reason          Age                From               Message
     ----     ------          ----               ----               -------
     Normal   Scheduled       48s                default-scheduler  Successfully assigned openshift-marketplace/example-catalog-bwt8z to ci-ln-jyryyf2-f76d1-fgdbq-worker-b-vsxjd
     Normal   AddedInterface  47s                multus             Add eth0 [10.131.0.40/23] from openshift-sdn
     Normal   BackOff         20s (x2 over 46s)  kubelet            Back-off pulling image "quay.io/example-org/example-catalog:v1"
     Warning  Failed          20s (x2 over 46s)  kubelet            Error: ImagePullBackOff
     Normal   Pulling         8s (x3 over 47s)   kubelet            Pulling image "quay.io/example-org/example-catalog:v1"
     Warning  Failed          8s (x3 over 47s)   kubelet            Failed to pull image "quay.io/example-org/example-catalog:v1": rpc error: code = Unknown desc = reading manifest v1 in quay.io/example-org/example-catalog: unauthorized: access to the requested resource is not authorized
     Warning  Failed          8s (x3 over 47s)   kubelet            Error: ErrImagePull

   在前面的示例输出中，错误消息表示目录源的索引镜像因为授权问题而无法成功拉取。例如，索引镜像可能存储在需要登录凭证的 registry 中。

流程

1. 编辑 Operator 的 OperatorCondition 对象：

   $ oc edit operatorcondition <name>

2. 在对象中添加 Spec.Overrides 数组：

   Operator 条件覆盖示例

   apiVersion: operators.coreos.com/v1
   kind: OperatorCondition
   metadata:
     name: my-operator
     namespace: operators
   spec:
     overrides:
     - type: Upgradeable 1
       status: "True"
       reason: "upgradeIsSafe"
       message: "This is a known issue with the Operator where it always reports that it cannot be upgraded."
     conditions:
     - type: Upgradeable
       status: "False"
       reason: "migration"
       message: "The operator is performing a migration."
       lastTransitionTime: "2020-08-24T23:15:55Z"

   1

   允许集群管理员将升级就绪状态更改为 True。

流程

1. 新建命名空间：

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: Namespace
   metadata:
     name: scoped
   EOF

2. 分配 Operator 的权限范围。这涉及创建新服务帐户、相关角色和角色绑定。

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: scoped
     namespace: scoped
   EOF

   为简便起见，以下示例授予服务账户在指定命名空间进行任何操作的权限。在生产环境中，应创建更为精细的权限集：

   $ cat <<EOF | oc create -f -
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: scoped
     namespace: scoped
   rules:
   - apiGroups: ["*"]
     resources: ["*"]
     verbs: ["*"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: scoped-bindings
     namespace: scoped
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: scoped
   subjects:
   - kind: ServiceAccount
     name: scoped
     namespace: scoped
   EOF

3. 在指定的命名空间中创建 OperatorGroup 对象。该 Operator 组以指定的命名空间为目标，以确保其租期仅限于该命名空间。

   另外，Operator 组允许用户指定服务帐户。指定上一步中创建的服务帐户：

   $ cat <<EOF | oc create -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: scoped
     namespace: scoped
   spec:
     serviceAccountName: scoped
     targetNamespaces:
     - scoped
   EOF

   在指定命名空间中安装的任何 Operator 均会关联至此 Operator 组，因此也会关联到指定的服务账户。

4. 在指定命名空间中创建 Subscription 对象以安装 Operator:

   $ cat <<EOF | oc create -f -
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: etcd
     namespace: scoped
   spec:
     channel: singlenamespace-alpha
     name: etcd
     source: <catalog_source_name> 1
     sourceNamespace: <catalog_source_namespace> 2
   EOF

   1

   指定已存在于指定命名空间中或位于全局目录命名空间中的目录源。

   2

   指定创建目录源的命名空间。

   与该 Operator 组相关联的所有 Operator 都仅限于为指定服务账户授予的权限。如果 Operator 请求的权限超出服务账户范围，安装会失败并显示相关错误。

1. 禁用所有默认全局目录。
2. 在预安装相关 Operator 组的同一命名空间中启用自定义、策展的目录。

流程

1. 查看 Subscription 对象。其状态中有一个指向 InstallPlan 对象的对象引用 installPlanRef，该对象试图为 Operator 创建需要的 [Cluster]Role[Binding]：

   apiVersion: operators.coreos.com/v1
   kind: Subscription
   metadata:
     name: etcd
     namespace: scoped
   status:
     installPlanRef:
       apiVersion: operators.coreos.com/v1
       kind: InstallPlan
       name: install-4plp8
       namespace: scoped
       resourceVersion: "117359"
       uid: 2c1df80e-afea-11e9-bce3-5254009c9c23

2. 检查 InstallPlan 对象的状态中的任何错误：

   apiVersion: operators.coreos.com/v1
   kind: InstallPlan
   status:
     conditions:
     - lastTransitionTime: "2019-07-26T21:13:10Z"
       lastUpdateTime: "2019-07-26T21:13:10Z"
       message: 'error creating clusterrole etcdoperator.v0.9.4-clusterwide-dsfx4: clusterroles.rbac.authorization.k8s.io
         is forbidden: User "system:serviceaccount:scoped:scoped" cannot create resource
         "clusterroles" in API group "rbac.authorization.k8s.io" at the cluster scope'
       reason: InstallComponentFailed
       status: "False"
       type: Installed
     phase: Failed

   错误信息中会显示：

   • 创建失败的资源类型，包括资源的 API 组。本例中为 rbac.authorization.k8s.io 组中的 clusterroles。
   • 资源名称。
   • 错误类型：is forbidden 表明相应用户没有足够权限来执行这一操作。
   • 试图创建或更新资源的用户名称。本例中指的是 Operator 组中指定的服务账户。

   • 操作范围：集群范围内或范围外。

     用户可在服务账户中增加所缺权限，然后迭代操作。

     注意

     Operator Lifecycle Manager（OLM）目前未提供第一次尝试的完整错误列表。

流程

1. 启动一个新的索引：

   $ opm index add \
       --bundles <registry>/<namespace>/<bundle_image_name>:<tag> \1
       --tag <registry>/<namespace>/<index_image_name>:<tag> \2
       [--binary-image <registry_base_image>] 3

   1

   要添加到索引中的捆绑包镜像以逗号分隔的列表。

   2

   希望索引镜像具有的镜像标签。

   3

   可选：用于为目录提供服务的备选 registry 基础镜像。

2. 将索引镜像推送到 registry。

   1. 如果需要，与目标 registry 进行身份验证：

      $ podman login <registry>

   2. 推送索引镜像：

      $ podman push <registry>/<namespace>/<index_image_name>:<tag>

流程

1. 创建一个 CatalogSource 对象来引用索引镜像。

   1. 根据您的规格修改以下内容，并将它保存为 catalogSource.yaml 文件：

      apiVersion: operators.coreos.com/v1alpha1
      kind: CatalogSource
      metadata:
        name: my-operator-catalog
        namespace: openshift-marketplace 1
      spec:
        sourceType: grpc
        image: <registry>:<port>/<namespace>/redhat-operator-index:v4.8 2
        displayName: My Operator Catalog
        publisher: <publisher_name> 3
        updateStrategy:
          registryPoll: 4
            interval: 30m

      1

      如果您希望目录源对所有命名空间中的用户全局可用，请指定 openshift-marketplace 命名空间。否则，您可以指定一个不同的命名空间来对目录进行作用域并只对该命名空间可用。

      2

      指定索引镜像。

      3

      指定发布目录的名称或机构名称。

      4

      目录源可以自动检查新版本以保持最新。

   2. 使用该文件创建 CatalogSource 对象：

      $ oc apply -f catalogSource.yaml

2. 确定成功创建以下资源。

   1. 检查 pod:

      $ oc get pods -n openshift-marketplace

      输出示例

      NAME                                    READY   STATUS    RESTARTS  AGE
      my-operator-catalog-6njx6               1/1     Running   0         28s
      marketplace-operator-d9f549946-96sgr    1/1     Running   0         26h

