Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

6.22. 批准机器的证书签名请求

当您将机器添加到集群时，会为您添加的每台机器生成两个待处理证书签名请求(CSR)。您必须确认这些 CSR 已获得批准，或根据需要自行批准。必须首先批准客户端请求，然后批准服务器请求。

先决条件

  • 您已将机器添加到集群中。

流程

  1. 确认集群可以识别这些机器： 

    $ oc get nodes
    Copy to Clipboard Toggle word wrap

    输出示例

    NAME      STATUS    ROLES   AGE  VERSION
master-0  Ready     master  63m  v1.26.0
master-1  Ready     master  63m  v1.26.0
master-2  Ready     master  64m  v1.26.0
    Copy to Clipboard Toggle word wrap

    输出中列出了您创建的所有机器。

    注意

    在有些 CSR 被批准前，前面的输出可能不包括计算节点（也称为 worker 节点）。

  2. 检查待处理的 CSR，并确保添加到集群中的每台机器都有 Pending 或 Approved 状态的客户端请求： 

    $ oc get csr
    Copy to Clipboard Toggle word wrap

    输出示例

    NAME        AGE     REQUESTOR                                                                   CONDITION
csr-8b2br   15m     system:serviceaccount:openshift-machine-config-operator:node-bootstrapper   Pending
csr-8vnps   15m     system:serviceaccount:openshift-machine-config-operator:node-bootstrapper   Pending
...
    Copy to Clipboard Toggle word wrap

    在本例中，两台机器加入集群。您可能会在列表中看到更多已批准的 CSR。

  3. 如果 CSR 没有获得批准，在您添加的机器的所有待处理 CSR 都处于 Pending 状态 后，请批准集群机器的 CSR：

    注意

    由于 CSR 会自动轮转，因此请在将机器添加到集群后一小时内批准您的 CSR。如果没有在一小时内批准它们，证书将会轮转，每个节点会存在多个证书。您必须批准所有这些证书。批准客户端 CSR 后，Kubelet 为服务证书创建一个二级 CSR，这需要手动批准。然后，如果 Kubelet 请求具有相同参数的新证书，则后续提供证书续订请求由 machine-approver 自动批准。

    注意

    对于在未启用机器 API 的平台上运行的集群，如裸机和其他用户置备的基础架构，您必须实施一种方法来自动批准 kubelet 提供证书请求(CSR)。如果没有批准请求，则 oc exec、ocrsh 和 oc logs 命令将无法成功，因为 API 服务器连接到 kubelet 时需要服务证书。与 Kubelet 端点联系的任何操作都需要此证书批准。该方法必须监视新的 CSR，确认 CSR 由 system: node 或 system:admin 组中的 node-bootstrapper 服务帐户提交，并确认节点的身份。

    • 要单独批准，请对每个有效的 CSR 运行以下命令： 

      $ oc adm certificate approve <csr_name>
      1
      Copy to Clipboard Toggle word wrap
      1
      <csr_name> 是当前 CSR 列表中 CSR 的名称。

    • 要批准所有待处理的 CSR，请运行以下命令： 

      $ oc get csr -o go-template='{{range .items}}{{if not .status}}{{.metadata.name}}{{"\n"}}{{end}}{{end}}' | xargs --no-run-if-empty oc adm certificate approve
      Copy to Clipboard Toggle word wrap
      注意

      在有些 CSR 被批准前，一些 Operator 可能无法使用。

  4. 现在，您的客户端请求已被批准，您必须查看添加到集群中的每台机器的服务器请求： 

    $ oc get csr
    Copy to Clipboard Toggle word wrap

    输出示例

    NAME        AGE     REQUESTOR                                                                   CONDITION
csr-bfd72   5m26s   system:node:ip-10-0-50-126.us-east-2.compute.internal                       Pending
csr-c57lv   5m26s   system:node:ip-10-0-95-157.us-east-2.compute.internal                       Pending
...
    Copy to Clipboard Toggle word wrap

  5. 如果剩余的 CSR 没有被批准，且处于 Pending 状态，请批准集群机器的 CSR：

    • 要单独批准，请对每个有效的 CSR 运行以下命令： 

      $ oc adm certificate approve <csr_name>
      1
      Copy to Clipboard Toggle word wrap
      1
      <csr_name> 是当前 CSR 列表中 CSR 的名称。

    • 要批准所有待处理的 CSR，请运行以下命令： 

      $ oc get csr -o go-template='{{range .items}}{{if not .status}}{{.metadata.name}}{{"\n"}}{{end}}{{end}}' | xargs oc adm certificate approve
      Copy to Clipboard Toggle word wrap

  6. 批准所有客户端和服务器 CSR 后，机器将 处于 Ready 状态。运行以下命令验证： 

    $ oc get nodes
    Copy to Clipboard Toggle word wrap

    输出示例

    NAME      STATUS    ROLES   AGE  VERSION
master-0  Ready     master  73m  v1.26.0
master-1  Ready     master  73m  v1.26.0
master-2  Ready     master  74m  v1.26.0
worker-0  Ready     worker  11m  v1.26.0
worker-1  Ready     worker  11m  v1.26.0
    Copy to Clipboard Toggle word wrap

