1.2. 使用 CCS 在 AWS 上创建集群

流程

1. 登录 OpenShift Cluster Manager，再点 Create cluster。
2. 在 Create a OpenShift cluster 页面中，在 Red Hat OpenShift Dedicated 行中选择 Create cluster。

3. 在 Billing model 下，配置订阅类型和基础架构类型：

   1. 选择订阅类型。如需有关 OpenShift Dedicated 订阅选项的信息，请参阅 OpenShift Cluster Manager 文档中的集群订阅和注册。

      注意

      取决于 OpenShift Dedicated 订阅和资源配额的订阅类型。如需更多信息，请联系您的销售代表或红帽支持。

   2. 选择 Customer Cloud Subscription 基础架构类型，在您拥有的现有云供应商帐户中部署 OpenShift Dedicated。
   3. 点 Next。
4. 选择 Run on Amazon Web Services。
5. 选择云供应商后，检查并完成列出的先决条件。选中该复选框，确认您已经阅读并完成了所有先决条件。

6. 提供 AWS 帐户详情：

   1. 输入 AWS 帐户 ID。

   2. 为 AWS IAM 用户帐户输入 AWS 访问密钥 ID 和 AWS secret 访问密钥。

      注意

      在 AWS 中撤销这些凭证会导致无法访问使用这些凭证创建的任何集群。

   3. 可选：您可以选择 Bypass AWS 服务控制策略(SCP)检查 来禁用 SCP 检查。

      注意

      有些 AWS SCP 可能会导致安装失败，即使您有所需的权限。禁用 SCP 检查可进行安装。即使绕过了检查，SCP 仍然会被强制使用。

7. 点 Next 以验证您的云供应商帐户，再进入 Cluster details 页面。

8. 在 Cluster details 页面中，为集群提供一个名称并指定集群详情：

   1. 添加集群名称。

   2. 可选：集群创建会生成域前缀，作为您在 openshiftapps.com 上置备的集群的子域。如果集群名称小于或等于 15 个字符，该名称用于域前缀。如果集群名称超过 15 个字符，则域前缀会随机生成给 15 个字符的字符串。

      要自定义子域，请选择 Create custom domain prefix 复选框，然后在 Domain prefix 字段中输入您的域前缀名称。域前缀不能超过 15 个字符，在您的机构内必须是唯一的，且在集群创建后无法更改。

   3. 从 Version 下拉菜单中选择集群版本。
   4. 从 Region 下拉菜单中选择云供应商区域。
   5. 选择 Single zone 或 Multi-zone 配置。
   6. 选择 Enable user workload monitoring 以监控您自己的项目，使其与红帽站点可靠性工程师(SRE)平台指标隔离。默认启用这个选项。

   7. 可选：扩展高级加密以更改加密设置。

      1. 接受默认设置 Use default KMS Keys 来使用您的默认 AWS KMS 密钥，或者选择 Use Custom KMS 密钥来使用自定义 KMS 密钥。

         1. 选择了 Use Custom KMS 密钥后，在 Key ARN 字段中输入 AWS Key Management Service (KMS)自定义密钥 Amazon Resource Name (ARN) ARN。密钥用于加密集群中的所有 control plane、基础架构、worker 节点根卷和持久性卷。

      2. 可选： 如果需要集群经过 FIPS 验证，请选择启用 FIPS 加密。

         注意

         如果选择了 Enable FIPS 加密，则默认 启用额外的 etcd 加密，且无法禁用。您可以选择 Enable additional etcd encryption without select Enable FIPS encryption。

      3. 可选：如果您需要 etcd 键值加密，请选择 Enable additional etcd encryption。使用这个选项时，etcd 键的值会被加密，但键不是。这个选项除了 control plane 存储加密外，它默认加密 OpenShift Dedicated 集群中的 etcd 卷。

         注意

         通过在 etcd 中为密钥值启用 etcd 加密，则会出现大约 20% 的性能开销。除了加密 etcd 卷的默认 control plane 存储加密外，还会引入第二层加密的开销。只有在特别需要时才考虑启用 etcd 加密。

   8. 点 Next。

9. 在 Default machine pool 页面中，选择 Compute 节点实例类型 和 Compute 节点数。可用的节点数和类型取决于您的 OpenShift Dedicated 订阅。如果您使用多个可用区，则计算节点计数是每个区域。

   注意

   创建集群后，您可以更改集群中的计算节点数量，但您无法更改机器池中的计算节点实例类型。您依赖于 OpenShift Dedicated 订阅的节点数量和类型。

10. 选择 Instance Metadata Service (IMDS) 类型，可以使用 IMDSv1 和 IMDSv2 类型，或者您的 EC2 实例只使用 IMDSv2。您可以通过两种方式从正在运行的实例访问实例元数据：

    • 实例元数据服务版本 1 (IMDSv1)- 请求/响应方法

    • 实例元数据服务版本 2 (IMDSv2)- 面向会话的方法

      重要

      在集群创建后无法更改实例元数据服务设置。

      注意

      IMDSv2 使用面向会话的请求。使用面向会话的请求时，您可以创建一个会话令牌，它定义会话持续时间，至少为 1 秒，最多为 6 小时。在指定持续时间中，您可以对后续请求使用相同的会话令牌。在指定持续时间过期后，您必须创建一个新的会话令牌，以用于将来的请求。