   2. 检查目录源：

      $ oc get catalogsource -n openshift-marketplace

      输出示例

      NAME                  DISPLAY               TYPE PUBLISHER  AGE
      my-operator-catalog   My Operator Catalog   grpc            5s

   3. 检查软件包清单：

      $ oc get packagemanifest -n openshift-marketplace

      输出示例

      NAME                          CATALOG               AGE
      jaeger-product                My Operator Catalog   93s

流程

1. 通过添加捆绑包镜像来更新现有索引：

   $ opm index add \
       --bundles <registry>/<namespace>/<new_bundle_image>@sha256:<digest> \1
       --from-index <registry>/<namespace>/<existing_index_image>:<existing_tag> \2
       --tag <registry>/<namespace>/<existing_index_image>:<updated_tag> \3
       --pull-tool podman 4

   1

   --bundles 标志指定要添加到索引中的、以逗号分隔的额外捆绑包镜像列表。

   2

   --from-index 标志指定之前推送的索引。

   3

   --tag 标志指定要应用到更新的索引镜像的镜像标签。

   4

   --pull-tool 标志指定用于拉取容器镜像的工具。

   其中：

   <registry>

   指定 registry 的主机名，如 quay.io 或 mirror.example.com。

   <namespace>

   指定 registry 的命名空间，如 ocs-dev 或 abc。

   <new_bundle_image>

   指定要添加到 registry 的新捆绑包镜像，如 ocs-operator。

   <digest>

   指定捆绑包镜像的 SHA 镜像 ID 或摘要，如 c7f11097a628f092d8bad148406aa0e0951094a03445fd4bc0775431ef683a41。

   <existing_index_image>

   指定之前推送的镜像，如 abc-redhat-operator-index。

   <existing_tag>

   指定之前推送的镜像标签，如 4.8。

   <updated_tag>

   指定要应用到更新的索引镜像的镜像标签，如 4.8.1。

   示例命令

   $ opm index add \
       --bundles quay.io/ocs-dev/ocs-operator@sha256:c7f11097a628f092d8bad148406aa0e0951094a03445fd4bc0775431ef683a41 \
       --from-index mirror.example.com/abc/abc-redhat-operator-index:4.8 \
       --tag mirror.example.com/abc/abc-redhat-operator-index:4.8.1 \
       --pull-tool podman

2. 推送更新的索引镜像：

   $ podman push <registry>/<namespace>/<existing_index_image>:<updated_tag>

3. Operator Lifecycle Manager（OLM）会在常规时间段内自动轮询目录源中引用的索引镜像，验证是否已成功添加新软件包：

   $ oc get packagemanifests -n openshift-marketplace

流程

1. 通过目标 registry 进行身份验证：

   $ podman login <target_registry>

2. 确定您要包括在您的修剪索引中的软件包列表。

   1. 运行您要修剪容器中的源索引镜像。例如：

      $ podman run -p50051:50051 \
          -it registry.redhat.io/redhat/redhat-operator-index:v4.8

      输出示例

      Trying to pull registry.redhat.io/redhat/redhat-operator-index:v4.8...
      Getting image source signatures
      Copying blob ae8a0c23f5b1 done
      ...
      INFO[0000] serving registry                              database=/database/index.db port=50051

   2. 在一个单独的终端会话中，使用 grpcurl 命令获取由索引提供的软件包列表：

      $ grpcurl -plaintext localhost:50051 api.Registry/ListPackages > packages.out

   3. 检查 package.out 文件，确定要保留在此列表中的哪个软件包名称。例如：

      软件包列表片断示例

      ...
      {
        "name": "advanced-cluster-management"
      }
      ...
      {
        "name": "jaeger-product"
      }
      ...
      {
      {
        "name": "quay-operator"
      }
      ...

   4. 在您执行 podman run 命令的终端会话中，按 Ctrl 和 C 停止容器进程。

3. 运行以下命令来修剪指定软件包以外的所有源索引：

   $ opm index prune \
       -f registry.redhat.io/redhat/redhat-operator-index:v4.8 \1
       -p advanced-cluster-management,jaeger-product,quay-operator \2
       [-i registry.redhat.io/openshift4/ose-operator-registry:v4.8] \3
       -t <target_registry>:<port>/<namespace>/redhat-operator-index:v4.8 4

   1

   到修剪的索引。

   2

   要保留的软件包用逗号隔开。

   3

   只适用于 IBM Power Systems 和 IBM Z 镜像： Operator Registry 基础镜像和与目标 OpenShift Container Platform 集群主版本和次版本匹配的标签。

   4

   用于正在构建新索引镜像的自定义标签。

4. 运行以下命令将新索引镜像推送到目标 registry:

   $ podman push <target_registry>:<port>/<namespace>/redhat-operator-index:v4.8

   其中 <namespace> 是 registry 上的任何现有命名空间。

流程

1. 为每个必需的私有 registry 创建 secret。

   1. 登录到私有 registry 以创建或更新 registry 凭证文件：

      $ podman login <registry>:<port>

      注意

      registry 凭证的文件路径可能会根据用于登录到 registry 的容器工具的不同而有所不同。对于 podman CLI，默认位置为 ${XDG_RUNTIME_DIR}/containers/auth.json。对于 docker CLI，默认位置为 /root/.docker/config.json。

   2. 建议您为每个 secret 只包含一个 registry 的凭证，并在单独的 secret 中为多个 registry 管理凭证。后续步骤中的 CatalogSource 可包括多个 secret，OpenShift Container Platform 会将这些 secret 合并为一个单独的虚拟凭证文件，以便在镜像拉取过程中使用。

      默认情况下，registry 凭证文件可以存储多个 registry 的详情。确认您的文件的当前内容。例如：

      为两个 registry 存储凭证的文件

      {
              "auths": {
                      "registry.redhat.io": {
                              "auth": "FrNHNydQXdzclNqdg=="
                      },
                      "quay.io": {
                              "auth": "Xd2lhdsbnRib21iMQ=="
                      }
              }
      }

      由于此文件用于后续步骤中创建 secret，请确保为每个文件只存储一个 registry 的详情。这可使用以下方法之一完成：

      • 使用 podman logout <registry> 命令为额外 registry 删除凭证，直到您只保留一个 registry。

      • 编辑 registry 凭证文件，将 registry 详情分开以存储在多个文件中。例如：

        为一个 registry 存储凭证的文件

        {
                "auths": {
                        "registry.redhat.io": {
                                "auth": "FrNHNydQXdzclNqdg=="
                        }
                }
        }

        为另一个 registry 存储凭证的文件

        {
                "auths": {
                        "quay.io": {
                                "auth": "Xd2lhdsbnRib21iMQ=="
                        }
                }
        }

   3. 在 openshift-marketplace 命名空间中创建 secret，其中包含私有 registry 的身份验证凭证：

      $ oc create secret generic <secret_name> \
          -n openshift-marketplace \
          --from-file=.dockerconfigjson=<path/to/registry/credentials> \
          --type=kubernetes.io/dockerconfigjson

      重复此步骤，为任何其他需要的私有 registry 创建额外的 secret，更新 --from-file 标志以指定另一个 registry 凭证文件路径。

2. 创建或更新现有的 CatalogSource 对象以引用一个或多个 secret：

   apiVersion: operators.coreos.com/v1alpha1
   kind: CatalogSource
   metadata:
     name: my-operator-catalog
     namespace: openshift-marketplace
   spec:
     sourceType: grpc
     secrets: 1
     - "<secret_name_1>"
     - "<secret_name_2>"
     image: <registry>:<port>/<namespace>/<image>:<tag>
     displayName: My Operator Catalog
     publisher: <publisher_name>
     updateStrategy:
       registryPoll:
         interval: 30m

   1

   添加 spec.secrets 部分并指定任何所需 secret。

3. 如果订阅的 Operator 引用的任何 Operator 或 Operand 镜像需要访问私有 registry，您可以提供对集群中的所有命名空间或单独的目标租户命名空间的访问。