    注意

    批准服务器 CSR 后可能需要几分钟时间让机器过渡到 Ready 状态。

其他信息

6.22.1. 初始 Operator 配置
复制链接

在 control plane 初始化后，您必须立即配置一些 Operator，以便它们都可用。

先决条件

  • 您的 control plane 已初始化。

流程

  1. 观察集群组件上线： 

    $ watch -n5 oc get clusteroperators
    Copy to Clipboard Toggle word wrap

    输出示例

    NAME                                       VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE
authentication                             4.13.0    True        False         False      19m
baremetal                                  4.13.0    True        False         False      37m
cloud-credential                           4.13.0    True        False         False      40m
cluster-autoscaler                         4.13.0    True        False         False      37m
config-operator                            4.13.0    True        False         False      38m
console                                    4.13.0    True        False         False      26m
csi-snapshot-controller                    4.13.0    True        False         False      37m
dns                                        4.13.0    True        False         False      37m
etcd                                       4.13.0    True        False         False      36m
image-registry                             4.13.0    True        False         False      31m
ingress                                    4.13.0    True        False         False      30m
insights                                   4.13.0    True        False         False      31m
kube-apiserver                             4.13.0    True        False         False      26m
kube-controller-manager                    4.13.0    True        False         False      36m
kube-scheduler                             4.13.0    True        False         False      36m
kube-storage-version-migrator              4.13.0    True        False         False      37m
machine-api                                4.13.0    True        False         False      29m
machine-approver                           4.13.0    True        False         False      37m
machine-config                             4.13.0    True        False         False      36m
marketplace                                4.13.0    True        False         False      37m
monitoring                                 4.13.0    True        False         False      29m
network                                    4.13.0    True        False         False      38m
node-tuning                                4.13.0    True        False         False      37m
openshift-apiserver                        4.13.0    True        False         False      32m
openshift-controller-manager               4.13.0    True        False         False      30m
openshift-samples                          4.13.0    True        False         False      32m
operator-lifecycle-manager                 4.13.0    True        False         False      37m
operator-lifecycle-manager-catalog         4.13.0    True        False         False      37m
operator-lifecycle-manager-packageserver   4.13.0    True        False         False      32m
service-ca                                 4.13.0    True        False         False      38m
storage                                    4.13.0    True        False         False      37m
    Copy to Clipboard Toggle word wrap

  2. 配置不可用的 Operator。

6.22.2. 安装过程中删除的镜像 registry
复制链接

在不提供可共享对象存储的平台上，OpenShift Image Registry Operator bootstraps 本身为 Removed。这允许 openshift-installer 在这些平台类型上完成安装。

安装后，您必须编辑 Image Registry Operator 配置，将 managementState 从 Removed 切换到 Managed。完成此操作后，您必须配置存储。

6.22.3. 镜像 registry 存储配置
复制链接

对于不提供默认存储的平台，Image Registry Operator 最初不可用。安装后，您必须将 registry 配置为使用存储，以便 Registry Operator 可用。

显示配置生产集群所需的持久性卷的说明。如果适用，显示有关将空目录配置为存储位置的说明，这仅适用于非生产集群。

提供了在升级过程中使用 Recreate rollout 策略来允许镜像 registry 使用块存储类型的说明。

6.22.3.1. 为 VMware vSphere 配置块 registry 存储
复制链接

要允许镜像 registry 在作为集群管理员升级过程中使用块存储类型，如 vSphere Virtual Machine Disk(VMDK)，您可以使用 Recreate rollout 策略。

重要

支持块存储卷，但不建议在生产环境中用于镜像 registry。在块存储上配置 registry 的安装不具有高可用性，因为 registry 无法具有多个副本。

流程

  1. 输入以下命令将镜像 registry 存储设置为块存储类型，对 registry 进行补丁，使其使用 Recreate rollout 策略，并只使用一个副本运行： 

    $ oc patch config.imageregistry.operator.openshift.io/cluster --type=merge -p '{"spec":{"rolloutStrategy":"Recreate","replicas":1}}'
    Copy to Clipboard Toggle word wrap

  2. 为块存储设备置备 PV，并为该卷创建 PVC。请求的块卷使用 ReadWriteOnce(RWO)访问模式。

    1. 创建包含以下内容的 pvc.yaml 文件以定义 VMware vSphere PersistentVolumeClaim 对象： 

      kind: PersistentVolumeClaim
apiVersion: v1
metadata:
  name: image-registry-storage
      1 
      
  namespace: openshift-image-registry
      2 
      
spec:
  accessModes:
  - ReadWriteOnce
      3 
      
  resources:
    requests:
      storage: 100Gi
      4
      Copy to Clipboard Toggle word wrap
      1
      代表 PersistentVolumeClaim 对象的唯一名称。
      2
      PersistentVolumeClaim 对象的命名空间，即 openshift-image-registry。
      3
      持久性卷声明的访问模式。使用 ReadWriteOnce 时，单个节点可以通过读写权限挂载该卷。
      4
      持久性卷声明的大小。

    2. 输入以下命令从文件创建 PersistentVolumeClaim 对象： 

      $ oc create -f pvc.yaml -n openshift-image-registry
      Copy to Clipboard Toggle word wrap

  3. 输入以下命令编辑 registry 配置，使其引用正确的 PVC： 

    $ oc edit config.imageregistry.operator.openshift.io -o yaml
    Copy to Clipboard Toggle word wrap

    输出示例

    storage:
  pvc:
    claim:
    1
    Copy to Clipboard Toggle word wrap

    1
    通过创建自定义 PVC，您可以将 claim 字段留空，以便默认自动创建 image-registry-storage PVC。

有关配置 registry 存储以便引用正确的 PVC 的说明，请参阅 为 vSphere 配置 registry。

返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat