2.3. 使用 OpenShift Cluster Manager 创建 Workload Identity Federation 集群
流程
- 登录 OpenShift Cluster Manager，再点 OpenShift Dedicated 卡上的 Create cluster。
在 Billing model 下，配置订阅类型和基础架构类型。
- 选择订阅类型。如需有关 OpenShift Dedicated 订阅选项的信息，请参阅 OpenShift Cluster Manager 文档中的集群订阅和注册。
- 选择 Customer cloud subscription infrastructure type。
- 点击 Next。
- 选择 Run on Google Cloud Platform。
选择 Workload Identity Federation 作为 Authentication 类型。
- 读取并完成所有必要的先决条件。
- 点击指示您读取并完成所有必要的先决条件的复选框。
要创建新的 WIF 配置，请打开终端窗口并运行以下 OCM CLI 命令。
$ ocm gcp create wif-config --name <wif_name> \ 1 --project <gcp_project_id> \ 2
- 从 WIF 配置下拉列表中选择一个配置的 WIF 配置。如果要选择在最后一步中创建的 WIF 配置，请单击 Refresh first。
- 点击 Next。
在 Details 页面中，为集群提供一个名称并指定集群详情：
- 在 Cluster name 字段中输入集群名称。
可选：集群创建生成域前缀，作为
openshiftapps.com上置备的集群的子域。如果集群名称小于或等于 15 个字符，则该名称用于域前缀。如果集群名称超过 15 个字符，则域前缀会随机生成为 15 个字符的字符串。要自定义子域前缀，请选中 Create custom domain prefix 复选框，然后在 Domain prefix 字段中输入您的域前缀名称。域前缀不能超过 15 个字符，在您的机构中必须是唯一的，且在集群创建后无法更改。
从 Version 下拉菜单中选择集群版本。
注意Workload Identity Federation (WIF)只在 OpenShift Dedicated 版本 4.17 及更新的版本中被支持。
- 从 Region 下拉菜单中选择云供应商区域。
- 选择 Single zone 或 Multi-zone 配置。
可选： 选择 Enable Secure Boot for Shielded VMs，以便在安装集群时使用 Shielded 虚拟机。如需更多信息，请参阅 Shielded VM。
重要要成功创建集群，如果您的机构启用了策略约束
constraints/compute.requireShieldedVm，则需要选择 Enable Secure Boot support for Shielded VM。如需有关 GCP 机构策略约束的更多信息，请参阅机构策略限制。- 选择 Enable user workload monitoring 以监控您自己的项目，使其与红帽站点可靠性工程师(SRE)平台指标隔离。默认启用这个选项。
可选：扩展高级加密以更改加密设置。
- 选择 Use custom KMS 密钥来使用自定义 KMS 密钥。如果您不希望使用自定义 KMS 密钥，请保留默认设置 Use default KMS Keys。
选择 使用自定义 KMS 密钥 ：
- 从 Key ring location 下拉菜单中选择密钥环位置。
- 从 Key ring 下拉菜单中选择一个密钥环。
- 从 Key name 下拉菜单中选择一个键名称。
- 提供 KMS 服务帐户。
可选： 如果需要集群经过 FIPS 验证，请选择启用 FIPS 加密。
注意如果选择了 Enable FIPS 加密，则默认 启用额外的 etcd 加密，且无法禁用。您可以选择 Enable additional etcd encryption without select Enable FIPS encryption。
可选：如果您需要 etcd 键值加密，请选择 Enable additional etcd encryption。使用此选项时，etcd 键的值被加密，而不是键本身。这个选项除了 control plane 存储加密外，它默认加密 OpenShift Dedicated 集群中的 etcd 卷。
注意通过在 etcd 中为密钥值启用 etcd 加密，则会出现大约 20% 的性能开销。除了加密 etcd 卷的默认 control plane 存储加密外，还会引入第二层加密的开销。只有在特别需要时才考虑启用 etcd 加密。
- 点击 Next。
- 在 Machine pool 页面中，选择 Compute 节点实例类型 和 Compute 节点数。可用的节点数和类型取决于您的 OpenShift Dedicated 订阅。如果您使用多个可用区，则计算节点计数是每个区域。
可选：展开 添加节点标签，为节点添加标签。点 Add additional label 来添加更多节点标签。
重要此步骤指的是 Kubernetes 中的标签，而不是 Google Cloud。如需有关 Kubernetes 标签的更多信息，请参阅 标签和选择器。
- 点击 Next。
- 在集群 隐私 对话框中，选择 Public 或 Private 来使用集群的公共或私有 API 端点和应用程序路由。如果您选择 Private，则默认选择Use Private Service Connect，且无法禁用。私有服务连接(PSC)是 Google Cloud 的安全增强网络功能。