   • 要访问集群中的所有命名空间，请将身份验证详情添加到 openshift-config 命名空间中的全局集群 pull secret 中。

     警告

     集群资源必须调整为新的全局 pull secret，这样可暂时限制集群的可用性。

     1. 从全局 pull secret 中提取 .dockerconfigjson 文件：

        $ oc extract secret/pull-secret -n openshift-config --confirm

     2. 使用所需私有 registry 或 registry 的身份验证凭证更新 .dockerconfigjson 文件，并将它保存为新文件：

        $ cat .dockerconfigjson | \
            jq --compact-output '.auths["<registry>:<port>/<namespace>/"] |= . + {"auth":"<token>"}' \1
            > new_dockerconfigjson

        1

        将 <registry>:<port> /<namespace> 替换为私有 registry 的详情，将 <token> 替换为您的身份验证凭证。

     3. 使用新文件更新全局 pull secret：

        $ oc set data secret/pull-secret -n openshift-config \
            --from-file=.dockerconfigjson=new_dockerconfigjson

   • 要更新单个命名空间，请向 Operator 的服务帐户添加一个 pull secret，以便在目标租户命名空间中访问该 Operator。

     1. 在租户命名空间中为 openshift-marketplace 重新创建 secret：

        $ oc create secret generic <secret_name> \
            -n <tenant_namespace> \
            --from-file=.dockerconfigjson=<path/to/registry/credentials> \
            --type=kubernetes.io/dockerconfigjson

     2. 通过搜索租户命名空间来验证 Operator 的服务帐户名称：

        $ oc get sa -n <tenant_namespace> 1

        1

        如果 Operator 安装在单独的命名空间中，请搜索该命名空间。如果 Operator 已为所有命名空间安装，请搜索 openshift-operators 命名空间。

        输出示例

        NAME            SECRETS   AGE
        builder         2         6m1s
        default         2         6m1s
        deployer        2         6m1s
        etcd-operator   2         5m18s 1

        1

        已安装的 etcd Operator 的服务帐户。

     3. 将 secret 链接到 Operator 的服务帐户：

        $ oc secrets link <operator_sa> \
            -n <tenant_namespace> \
             <secret_name> \
            --for=pull

流程

1. 在 Web 控制台的 Administrator 视角中，导航至 Administration → Cluster Settings。
2. 点 Global Configuration 选项卡，然后点 OperatorHub。
3. 点 Sources 选项卡。
4. 选择您要删除的目录的 Options 菜单 ，然后点 Delete CatalogSource。

流程

1. 通过 registry.redhat.io 进行身份验证：

   $ podman login registry.redhat.io

2. 通过目标 registry 进行身份验证：

   $ podman login <target_registry>

3. 确定您要包括在您的修剪索引中的软件包列表。

   1. 运行您要修剪容器中的源索引镜像。例如：

      $ podman run -p50051:50051 \
          -it registry.redhat.io/redhat/redhat-operator-index:v4.8

      输出示例

      Trying to pull registry.redhat.io/redhat/redhat-operator-index:v4.8...
      Getting image source signatures
      Copying blob ae8a0c23f5b1 done
      ...
      INFO[0000] serving registry                              database=/database/index.db port=50051

   2. 在一个单独的终端会话中，使用 grpcurl 命令获取由索引提供的软件包列表：

      $ grpcurl -plaintext localhost:50051 api.Registry/ListPackages > packages.out

   3. 检查 package.out 文件，确定要保留在此列表中的哪个软件包名称。例如：

      软件包列表片断示例

      ...
      {
        "name": "advanced-cluster-management"
      }
      ...
      {
        "name": "jaeger-product"
      }
      ...
      {
      {
        "name": "quay-operator"
      }
      ...

   4. 在您执行 podman run 命令的终端会话中，按 Ctrl 和 C 停止容器进程。

4. 运行以下命令来修剪指定软件包以外的所有源索引：

   $ opm index prune \
       -f registry.redhat.io/redhat/redhat-operator-index:v4.8 \1
       -p advanced-cluster-management,jaeger-product,quay-operator \2
       [-i registry.redhat.io/openshift4/ose-operator-registry:v4.8] \3
       -t <target_registry>:<port>/<namespace>/redhat-operator-index:v4.8 4

   1

   到修剪的索引。

   2

   要保留的软件包用逗号隔开。

   3

   只适用于 IBM Power Systems 和 IBM Z 镜像： Operator Registry 基础镜像和与目标 OpenShift Container Platform 集群主版本和次版本匹配的标签。

   4

   用于正在构建新索引镜像的自定义标签。

5. 运行以下命令将新索引镜像推送到目标 registry:

   $ podman push <target_registry>:<port>/<namespace>/redhat-operator-index:v4.8

   其中 <namespace> 是 registry 上的任何现有命名空间。例如，您可以创建一个 olm-mirror 命名空间来将所有镜像的内容推送到。

流程

1. 如果要镜像红帽提供的目录，请在具有无网络访问限制的工作站中运行以下命令，以便与 registry.redhat.io 进行身份验证：

   $ podman login registry.redhat.io

2. oc adm catalog mirror 命令提取索引镜像的内容，以生成镜像所需的清单。命令的默认行为会生成清单，然后会自动将索引镜像以及索引镜像本身中的所有镜像内容镜像（mirror）到您的镜像 registry。另外，如果您的镜像 registry 位于完全断开连接的主机上，或者断开连接的或 airgapped 主机上，您可以首先将内容镜像到可移动介质，将介质移到断开连接的环境中，然后将内容从介质镜像到 registry。

   • 选项 A: 如果您的镜像 registry 与您的没有网络访问限制的工作站位于同一个网络中，请在您的工作站中执行以下操作：

     1. 如果您的镜像 registry 需要身份验证，请运行以下命令登录到 registry:

        $ podman login <mirror_registry>

     2. 运行以下命令镜像内容：

        $ oc adm catalog mirror \
            <index_image> \1
            <mirror_registry>:<port>/<namespace> \2
            [-a ${REG_CREDS}] \3
            [--insecure] \4
            [--index-filter-by-os='<platform>/<arch>'] \5
            [--manifests-only] 6

        1

        指定您要镜像的目录的索引镜像。例如，这可能是之前创建的已修剪索引镜像，也可以是默认目录的源索引镜像之一，如 registry.redhat.io/redhat/redhat-operator-index:v4.8。

        2

        指定要将 Operator 内容镜像到的目标 registry 和命名空间的完全限定域名(FQDN)，其中 <namespace> 是 registry 上的任何现有命名空间。例如，您可以创建一个 olm-mirror 命名空间来将所有镜像的内容推送到。

        3

        可选：如果需要，指定 registry 凭证文件的位置。registry.redhat.io 需要 {REG_CREDS}。

        4

        可选：如果您不想为目标 registry 配置信任，请添加 --insecure 标志。

        5

        可选：在有多个变体可用时，指定索引镜像的平台和架构。镜像被传递为 '<platform>/<arch>[/<variant>]'。这不适用于索引引用的镜像。有效值为 linux/amd64、linux/ppc64le、linux/s390x 和 .*

        6

        可选：只生成镜像所需的清单，但并不实际将镜像内容镜像到 registry。这个选项对检查哪些将被镜像（mirror）非常有用，如果您只需要一小部分软件包，可以对映射列表进行修改。然后，您可以使用带有 oc image mirror 命令的 mapping.txt 文件来在以后的步骤中镜像修改的镜像列表。此标志仅用于从目录中对内容进行高级选择性镜像；opm index prune 命令适用于大多数目录管理用例，如果之前用来修剪索引镜像。

        输出示例

        src image has index label for database path: /database/index.db
        using database path mapping: /database/index.db:/tmp/153048078
        wrote database to /tmp/153048078 1
        ...
        wrote mirroring manifests to manifests-redhat-operator-index-1614211642 2

