5.2. 配置 Azure 帐户

流程

1. 标识您的域或子域，以及注册商（registrar）。您可以转移现有的域和注册商，或通过 Azure 或其他来源获取新的域和注册商。

   注意

   如需通过 Azure 购买域的更多信息，请参阅 Azure 文档中的购买 Azure 应用服务的自定义域名。

2. 如果您使用现有的域和注册商，请将其 DNS 迁移到 Azure。请参阅 Azure 文档中的将活动 DNS 名称迁移到 Azure 应用服务。

3. 为您的域配置 DNS。按照 Azure 文档中教程：在 Azure DNS 中托管域部分里的步骤，为您的域或子域创建一个公共托管区，提取新的权威名称服务器，并更新您的域使用的名称服务器的注册商记录。

   使用合适的根域（如 openshiftcorp.com）或子域（如 clusters.openshiftcorp.com）。

4. 如果您使用子域，请按照您公司的流程将其委派记录添加到父域。

流程

1. 从 Azure 门户，点击左下角的 Help + suport。

2. 点击 New support request，然后选择所需的值：

   1. 从 Issue type 列表中，选择 Service and subscription limits (quotas)。
   2. 从 Subscription 列表中，选择要修改的订阅。
   3. 从 Quota type 列表中，选择要提高的配额。例如，选择 Compute-VM (cores-vCPUs) subscription limit increases 以增加 vCPU 的数量，这是安装集群所必须的。
   4. 点击 Next: Solutions。

3. 在 Problem Details 页面中，提供您要提高配额所需的信息：

   1. 点击 Provide details，然后在 Quota details 窗口中提供所需的详情。
   2. 在 SUPPORT METHOD 和 CONTACT INFO 部分中，提供问题严重性和您的联系详情。
4. 点击 Next: Review + create，然后点击 Create。

流程

1. 登录 Azure CLI：

   $ az login

   在 Web 控制台中，使用您的凭证登录 Azure。

2. 如果您的 Azure 帐户使用订阅，请确保使用正确的订阅。

   1. 查看可用帐户列表并记录您要用于集群的订阅的 tenantId 值：

      $ az account list --refresh

      输出示例

      [
        {
          "cloudName": "AzureCloud",
          "id": "9bab1460-96d5-40b3-a78e-17b15e978a80",
          "isDefault": true,
          "name": "Subscription Name",
          "state": "Enabled",
          "tenantId": "6057c7e9-b3ae-489d-a54e-de3f6bf6a8ee",
          "user": {
            "name": "you@example.com",
            "type": "user"
          }
        }
      ]

   2. 查看您的活跃帐户详情，确认 tenantId 值与您要使用的订阅匹配：

      $ az account show

      输出示例

      {
        "environmentName": "AzureCloud",
        "id": "9bab1460-96d5-40b3-a78e-17b15e978a80",
        "isDefault": true,
        "name": "Subscription Name",
        "state": "Enabled",
        "tenantId": "6057c7e9-b3ae-489d-a54e-de3f6bf6a8ee", 1
        "user": {
          "name": "you@example.com",
          "type": "user"
        }
      }

      1

      确定 tenantId 参数的值是正确订阅的 UUID。

   3. 如果您使用的订阅不正确，请更改活跃的订阅：

      $ az account set -s <id> 1

      1

      替换您要用于 <id> 的订阅的 id 值。

   4. 如果您更改了活跃订阅，请重新显示您的帐户信息：

      $ az account show

      输出示例

      {
        "environmentName": "AzureCloud",
        "id": "33212d16-bdf6-45cb-b038-f6565b61edda",
        "isDefault": true,
        "name": "Subscription Name",
        "state": "Enabled",
        "tenantId": "8049c7e9-c3de-762d-a54e-dc3f6be6a7ee",
        "user": {
          "name": "you@example.com",
          "type": "user"
        }
      }

3. 记录前面输出中 tenantId 和 id 参数的值。OpenShift Container Platform 安装过程中需要这些值。

4. 为您的帐户创建服务主体：

   $ az ad sp create-for-rbac --role Contributor --name <service_principal> 1

   1

   将 <service_principal> 替换要您要分配给服务主体的名称。

   输出示例

   Changing "<service_principal>" to a valid URI of "http://<service_principal>", which is the required format used for service principal names
   Retrying role assignment creation: 1/36
   Retrying role assignment creation: 2/36
   Retrying role assignment creation: 3/36
   Retrying role assignment creation: 4/36
   {
     "appId": "8bd0d04d-0ac2-43a8-928d-705c598c6956",
     "displayName": "<service_principal>",
     "name": "http://<service_principal>",
     "password": "ac461d78-bf4b-4387-ad16-7e32e328aec6",
     "tenant": "6048c7e9-b2ad-488d-a54e-dc3f6be6a7ee"
   }

5. 记录前面输出中 appId 和 password 参数的值。OpenShift Container Platform 安装过程中需要这些值。

6. 为服务主体授予额外权限。

   • 您必须始终将 Contributor 和 User Access Administrator 角色添加到应用程序注册服务主体中，以便集群可以为组件分配凭证。
   • 要以 mint 模式操作 Cloud Credential Operator（CCO），应用程序注册服务主体还需要 Azure Active Directory Graph/Application.ReadWrite.OwnedBy API 权限。
   • 要以 passthrough 模式 操作 CCO，应用程序注册服务主体不需要额外的 API 权限。

   如需有关 CCO 模式的更多信息，请参阅 身份验证和授权 指南的"管理云供应商凭证"一节中的"关于 Cloud Credential Operator"。

   注意

   如果将 OpenShift Container Platform 安装程序的服务主体范围限制到已存在的 Azure 资源组，您必须确保环境中安装程序使用的所有其他资源都具有必要的权限，如公共 DNS 区和虚拟网络。使用安装程序销毁集群会删除此资源组。

   1. 要分配 User Access Administrator 角色，请运行以下命令：

      $ az role assignment create --role "User Access Administrator" \
          --assignee-object-id $(az ad sp list --filter "appId eq '<appId>'" \
             | jq '.[0].id' -r) 1

      1

      将 <appId> 替换为服务器主体的 appId 参数值。

   2. 要分配 Azure Active Directory Graph 权限，请运行以下命令：

      $ az ad app permission add --id <appId> \ 1
           --api 00000002-0000-0000-c000-000000000000 \
           --api-permissions 824c81eb-e3f8-4ee6-8f6d-de7f50d565b7=Role

      1

      将 <appId> 替换为服务器主体的 appId 参数值。

      输出示例

      Invoking "az ad app permission grant --id 46d33abc-b8a3-46d8-8c84-f0fd58177435 --api 00000002-0000-0000-c000-000000000000" is needed to make the change effective

      如需进一步了解可通过此命令授予的具体权限，请参阅 Windows Azure Active Directory 权限的 GUID 表。

   3. 批准权限请求。如果您的帐户没有 Azure Active Directory 租户管理员角色，请按照您的组织的准则请租户管理员批准您的权限请求。

      $ az ad app permission grant --id <appId> \ 1
           --api 00000002-0000-0000-c000-000000000000

      1

      将 <appId> 替换为服务器主体的 appId 参数值。