6.2. 在 IBM Z 和 IBM LinuxONE 上部署 OpenShift 沙盒容器

流程

1. 创建 osc-namespace.yaml 清单文件：

   apiVersion: v1
   kind: Namespace
   metadata:
     name: openshift-sandboxed-containers-operator

2. 运行以下命令创建命名空间：

   $ oc apply -f osc-namespace.yaml

3. 创建 osc-operatorgroup.yaml 清单文件：

   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: sandboxed-containers-operator-group
     namespace: openshift-sandboxed-containers-operator
   spec:
     targetNamespaces:
     - openshift-sandboxed-containers-operator

4. 运行以下命令来创建 operator 组：

   $ oc apply -f osc-operatorgroup.yaml

5. 创建 osc-subscription.yaml 清单文件：

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: sandboxed-containers-operator
     namespace: openshift-sandboxed-containers-operator
   spec:
     channel: stable
     installPlanApproval: Automatic
     name: sandboxed-containers-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: sandboxed-containers-operator.v1.8.1

6. 运行以下命令来创建订阅：

   $ oc apply -f osc-subscription.yaml

7. 运行以下命令验证 Operator 是否已正确安装：

   $ oc get csv -n openshift-sandboxed-containers-operator

   此命令可能需要几分钟来完成。

8. 运行以下命令监控进程：

   $ watch oc get csv -n openshift-sandboxed-containers-operator

   输出示例

   NAME                             DISPLAY                                  VERSION             REPLACES                   PHASE
   openshift-sandboxed-containers   openshift-sandboxed-containers-operator  1.8.1    1.7.0        Succeeded

流程

1. 运行以下命令检查当前的限制：

   $ oc get peerpodconfig peerpodconfig-openshift -n openshift-sandboxed-containers-operator \
   -o jsonpath='{.spec.limit}{"\n"}'

2. 运行以下命令修改 peerpodConfig CR 的 limit 属性：

   $ oc patch peerpodconfig peerpodconfig-openshift -n openshift-sandboxed-containers-operator \
   --type merge --patch '{"spec":{"limit":"<value>"}}' 

   1

   1

   将 <value> 替换为您要定义的限制。

流程

1. 登录到 KVM 主机。

2. 运行以下命令设置 libvirt 池的名称：

   $ export LIBVIRT_POOL=<libvirt_pool>

   您需要 LIBVIRT_POOL 值来为 libvirt 提供程序创建 secret。

3. 运行以下命令设置 libvirt 池的名称：

   $ export LIBVIRT_VOL_NAME=<libvirt_volume>

   您需要 LIBVIRT_VOL_NAME 值来为 libvirt 提供程序创建 secret。

4. 运行以下命令，设置默认存储池位置的路径：

   $ export LIBVIRT_POOL_DIRECTORY=<target_directory> 

   1

   1

   为确保 libvirt 具有读写访问权限，请使用 libvirt 存储目录的子目录。默认为 /var/lib/libvirt/images/。

5. 运行以下命令来创建 libvirt 池：

   $ virsh pool-define-as $LIBVIRT_POOL --type dir --target "$LIBVIRT_POOL_DIRECTORY"

6. 运行以下命令来启动 libvirt 池：

   $ virsh pool-start $LIBVIRT_POOL

7. 运行以下命令，为池创建 libvirt 卷：

   $ virsh -c qemu:///system \
     vol-create-as --pool $LIBVIRT_POOL \
     --name $LIBVIRT_VOL_NAME \
     --capacity 20G \
     --allocation 2G \
     --prealloc-metadata \
     --format qcow2

流程

1. 创建 Dockerfile.podvm-oci 文件：

   FROM scratch
   
   ARG PODVM_IMAGE_SRC
   ENV PODVM_IMAGE_PATH="/image/podvm.qcow2"
   
   COPY $PODVM_IMAGE_SRC $PODVM_IMAGE_PATH

2. 运行以下命令，使用 pod 虚拟机 QCOW2 镜像构建容器：

   $ docker build -t podvm-libvirt \
     --build-arg PODVM_IMAGE_SRC=<podvm_image_source> \ 

   1

   
     --build-arg PODVM_IMAGE_PATH=<podvm_image_path> \ 

   2

   
     -f Dockerfile.podvm-oci .