        1

        命令生成的临时 index.db 数据库的目录。

        2

        务必记录生成的 manifests 目录名称。该目录名将在以后的步骤中使用。

        注意

        Red Hat Quay 不支持嵌套存储库。因此，运行 oc adm catalog mirror 命令会失败，并显示 401 未授权错误。作为临时解决方案，您可以在运行 oc adm catalog mirror 命令时使用 --max-components=2 选项来禁用嵌套存储库的创建。有关这个临时解决方案的更多信息，请参阅使用带有 Quay registry 知识库文章的 catalog mirror 命令时出现 Unauthorized 错误。

   • 选项 B：如果您的镜像 registry 位于断开连接的主机上，请执行以下操作。

     1. 在您的工作站中运行以下命令，且没有网络访问权限将内容镜像到本地文件中：

        $ oc adm catalog mirror \
            <index_image> \1
            file:///local/index \2
            [-a ${REG_CREDS}] \
            [--insecure] \
            [--index-filter-by-os='<platform>/<arch>']

        1

        指定您要镜像的目录的索引镜像。例如，这可能是之前创建的已修剪索引镜像，也可以是默认目录的源索引镜像之一，如 registry.redhat.io/redhat/redhat-operator-index:v4.8。

        2

        将内容镜像到您当前目录中的本地文件。

        输出示例

        ...
        info: Mirroring completed in 5.93s (5.915MB/s)
        wrote mirroring manifests to manifests-my-index-1614985528 1
        
        To upload local images to a registry, run:
        
        	oc adm catalog mirror file://local/index/myrepo/my-index:v1 REGISTRY/REPOSITORY 2

        1

        务必记录生成的 manifests 目录名称。该目录名将在以后的步骤中使用。

        2

        记录基于您提供的索引镜像展开的 file:// 路径。该路径在以后的步骤中会使用。

     2. 将当前目录中生成的 v2/ 目录复制到可移动介质中。
     3. 物理删除该介质并将其附加到断开连接的环境中可访问镜像 registry 的主机。

     4. 如果您的镜像 registry 需要身份验证，请在断开连接的环境中的主机上运行以下命令以登录到 registry：

        $ podman login <mirror_registry>

     5. 从包含 v2/ 目录的父目录运行以下命令，将镜像从本地文件上传到镜像 registry：

        $ oc adm catalog mirror \
            file://local/index/<repo>/<index_image>:<tag> \1
            <mirror_registry>:<port>/<namespace> \2
            [-a ${REG_CREDS}] \
            [--insecure] \
            [--index-filter-by-os='<platform>/<arch>']

        1

        指定上一命令输出中的 file:// 路径。

        2

        指定要将 Operator 内容镜像到的目标 registry 和命名空间的完全限定域名(FQDN)，其中 <namespace> 是 registry 上的任何现有命名空间。例如，您可以创建一个 olm-mirror 命名空间来将所有镜像的内容推送到。

        注意

        Red Hat Quay 不支持嵌套存储库。因此，运行 oc adm catalog mirror 命令会失败，并显示 401 未授权错误。作为临时解决方案，您可以在运行 oc adm catalog mirror 命令时使用 --max-components=2 选项来禁用嵌套存储库的创建。有关这个临时解决方案的更多信息，请参阅使用带有 Quay registry 知识库文章的 catalog mirror 命令时出现 Unauthorized 错误。

     6. 再次运行 oc adm catalog mirror 命令。使用新镜像的索引镜像作为源，以及上一步中与目标相同的镜像 registry 命名空间：

        $ oc adm catalog mirror \
            <mirror_registry>:<port>/<index_image> \
            <mirror_registry>:<port>/<namespace> \
            --manifests-only \1
            [-a ${REG_CREDS}] \
            [--insecure]

        1

        此步骤需要 --manifests-only 标志，以便该命令不会再次复制所有镜像的内容。

        重要

        这一步是必需的，因为上一步中生成的 imageContentSourcePolicy.yaml 文件中的镜像映射必须从本地路径更新为有效的镜像位置。如果不这样做，会在稍后的步骤中创建 ImageContentSourcePolicy 对象时会导致错误。

3. 将内容镜像到 registry 后，检查当前目录中生成的清单目录。

   注意

   清单目录名会在以后的步骤中使用。

   如果您在上一步中将内容镜像到同一网络上的 registry，则目录名称采用以下格式：

   manifests-<index_image_name>-<random_number>

   如果您在上一步中将内容镜像到断开连接的主机上的 registry，则目录名称采用以下格式：

   manifests-index/<namespace>/<index_image_name>-<random_number>

   manifests 目录包含以下文件，其中的一些文件可能需要进一步修改：

   • catalogSource.yaml 文件是 CatalogSource 对象的基本定义，它预先填充索引镜像标签及其他相关元数据。此文件可原样使用，或进行相应修改来在集群中添加目录源。

     重要

     如果将内容镜像到本地文件，您必须修改 catalogSource .yaml 文件，从 metadata.name 字段中删除任何反斜杠(/)字符。否则，当您试图创建对象时，会失败并显示 "invalid resource name” 错误。

   • 用来定义 ImageContentSourcePolicy 对象的 imageContentSourcePolicy.yaml，它可以将节点配置为在 Operator 清单中存储的镜像（image）引用和镜像 (mirror) 的 registry 间进行转换。

     注意

     如果您的集群使用 ImageContentSourcePolicy 对象来配置存储库镜像，则只能将全局 pull secret 用于镜像 registry。您不能在项目中添加 pull secret。

   • mapping.txt 文件，在其中包含所有源镜像，并将它们映射到目标 registry。此文件与 oc image mirror 命令兼容，可用于进一步自定义镜像（mirror）配置。

     重要

     如果您在镜像过程中使用 --manifests-only 标志，并希望进一步调整要镜像的软件包子集，请参阅 OpenShift Container Platform 4.7 文档中的镜像软件包清单格式目录镜像流程中有关修改 mapping.txt 文件并使用 oc image mirror 命令的步骤。在进行了这些操作后，您可以继续这个过程。

4. 在可访问断开连接的集群的主机上，运行以下命令来指定 manifests 目录中的 imageContentSourcePolicy.yaml 文件，创建 ImageContentSourcePolicy (ICSP) 对象：

   $ oc create -f <path/to/manifests/dir>/imageContentSourcePolicy.yaml

   其中 <path/to/manifests/dir> 是镜像内容的 manifests 目录的路径。

   现在，您可以创建一个 CatalogSource 来引用您的镜像索引镜像和 Operator 内容。

流程

1. 创建一个 CatalogSource 对象来引用索引镜像。如果使用 oc adm catalog mirror 命令将目录镜像到目标 registry，您可以使用生成的 catalogSource.yaml 文件作为起点。

   1. 根据您的规格修改以下内容，并将它保存为 catalogSource.yaml 文件：

      apiVersion: operators.coreos.com/v1alpha1
      kind: CatalogSource
      metadata:
        name: my-operator-catalog 1
        namespace: openshift-marketplace 2
      spec:
        sourceType: grpc
        image: <registry>:<port>/<namespace>/redhat-operator-index:v4.8 3
        displayName: My Operator Catalog
        publisher: <publisher_name> 4
        updateStrategy:
          registryPoll: 5
            interval: 30m

      1

      如果您在上传到 registry 前将内容镜像到本地文件，请从 metadata.name 字段中删除任何反斜杠(/)字符，以避免在创建对象时出现 "invalid resource name" 错误。

      2

      如果您希望目录源对所有命名空间中的用户全局可用，请指定 openshift-marketplace 命名空间。否则，您可以指定一个不同的命名空间来对目录进行作用域并只对该命名空间可用。

      3

      指定索引镜像。

      4

      指定发布目录的名称或机构名称。

      5

      目录源可以自动检查新版本以保持最新。

   2. 使用该文件创建 CatalogSource 对象：

      $ oc apply -f catalogSource.yaml

2. 确定成功创建以下资源。

   1. 检查 pod:

      $ oc get pods -n openshift-marketplace

      输出示例

      NAME                                    READY   STATUS    RESTARTS  AGE
      my-operator-catalog-6njx6               1/1     Running   0         28s
      marketplace-operator-d9f549946-96sgr    1/1     Running   0         26h

   2. 检查目录源：

      $ oc get catalogsource -n openshift-marketplace

      输出示例

      NAME                  DISPLAY               TYPE PUBLISHER  AGE
      my-operator-catalog   My Operator Catalog   grpc            5s

   3. 检查软件包清单：

      $ oc get packagemanifest -n openshift-marketplace

      输出示例

      NAME                          CATALOG               AGE
      jaeger-product                My Operator Catalog   93s

流程

1. 通过添加捆绑包镜像来更新现有索引：

   $ opm index add \
       --bundles <registry>/<namespace>/<new_bundle_image>@sha256:<digest> \1
       --from-index <registry>/<namespace>/<existing_index_image>:<existing_tag> \2
       --tag <registry>/<namespace>/<existing_index_image>:<updated_tag> \3
       --pull-tool podman 4

   1

   --bundles 标志指定要添加到索引中的、以逗号分隔的额外捆绑包镜像列表。

   2

   --from-index 标志指定之前推送的索引。

   3

   --tag 标志指定要应用到更新的索引镜像的镜像标签。

   4

   --pull-tool 标志指定用于拉取容器镜像的工具。

   其中：

   <registry>

   指定 registry 的主机名，如 quay.io 或 mirror.example.com。

   <namespace>

   指定 registry 的命名空间，如 ocs-dev 或 abc。

   <new_bundle_image>

   指定要添加到 registry 的新捆绑包镜像，如 ocs-operator。

   <digest>

   指定捆绑包镜像的 SHA 镜像 ID 或摘要，如 c7f11097a628f092d8bad148406aa0e0951094a03445fd4bc0775431ef683a41。

   <existing_index_image>

   指定之前推送的镜像，如 abc-redhat-operator-index。

   <existing_tag>

   指定之前推送的镜像标签，如 4.8。

   <updated_tag>

   指定要应用到更新的索引镜像的镜像标签，如 4.8.1。

   示例命令

   $ opm index add \
       --bundles quay.io/ocs-dev/ocs-operator@sha256:c7f11097a628f092d8bad148406aa0e0951094a03445fd4bc0775431ef683a41 \
       --from-index mirror.example.com/abc/abc-redhat-operator-index:4.8 \
       --tag mirror.example.com/abc/abc-redhat-operator-index:4.8.1 \
       --pull-tool podman

2. 推送更新的索引镜像：

   $ podman push <registry>/<namespace>/<existing_index_image>:<updated_tag>

3. 按照镜像 Operator 目录流程中的步骤来镜像更新的内容。但是，当进入创建 ImageContentSourcePolicy（ICSP）对象的步骤时，请使用 oc replace 命令而不是 oc create 命令。例如：

   $ oc replace -f ./manifests-redhat-operator-index-<random_number>/imageContentSourcePolicy.yaml

   这一更改是必需的，因为对象已存在且必须更新。

   注意

   通常，oc apply 命令可用于更新之前使用 oc apply 创建的现有对象。但是，由于有关 ICSP 对象中的 metadata.annotations 字段大小的已知问题，oc replace 命令当前必须用于此步骤。

4. Operator Lifecycle Manager（OLM）会在常规时间段内自动轮询目录源中引用的索引镜像，验证是否已成功添加新软件包：

   $ oc get packagemanifests -n openshift-marketplace

1. 使用 Operator SDK 命令行界面（CLI）创建 Operator 项目。
2. 通过添加自定义资源定义 (CRD) 来定义新的资源 API。
3. 使用 Operator SDK API 指定要监视的资源。
4. 在指定的处理程序中定义 Operator 协调逻辑，并使用 Operator SDK API 与资源交互。
5. 使用 Operator SDK CLI 来构建和生成 Operator 部署清单。

流程

1. 导航到 OpenShift 镜像站点。
2. 从 4.8.4 目录中，下载适用于 Linux 的 tarball 的最新版本。

3. 解包存档：

   $ tar xvf operator-sdk-v1.8.0-ocp-linux-x86_64.tar.gz

4. 使文件可执行：

   $ chmod +x operator-sdk

5. 将提取的 operator-sdk 二进制文件移到 PATH 中的一个目录中。

   提示

   检查 PATH：

   $ echo $PATH

   $ sudo mv ./operator-sdk /usr/local/bin/operator-sdk

流程

1. 对 PROJECT 文件进行以下更改：

   1. 更新 PROJECT 文件 plugins 对象，以使用 manifests 和 scorecard 对象。

      用于创建 Operator Lifecycle Manager（OLM）和 scorecard 清单的 manifests 和 scorecard 插件，现在具有用于运行 create 子命令以创建相关文件的插件对象。

      • 对于基于 Go 的 Operator 项目，已存在一个基于 Go 的插件配置对象。虽然旧配置仍被支持，但将来这些新对象会很有用，因为配置选项会添加到其相应的插件中：

        旧配置

        version: 3-alpha
        ...
        plugins:
          go.sdk.operatorframework.io/v2-alpha: {}

        新配置

        version: 3-alpha
        ...
        plugins:
          manifests.sdk.operatorframework.io/v2: {}
          scorecard.sdk.operatorframework.io/v2: {}

      • 可选： 对于基于 Ansible 和 Helm 的 Operator 项目，之前的插件配置对象不存在。虽然您不需要添加插件配置对象，但将来这些新对象会很有用，因为配置选项会添加到其相应的插件中：

        version: 3-alpha
        ...
        plugins:
          manifests.sdk.operatorframework.io/v2: {}
          scorecard.sdk.operatorframework.io/v2: {}

   2. PROJECT 配置版本 3-alpha 必须升级到 3。PROJECT 文件中的 version 键代表 PROJECT 配置版本：

      旧 PROJECT 文件

      version: 3-alpha
      resources:
      - crdVersion: v1
      ...

      版本 3-alpha 已成为稳定的 版本 3，包含一组足以完全描述项目的配置字段。在技术上，这种更改不会破坏系统，因为此版本的 spec 是 alpha，但在 operator-sdk 命令中默认使用它，因此应该将其标记为破坏并有方便的升级路径。

      1. 运行 alpha config-3alpha-to-3 命令，将大多数 PROJECT 文件从版本 3-alpha 转换为 3：

         $ operator-sdk alpha config-3alpha-to-3

         输出示例

         Your PROJECT config file has been converted from version 3-alpha to 3. Please make sure all config data is correct.

         命令也会以无法自动转换的指示输出注释。

      2. 验证更改：

         新 PROJECT 文件

         version: "3"
         resources:
         - api:
           crdVersion: v1
         ...

2. 对 config/manager/manager.yaml 文件进行以下更改：

   1. 对于基于 Ansible 和 Helm 的 Operator 项目，添加存活度和就绪度探测。

      使用 Operator SDK 构建的新项目默认配置有探测。端点 /healthz 和 /readyz 现在包括在提供的镜像库中。您可以通过更新 Dockerfile 来使用最新的基础镜像来更新现有项目以使用探测，然后将以下内容添加到 config/manager/manager.yaml 文件中的 manager 容器中：

      例 5.1. 配置基于 Ansible 的 Operator 项目

        livenessProbe:
          httpGet:
            path: /healthz
            port: 6789
          initialDelaySeconds: 15
          periodSeconds: 20
        readinessProbe:
          httpGet:
            path: /readyz
            port: 6789
          initialDelaySeconds: 5
          periodSeconds: 10

      例 5.2. 配置基于 Helm 的 Operator 项目

        livenessProbe:
          httpGet:
            path: /healthz
            port: 8081
          initialDelaySeconds: 15
          periodSeconds: 20
        readinessProbe:
          httpGet:
            path: /readyz
            port: 8081
          initialDelaySeconds: 5
          periodSeconds: 10