可选： 要在现有 GCP Virtual Private Cloud (VPC) 上安装集群：
选择 Install into an existing VPC。
重要只有 Install into an existing VPC 才支持私有 Service Connect。
如果您要安装到现有的 VPC 中，并且您要为集群启用 HTTP 或 HTTPS 代理，请选择 配置集群范围代理。
重要要为集群配置集群范围代理，您必须首先创建云网络地址转换(NAT)和云路由器。如需更多信息，请参阅附加资源部分。
接受默认应用程序入口设置，或创建自己的自定义设置，选择 Custom Settings。
- 可选：提供路由选择器。
- 可选：提供排除的命名空间。
- 选择命名空间所有权策略。
选择通配符策略。
有关自定义应用程序入口设置的更多信息，请点击每个设置提供的信息图标。
- 点击 Next。
可选： 要将集群安装到 GCP 共享 VPC 中，请按照以下步骤操作。
重要主机项目的 VPC 所有者必须在 Google Cloud 控制台中启用项目作为主机项目，并在集群安装前将 Computer Network Administrator、Compute Security Administrator 和 DNS Administrator 角色添加到以下服务帐户：
- osd-deployer
- osd-control-plane
- openshift-machine-api-gcp
如果不这样做，会导致集群进入"安装等待"状态。如果发生这种情况，您必须联系主机项目的 VPC 所有者，才能将角色分配给上面列出的服务帐户。主机项目的 VPC 所有者在集群创建失败前有 30 天的时间授予列出的权限。如需更多信息 ，请参阅启用主机项目和置备 共享 VPC。
- 选择 Install into GCP Shared VPC。
- 指定 Host 项目 ID。如果指定的主机项目 ID 不正确，集群创建会失败。
如果您选择在现有 GCP VPC 中安装集群，请提供 Virtual Private Cloud (VPC)子网设置并选择 Next。您必须已创建了云网络地址转换 (NAT) 和云路由器。有关 Cloud NAT 和 Google VPC 的信息，请参阅附加资源。
注意如果您要将集群安装到共享 VPC 中，VPC 名称和子网将从主机项目共享。
- 点击 Next。
如果您选择配置集群范围代理，在 Cluster-wide proxy 页面中提供代理配置详情：
至少在以下字段之一中输入值：
- 指定有效的 HTTP 代理 URL。
- 指定有效的 HTTPS 代理 URL。
-
在 Additional trust bundle 字段中，提供 PEM 编码 X.509 证书捆绑包。捆绑包添加到集群节点的可信证书存储中。如果使用 TLS-inspecting 代理，则需要额外的信任捆绑包文件，除非代理的身份证书由 Red Hat Enterprise Linux CoreOS (RHCOS)信任捆绑包的颁发机构签名。无论代理是透明的，还是需要使用
http-proxy和https-proxy参数显式配置，这个要求都适用。
点击 Next。
有关使用 OpenShift Dedicated 配置代理的更多信息，请参阅配置集群范围代理。
在 CIDR 范围对话框中，配置自定义无类别域间路由 (CIDR) 范围，或使用提供的默认值。
重要稍后无法更改 CIDR 配置。在继续操作前，请联系您的网络管理员选择。
如果集群隐私设置为 Private，则在云供应商中配置私有连接前无法访问集群。
在 Cluster update 策略 页面中，配置您的更新首选项：
选择集群更新方法：
- 如果要 单独调度每个更新，请选择单个更新。这是默认选项。
选择 Recurring updates 以在更新可用是在您的首先日期、开始时间上更新集群。
注意您可以查看 OpenShift Dedicated 更新生命周期文档中的生命周期结束日期。如需更多信息，请参阅 OpenShift Dedicated 更新生命周期。
根据集群更新方法提供管理员批准：
- 独立更新：如果您选择了一个需要批准的更新版本，请提供一个管理员的确认信息，并点 Approve and continue。
- 重复更新：如果您为集群选择了重复更新，请提供一个管理员的确认信息并点 Approve and continue。在没有收到管理员确认的情况下，OpenShift Cluster Manager 不会为次版本启动 y-stream 更新。
- 如果您选择重复更新，请从下拉菜单中选择 UTC 中的星期天和升级开始时间。
- 可选：您可以在集群安装过程中为节点排空设置宽限期。默认设置 1 小时 宽限期。
点击 Next。
注意如果出现严重影响集群的安全性或稳定性的关键安全问题，Red Hat Site Reliability Engineering (SRE) 可能会对最新 z-stream 版本进行自动更新。在通知客户后，更新会在 48 小时内应用。有关严重影响安全评级的信息，请参阅 了解红帽安全评级。
- 查看您选择的概述并点 Create cluster 启动集群安装。安装需要大约 30-40 分钟才能完成。
可选：在 Overview 选项卡中，您可以通过选择 Enable 来启用删除保护功能，它直接位于 Delete Protection: Disabled 下。这将阻止集群被删除。要禁用删除保护，请选择 Disable。默认情况下，集群会被创建，并禁用了删除保护功能。
验证
- 您可以在集群的 Overview 页面中监控安装的进度。您可以在同一页面中查看安装日志。当页面的 Details 部分中的 Status 列为 Ready 时，您的集群已就绪。