      有关 IMDS 的更多信息，请参阅 AWS 文档中的实例元数据和用户数据。

11. 可选：展开 标记节点标签，为节点添加标签。点 Add label 来添加更多节点标签并选择 Next。

12. 在 Network configuration 页面中，选择 Public 或 Private 来使用集群的公共或私有 API 端点和应用程序路由。

    重要

    如果使用私有 API 端点，则在更新云供应商帐户中的网络设置之前，您无法访问集群。

13. 可选： 要在现有 AWS Virtual Private Cloud (VPC) 上安装集群：

    1. 选择 Install into an existing VPC。

    2. 如果您要安装到现有的 VPC 中，并选择使用私有 API 端点，您可以选择 Use a PrivateLink。这个选项允许使用 AWS PrivateLink 端点的 Red Hat Site Reliability Engineering (SRE) 连接到集群。

       注意

       在集群创建后无法更改 Use a PrivateLink 选项。

    3. 如果您要安装到现有的 VPC 中，并且您要为集群启用 HTTP 或 HTTPS 代理，请选择 配置集群范围代理。
14. 点 Next。

15. 如果您选择在现有 AWS VPC 中安装集群，请提供 Virtual Private Cloud (VPC)子网设置并选择 Next。您必须已创建了云网络地址转换 (NAT) 和云路由器。有关 Cloud NAT 和 Google VPC 的信息，请参阅"附加资源"部分。

    注意

    您必须确保您的 VPC 配置了一个公有和私有子网，以及您要安装到的每个可用区的专用子网。如果您选择使用 PrivateLink，则只需要专用子网。

    1. 可选：扩展 Additional security groups 并选择额外的自定义安全组，以应用到默认创建的机器池中的节点。您必须已创建了安全组，并将其与您为这个集群选择的 VPC 关联。您无法在创建集群时将安全组添加到默认机器池中。

       默认情况下，您指定的安全组会为所有节点类型添加。清除 Apply the same security groups to all node types 复选框，以为每个节点类型应用不同的安全组。

       如需更多信息，请参阅附加资源下的 安全组的要求。

16. 如果您选择配置集群范围代理，在 Cluster-wide proxy 页面中提供代理配置详情：

    1. 至少在以下字段之一中输入值：

       • 指定有效的 HTTP 代理 URL。
       • 指定有效的 HTTPS 代理 URL。
       • 在 Additional trust bundle 字段中，提供 PEM 编码 X.509 证书捆绑包。捆绑包添加到集群节点的可信证书存储中。如果您使用 TLS-inspecting 代理，则需要额外的信任捆绑包文件，除非代理的身份证书由 Red Hat Enterprise Linux CoreOS (RHCOS)信任捆绑包的颁发机构签名。无论代理是透明还是需要使用 http-proxy 和 https-proxy 参数显式配置，这个要求都适用。

    2. 点 Next。

       有关使用 OpenShift Dedicated 配置代理的更多信息，请参阅配置集群范围代理。

17. 在 CIDR 范围对话框中，配置自定义无类别域间路由 (CIDR) 范围，或使用提供的默认值。

    注意

    如果您要安装到 VPC 中，Machine CIDR 范围必须与 VPC 子网匹配。

    重要

    稍后无法更改 CIDR 配置。在继续操作前，请联系您的网络管理员选择。

18. 在 Cluster update 策略 页面中，配置您的更新首选项：

    1. 选择集群更新方法：

       • 如果要 单独调度每个更新，请选择单个更新。这是默认选项。

       • 选择 Recurring updates 以在更新可用是在您的首先日期、开始时间上更新集群。

         注意

         您可以查看 OpenShift Dedicated 更新生命周期文档中的生命周期结束日期。如需更多信息，请参阅 OpenShift Dedicated 更新生命周期。

    2. 根据集群更新方法提供管理员批准：

       • 独立更新：如果您选择了一个需要批准的更新版本，请提供一个管理员的确认信息，并点 Approve and continue。
       • 重复更新：如果您为集群选择了重复更新，请提供一个管理员的确认信息并点 Approve and continue。在没有收到管理员确认的情况下，OpenShift Cluster Manager 不会为次版本启动 y-stream 更新。
    3. 如果您选择重复更新，请从下拉菜单中选择 UTC 中的星期天和升级开始时间。
    4. 可选：您可以在集群安装过程中为节点排空设置宽限期。默认设置 1 小时 宽限期。

    5. 点击 Next。

       注意

       如果出现严重影响集群的安全性或稳定性的关键安全问题，Red Hat Site Reliability Engineering (SRE) 可能会对最新 z-stream 版本进行自动更新。在通知客户后，更新会在 48 小时内应用。有关严重影响安全评级的信息，请参阅 了解红帽安全评级。

19. 查看您选择的概述并点 Create cluster 启动集群安装。安装需要大约 30-40 分钟才能完成。
20. 可选：在 Overview 选项卡中，您可以通过选择 Enable 来启用删除保护功能，该功能直接位于 Delete Protection: Disabled 下。这将阻止集群被删除。要禁用删除保护，请选择 Disable。默认情况下，集群禁用了删除保护功能来创建。