   2. 对于基于 Ansible 和 Helm 的 Operator 项目，在管理器的部署中添加安全上下文。

      在 config/manager/manager.yaml 文件中添加以下安全上下文：

      例 5.3. config/manager/manager.yaml 文件

      spec:
        ...
        template:
          ...
          spec:
            securityContext:
              runAsNonRoot: true
            containers:
            - name: manager
              securityContext:
                allowPrivilegeEscalation: false

3. 对 Makefile 进行以下更改：

   1. 对于 Ansible 和基于 Helm 的 Operator 项目，更新 Makefile 中的 helm-operator 和 ansible-operator URL:

      • 对于基于 Ansible 的 Operator 项目，请更改：

        https://github.com/operator-framework/operator-sdk/releases/download/v1.3.0/ansible-operator-v1.3.0-$(ARCHOPER)-$(OSOPER)

        改为：

        https://github.com/operator-framework/operator-sdk/releases/download/v1.8.0/ansible-operator_$(OS)_$(ARCH)

      • 对于基于 Helm 的 Operator 项目，请更改：

        https://github.com/operator-framework/operator-sdk/releases/download/v1.3.0/helm-operator-v1.3.0-$(ARCHOPER)-$(OSOPER)

        改为：

        https://github.com/operator-framework/operator-sdk/releases/download/v1.8.0/helm-operator_$(OS)_$(ARCH)

   2. 对于 Ansible 和基于 Helm 的 Operator 项目，更新 Makefile 中的 helm-operator、ansible-operator 和 kustomize 规则。这些规则下载本地二进制文件，但如果有全局二进制文件，则不会使用它：

      例 5.4. 基于 Ansible 的 Operator 项目的Makefile diff

       PATH  := $(PATH):$(PWD)/bin
       SHELL := env PATH=$(PATH) /bin/sh
      -OS := $(shell uname -s | tr '[:upper:]' '[:lower:]')
      -ARCH := $(shell uname -m | sed 's/x86_64/amd64/')
      +OS    = $(shell uname -s | tr '[:upper:]' '[:lower:]')
      +ARCH  = $(shell uname -m | sed 's/x86_64/amd64/')
      +OSOPER   = $(shell uname -s | tr '[:upper:]' '[:lower:]' | sed 's/darwin/apple-darwin/' | sed 's/linux/linux-gnu/')
      +ARCHOPER = $(shell uname -m )
      
      -# Download kustomize locally if necessary, preferring the $(pwd)/bin path over global if both exist.
      -.PHONY: kustomize
      -KUSTOMIZE = $(shell pwd)/bin/kustomize
       kustomize:
      -ifeq (,$(wildcard $(KUSTOMIZE)))
      -ifeq (,$(shell which kustomize 2>/dev/null))
      +ifeq (, $(shell which kustomize 2>/dev/null))
       	@{ \
       	set -e ;\
      -	mkdir -p $(dir $(KUSTOMIZE)) ;\
      -	curl -sSLo - https://github.com/kubernetes-sigs/kustomize/releases/download/kustomize/v3.5.4/kustomize_v3.5.4_$(OS)_$(ARCH).tar.gz | \
      -	tar xzf - -C bin/ ;\
      +	mkdir -p bin ;\
      +	curl -sSLo - https://github.com/kubernetes-sigs/kustomize/releases/download/kustomize/v3.5.4/kustomize_v3.5.4_$(OS)_$(ARCH).tar.gz | tar xzf - -C bin/ ;\
       	}
      +KUSTOMIZE=$(realpath ./bin/kustomize)
       else
      -KUSTOMIZE = $(shell which kustomize)
      -endif
      +KUSTOMIZE=$(shell which kustomize)
       endif
      
      -# Download ansible-operator locally if necessary, preferring the $(pwd)/bin path over global if both exist.
      -.PHONY: ansible-operator
      -ANSIBLE_OPERATOR = $(shell pwd)/bin/ansible-operator
       ansible-operator:
      -ifeq (,$(wildcard $(ANSIBLE_OPERATOR)))
      -ifeq (,$(shell which ansible-operator 2>/dev/null))
      +ifeq (, $(shell which ansible-operator 2>/dev/null))
       	@{ \
       	set -e ;\
      -	mkdir -p $(dir $(ANSIBLE_OPERATOR)) ;\
      -	curl -sSLo $(ANSIBLE_OPERATOR) https://github.com/operator-framework/operator-sdk/releases/download/v1.3.0/ansible-operator_$(OS)_$(ARCH) ;\
      -	chmod +x $(ANSIBLE_OPERATOR) ;\
      +	mkdir -p bin ;\
      +	curl -LO https://github.com/operator-framework/operator-sdk/releases/download/v1.8.0/ansible-operator-v1.8.0-$(ARCHOPER)-$(OSOPER) ;\
      +	mv ansible-operator-v1.8.0-$(ARCHOPER)-$(OSOPER) ./bin/ansible-operator ;\
      +	chmod +x ./bin/ansible-operator ;\
       	}
      +ANSIBLE_OPERATOR=$(realpath ./bin/ansible-operator)
       else
      -ANSIBLE_OPERATOR = $(shell which ansible-operator)
      -endif
      +ANSIBLE_OPERATOR=$(shell which ansible-operator)
       endif

      例 5.5. 基于 Helm 的 Operator 项目的Makefile diff

       PATH  := $(PATH):$(PWD)/bin
       SHELL := env PATH=$(PATH) /bin/sh
      -OS := $(shell uname -s | tr '[:upper:]' '[:lower:]')
      -ARCH := $(shell uname -m | sed 's/x86_64/amd64/')
      +OS    = $(shell uname -s | tr '[:upper:]' '[:lower:]')
      +ARCH  = $(shell uname -m | sed 's/x86_64/amd64/')
      +OSOPER   = $(shell uname -s | tr '[:upper:]' '[:lower:]' | sed 's/darwin/apple-darwin/' | sed 's/linux/linux-gnu/')
      +ARCHOPER = $(shell uname -m )
      
      -# Download kustomize locally if necessary, preferring the $(pwd)/bin path over global if both exist.
      -.PHONY: kustomize
      -KUSTOMIZE = $(shell pwd)/bin/kustomize
       kustomize:
      -ifeq (,$(wildcard $(KUSTOMIZE)))
      -ifeq (,$(shell which kustomize 2>/dev/null))
      +ifeq (, $(shell which kustomize 2>/dev/null))
       	@{ \
       	set -e ;\
      -	mkdir -p $(dir $(KUSTOMIZE)) ;\
      -	curl -sSLo - https://github.com/kubernetes-sigs/kustomize/releases/download/kustomize/v3.5.4/kustomize_v3.5.4_$(OS)_$(ARCH).tar.gz | \
      -	tar xzf - -C bin/ ;\
      +	mkdir -p bin ;\
      +	curl -sSLo - https://github.com/kubernetes-sigs/kustomize/releases/download/kustomize/v3.5.4/kustomize_v3.5.4_$(OS)_$(ARCH).tar.gz | tar xzf - -C bin/ ;\
       	}
      +KUSTOMIZE=$(realpath ./bin/kustomize)
       else
      -KUSTOMIZE = $(shell which kustomize)
      -endif
      +KUSTOMIZE=$(shell which kustomize)
       endif
      
      -# Download helm-operator locally if necessary, preferring the $(pwd)/bin path over global if both exist.
      -.PHONY: helm-operator
      -HELM_OPERATOR = $(shell pwd)/bin/helm-operator
       helm-operator:
      -ifeq (,$(wildcard $(HELM_OPERATOR)))
      -ifeq (,$(shell which helm-operator 2>/dev/null))
      +ifeq (, $(shell which helm-operator 2>/dev/null))
       	@{ \
       	set -e ;\
      -	mkdir -p $(dir $(HELM_OPERATOR)) ;\
      -	curl -sSLo $(HELM_OPERATOR) https://github.com/operator-framework/operator-sdk/releases/download/v1.3.0/helm-operator_$(OS)_$(ARCH) ;\
      -	chmod +x $(HELM_OPERATOR) ;\
      +	mkdir -p bin ;\
      +	curl -LO https://github.com/operator-framework/operator-sdk/releases/download/v1.8.0/helm-operator-v1.8.0-$(ARCHOPER)-$(OSOPER) ;\
      +	mv helm-operator-v1.8.0-$(ARCHOPER)-$(OSOPER) ./bin/helm-operator ;\
      +	chmod +x ./bin/helm-operator ;\
       	}
      +HELM_OPERATOR=$(realpath ./bin/helm-operator)
       else
      -HELM_OPERATOR = $(shell which helm-operator)
      -endif
      +HELM_OPERATOR=$(shell which helm-operator)
       endif

   3. 将位置目录参数 . 移到 docker-build 的 make 目标中。

      docker-build 目标中的目录参数 . 移到最后一个位置参数，以与 podman CLI 的预期一致，这样可以进行替换清理：

      旧目标

      docker-build:
        docker build . -t ${IMG}

      新目标

      docker-build:
        docker build -t ${IMG} .

      您可以运行以下命令进行此更改：

      $ sed -i 's/docker build . -t ${IMG}/docker build -t ${IMG} ./' $(git grep -l 'docker.*build \. ')

   4. 对于 Ansible 和基于 Helm 的 Operator 项目，在 Makefile 中添加一个 help 目标。

      Ansible 和 Helm 的项目现在默认在 Makefile 中提供 help 目标，类似于 --help 标志。您可以使用以下行手动将此目标添加到 Makefile 中：

      例 5.6. help 目标

      ##@ General
      
      # The help target prints out all targets with their descriptions organized
      # beneath their categories. The categories are represented by '##@' and the
      # target descriptions by '##'. The awk commands is responsible for reading the
      # entire set of makefiles included in this invocation, looking for lines of the
      # file as xyz: ## something, and then pretty-format the target and help. Then,
      # if there's a line with ##@ something, that gets pretty-printed as a category.
      # More info on the usage of ANSI control characters for terminal formatting:
      # https://en.wikipedia.org/wiki/ANSI_escape_code#SGR_parameters
      # More info on the awk command:
      # http://linuxcommand.org/lc3_adv_awk.php
      
      help: ## Display this help.
      	@awk 'BEGIN {FS = ":.*##"; printf "\nUsage:\n  make \033[36m<target>\033[0m\n"} /^[a-zA-Z_0-9-]+:.*?##/ { printf "  \033[36m%-15s\033[0m %s\n", $$1, $$2 } /^##@/ { printf "\n\033[1m%s\033[0m\n", substr($$0, 5) } ' $(MAKEFILE_LIST)

   5. 添加 opm 和 catalog-build 目标。您可以使用这些目标为 Operator 创建自己的目录，或将 Operator 捆绑包添加到现有目录中：

      1. 通过添加以下几行将目标添加到 Makefile 中：

         例 5.7. OPM 和 catalog-build 目标

         .PHONY: opm
         OPM = ./bin/opm
         opm:
         ifeq (,$(wildcard $(OPM)))
         ifeq (,$(shell which opm 2>/dev/null))
         	@{ \
         	set -e ;\
         	mkdir -p $(dir $(OPM)) ;\
         	curl -sSLo $(OPM) https://github.com/operator-framework/operator-registry/releases/download/v1.15.1/$(OS)-$(ARCH)-opm ;\
         	chmod +x $(OPM) ;\
         	}
         else
         OPM = $(shell which opm)
         endif
         endif
         BUNDLE_IMGS ?= $(BUNDLE_IMG)
         CATALOG_IMG ?= $(IMAGE_TAG_BASE)-catalog:v$(VERSION) ifneq ($(origin CATALOG_BASE_IMG), undefined) FROM_INDEX_OPT := --from-index $(CATALOG_BASE_IMG) endif
         .PHONY: catalog-build
         catalog-build: opm
         	$(OPM) index add --container-tool docker --mode semver --tag $(CATALOG_IMG) --bundles $(BUNDLE_IMGS) $(FROM_INDEX_OPT)
         
         .PHONY: catalog-push
         catalog-push: ## Push the catalog image.
         	$(MAKE) docker-push IMG=$(CATALOG_IMG)

      2. 如果要更新基于 Go 的 Operator 项目，还要添加以下 Makefile 变量：

         例 5.8. Makefile 变量

         OS = $(shell go env GOOS)
         ARCH = $(shell go env GOARCH)

   6. 对于基于 Go 的 Operator 项目，将 Makefile 中的 SHELL 变量设置为系统 bash 二进制文件。

      导入 setup-envtest.sh 脚本需要 bash，因此 SHELL 变量必须设置为带有错误选项的 bash：

      例 5.9. Makefile diff

      else GOBIN=$(shell go env GOBIN)
      endif
      +# Setting SHELL to bash allows bash commands to be executed by recipes.
      +# This is a requirement for 'setup-envtest.sh' in the test target.
      +# Options are set to exit when a recipe line exits non-zero or a piped command fails.
      +SHELL = /usr/bin/env bash -o pipefail
      +.SHELLFLAGS = -ec
      + all: build

4. 对于基于 Go 的 Operator 项目，通过更改 go.mod 文件中的以下条目，将 controller-runtime 升级到 v0.8.3，将 Kubernetes 依赖项升级到 v0.20.2，然后重新构建项目：

   例 5.10. go.mod 文件

   ...
   	k8s.io/api v0.20.2
   	k8s.io/apimachinery v0.20.2
   	k8s.io/client-go v0.20.2
   	sigs.k8s.io/controller-runtime v0.8.3

5. 将 system:controller-manager 服务帐户添加到您的项目。现在，operator-sdk init 命令生成了非默认服务帐户 controller-manager，以改进在共享命名空间中安装的 Operator 的安全性。要将此服务帐户添加到现有项目中，请按照以下步骤执行：

   1. 在文件中创建 ServiceAccount 定义：

      例 5.11. config/rbac/service_account.yaml file

      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: controller-manager
        namespace: system

   2. 将服务帐户添加到 RBAC 资源列表中：

      $ echo "- service_account.yaml" >> config/rbac/kustomization.yaml

   3. 更新引用 Operator 服务帐户的所有 RoleBinding 和 ClusterRoleBinding 对象：

      $ find config/rbac -name *_binding.yaml -exec sed -i -E 's/  name: default/  name: controller-manager/g' {} \;

   4. 将服务帐户名称添加到管理器部署的 spec.template.spec.serviceAccountName 字段：

      $ sed -i -E 's/([ ]+)(terminationGracePeriodSeconds:)/\1serviceAccountName: controller-manager\n\1\2/g' config/manager/manager.yaml

   5. 验证更改是否类似以下 diffs:

      例 5.12. config/manager/manager.yaml 文件 diff

      ...
                 requests:
                   cpu: 100m
                   memory: 20Mi
      +      serviceAccountName: controller-manager
             terminationGracePeriodSeconds: 10

      例 5.13. config/rbac/auth_proxy_role_binding.yaml 文件 diff

      ...
         name: proxy-role
       subjects:
       - kind: ServiceAccount
      -  name: default
      +  name: controller-manager
         namespace: system

      例 5.14. config/rbac/kustomization.yaml 文件 diff

       resources:
      +- service_account.yaml
       - role.yaml
       - role_binding.yaml
       - leader_election_role.yaml

      例 5.15. config/rbac/leader_election_role_binding.yaml 文件 diff

      ...
         name: leader-election-role
       subjects:
       - kind: ServiceAccount
      -  name: default
      +  name: controller-manager
         namespace: system

      例 5.16. config/rbac/role_binding.yaml 文件 diff

      ...
         name: manager-role
       subjects:
       - kind: ServiceAccount
      -  name: default
      +  name: controller-manager
         namespace: system

      例 5.17. config/rbac/service_account.yaml 文件 diff

      +apiVersion: v1
      +kind: ServiceAccount
      +metadata:
      +  name: controller-manager
      +  namespace: system

6. 对 config/manifests/kustomization.yaml 文件进行以下更改：

   1. 添加 Kustomize 补丁，从集群服务版本（CSV）中删除 cert-manager volume 和 volumeMount 对象。

      因为 Operator Lifecycle Manager（OLM）尚不支持 cert-manager，因此添加了 JSON 补丁来删除这个卷并挂载，以便 OLM 可以为 Operator 创建和管理证书。

      在 config/manifests/kustomization.yaml 文件中添加以下行：

      例 5.18. config/manifests/kustomization.yaml file

      patchesJson6902:
      - target:
          group: apps
          version: v1
          kind: Deployment
          name: controller-manager
          namespace: system
        patch: |-
          # Remove the manager container's "cert" volumeMount, since OLM will create and mount a set of certs.
          # Update the indices in this path if adding or removing containers/volumeMounts in the manager's Deployment.
          - op: remove
            path: /spec/template/spec/containers/1/volumeMounts/0
          # Remove the "cert" volume, since OLM will create and mount a set of certs.
          # Update the indices in this path if adding or removing volumes in the manager's Deployment.
          - op: remove
            path: /spec/template/spec/volumes/0

   2. 可选： 对于基于 Ansible 和 Helm 的 Operator 项目，使用组件配置配置 ansible-operator 和 helm-operator。要添加这个选项，请按照以下步骤执行：

      1. 创建以下文件：

         例 5.19. config/default/manager_config_patch.yaml file

         apiVersion: apps/v1
         kind: Deployment
         metadata:
           name: controller-manager
           namespace: system
         spec:
           template:
             spec:
               containers:
               - name: manager
                 args:
                 - "--config=controller_manager_config.yaml"
                 volumeMounts:
                 - name: manager-config
                   mountPath: /controller_manager_config.yaml
                   subPath: controller_manager_config.yaml
               volumes:
               - name: manager-config
                 configMap:
                   name: manager-config

      2. 创建以下文件：

         例 5.20. config/manager/controller_manager_config.yaml 文件

         apiVersion: controller-runtime.sigs.k8s.io/v1alpha1
         kind: ControllerManagerConfig
         health:
           healthProbeBindAddress: :6789
         metrics:
           bindAddress: 127.0.0.1:8080
         
         leaderElection:
           leaderElect: true
           resourceName: <resource_name>

      3. 通过将以下更改应用到 resources 来更新 config/default/kustomization.yaml 文件：

         例 5.21. config/default/kustomization.yaml 文件

           resources:
           ...
           - manager_config_patch.yaml

      4. 通过应用以下更改来更新 config/manager/kustomization.yaml 文件：

         例 5.22. config/manager/kustomization.yaml 文件

           generatorOptions:
             disableNameSuffixHash: true
         
           configMapGenerator:
           - files:
             - controller_manager_config.yaml
             name: manager-config
           apiVersion: kustomize.config.k8s.io/v1beta1
           kind: Kustomization
           images:
           - name: controller
             newName: quay.io/example/memcached-operator
             newTag: v0.0.1

   3. 可选：在 config/default/kustomization.yaml 文件中添加管理器配置补丁。

      当最初添加配置文件支持时，生成的 --config 标志不会添加到 ansible-operator 或 helm-operator 二进制文件，因此它目前无法正常工作。--config 标志支持按文件配置两个二进制文件 ; 这种配置方法仅适用于底层控制器管理器，而不适用于整个 Operator。

      要使用配置文件配置 Operator 部署，对 config/default/kustomization.yaml 文件进行更改，如下 diff 所示：

      例 5.23. config/default/kustomization.yaml 文件 diff

      # If you want your controller-manager to expose the /metrics # endpoint w/o any authn/z, please comment the following line.
      \- manager_auth_proxy_patch.yaml
      +# Mount the controller config file for loading manager configurations
      +# through a ComponentConfig type
      +- manager_config_patch.yaml

      标志可按原样使用，或者用于覆盖配置文件值。

7. 对于基于 Ansible 和 Helm 的 Operator 项目，通过对 config/rbac/leader_election_role.yaml 文件进行以下更改，为领导选举添加角色规则：

   例 5.24. config/rbac/leader_election_role.yaml 文件

   - apiGroups:
     - coordination.k8s.io
     resources:
     - leases
     verbs:
     - get
     - list
     - watch
     - create
     - update
     - patch
     - delete

8. 对于基于 Ansible 的 Operator 项目，请更新 Ansible 集合。

   在 requirements.yml 文件中，将 community.kubernetes 的 version 字段更改为 1.2.1，将 operator_sdk.util 的 version 字段更改为 0.2.0。

9. 对 config/default/manager_auth_proxy_patch.yaml 文件进行以下更改：

   • 对于基于 Ansible 的 Operator 项目，将 --health-probe-bind-address=:6789 参数添加到 config/default/manager_auth_proxy_patch.yaml 文件中：

     例 5.25. config/default/manager_auth_proxy_patch.yaml 文件

     spec:
       template:
         spec:
           containers:
           - name: manager
             args:
             - "--health-probe-bind-address=:6789"
             ...

   • 对于基于 Helm 的 Operator 项目：

     1. 将 --health-probe-bind-address=:8081 参数添加到 config/default/manager_auth_proxy_patch.yaml 文件：

        例 5.26. config/default/manager_auth_proxy_patch.yaml 文件

        spec:
          template:
            spec:
              containers:
              - name: manager
                args:
                - "--health-probe-bind-address=:8081"
                ...

     2. 将已弃用的标志 --enable-leader-election 替换为 --leader-elect，将已弃用的标志 --metrics-addr 替换为 --metrics-bind-address。

10. 对 config/prometheus/monitor.yaml 文件进行以下更改：

    1. 将方案、令牌和 TLS 配置添加到 Prometheus ServiceMonitor 指标端点。

       当在 manager pod 上指定 https 端口时，/metrics 端点实际上没有被配置为通过 HTTPS 提供，因为没有设置 tlsConfig。因为 kube-rbac-proxy 将这个端点作为管理器 sidecar 保护，因此使用挂载到 pod 的服务帐户令牌默认修正了这个问题。

       将更改应用到 config/prometheus/monitor.yaml 文件，如下所示：

       例 5.27. config/prometheus/monitor.yaml 文件 diff

       spec:
          endpoints:
            - path: /metrics
              port: https
       +      scheme: https
       +      bearerTokenFile: /var/run/secrets/kubernetes.io/serviceaccount/token
       +      tlsConfig:
       +        insecureSkipVerify: true
          selector:
            matchLabels:
              control-plane: controller-manager

       注意

       如果您从项目中删除了 kube-rbac-proxy，请确保使用正确的 TLS 配置保护 /metrics 端点。

11. 确保现有的依赖资源具有所有者注解。

    对于基于 Ansible 的 Operator 项目，集群范围的依赖资源和依赖资源上的所有者引用注解 没有被正确应用。一个临时解决方案是手动添加这些注解。在这个问题被修复后将不再需要。

12. 弃用软件包清单的支持。

    Operator Framework 在以后的版本中删除了对 Operator 软件包清单格式的支持。作为持续弃用过程的一部分，operator-sdk generate packagemanifests 和 operator-sdk run packagemanifests 命令现已弃用。要将软件包清单迁移到捆绑包中，可以使用 operator-sdk pkgman-to-bundle 命令。

    运行 operator-sdk pkgman-to-bundle --help 命令，并参阅"Migrating package manifest projects to bundle format"以了解更多详细信息。

13. 更新 Operator 的终结器名称。

    Kubernetes 文档 给出的终结器名称格式为：

    <qualified_group>/<finalizer_name>

    虽然之前记录的 Operator SDK 格式为：

    <finalizer_name>.<qualified_group>

    如果您的 Operator 使用任何名称与不正确的格式匹配的终结器，请将其更改为与官方格式匹配。例如，finalizer.cache.example.com 必须改为 cache.example.com/finalizer。