   1

   指定主机上的 QCOW2 镜像源。

   2

   可选：如果没有使用默认的 /image/podvm.qcow2，请指定 QCOW2 镜像的路径。

流程

1. 根据以下示例创建 peer-pods-secret.yaml 清单文件：

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     CLOUD_PROVIDER: "libvirt"
     LIBVIRT_URI: "<libvirt_gateway_uri>" 

   1

   
     LIBVIRT_POOL: "<libvirt_pool>" 

   2

   
     LIBVIRT_VOL_NAME: "<libvirt_volume>" 

   3

   
     REDHAT_OFFLINE_TOKEN: "<rh_offline_token>" 

   4

   1

   指定 libvirt URI。

   2

   指定 libvirt 池。

   3

   指定 libvirt 卷名称。

   4

   指定 Operator 构建的镜像所需的红帽离线令牌。

2. 运行以下命令来创建 secret：

   $ oc apply -f peer-pods-secret.yaml

流程

1. 根据以下示例创建 peer-pods-cm.yaml 清单文件：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "libvirt"
     DISABLECVM: "true"

2. 运行以下命令来创建配置映射：

   $ oc apply -f peer-pods-cm.yaml

流程

1. 根据以下示例创建 libvirt-podvm-image-cm.yaml 清单：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: libvirt-podvm-image-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     PODVM_DISTRO: "rhel"
     CAA_SRC: "https://github.com/confidential-containers/cloud-api-adaptor"
     CAA_REF: "<cloud_api_adaptor_version>" 

   1

   
     DOWNLOAD_SOURCES: "no"
     CONFIDENTIAL_COMPUTE_ENABLED: "yes"
     UPDATE_PEERPODS_CM: "yes"
     ORG_ID: "<rhel_organization_id>"
     ACTIVATION_KEY: "<rhel_activation_key>" 

   2

   
     IMAGE_NAME: "<podvm_libvirt_image>"
     PODVM_IMAGE_URI: "oci::<image_repo_url>:<image_tag>::<image_path>" 

   3

   
     SE_BOOT: "true" 

   4

   
     BASE_OS_VERSION: "<rhel_image_os_version>" 

   5

   1

   指定 Cloud API Adaptor 源的最新版本。

   2

   指定 RHEL 激活码。

   3

   可选：创建容器镜像时指定以下值：

   • image_repo_url: 容器 registry URL。
   • IMAGE_TAG：镜像标签.
   • image_path ：镜像路径。默认： /image/podvm.qcow2。

   4

   SE_BOOT: "true" 为 Operator 构建的镜像启用 IBM Secure Execution。如果创建了容器镜像，则设置为 false。

   5

   指定 RHEL 镜像操作系统版本。IBM Z® Secure Execution 支持 RHEL 9.5 及更新的版本。

2. 运行以下命令来创建配置映射：

   $ oc apply -f libvirt-podvm-image-cm.yaml

   libvirt pod 虚拟机镜像配置映射为您的 libvirt 供应商创建。

流程

1. 运行以下命令来生成 SSH 密钥对：

   $ ssh-keygen -f ./id_rsa -N ""

2. 将公共 SSH 密钥复制到 KVM 主机：

   $ ssh-copy-id -i ./id_rsa.pub <KVM_HOST_IP>

3. 运行以下命令来创建 Secret 对象：

   $ oc create secret generic ssh-key-secret \
     -n openshift-sandboxed-containers-operator \
     --from-file=id_rsa.pub=./id_rsa.pub \
     --from-file=id_rsa=./id_rsa

4. 删除您创建的 SSH 密钥：

   $ shred --remove id_rsa.pub id_rsa

流程

1. 根据以下示例创建 example-kataconfig.yaml 清单文件：

   apiVersion: kataconfiguration.openshift.io/v1
   kind: KataConfig
   metadata:
     name: example-kataconfig
   spec:
     enablePeerPods: true
     logLevel: info
   #  kataConfigPoolSelector:
   #    matchLabels:
   #      <label_key>: '<label_value>' 

   1

   1

   可选：如果您应用了节点标签在特定节点上安装 kata-remote，请指定键和值，例如 osc: 'true'。

2. 运行以下命令来创建 KataConfig CR：

   $ oc apply -f example-kataconfig.yaml

   新的 KataConfig CR 被创建，并在 worker 节点上作为运行时类安装 kata-remote。

   在验证安装前，等待 kata-remote 安装完成，以及 worker 节点重新引导。

3. 运行以下命令监控安装进度：

   $ watch "oc describe kataconfig | sed -n /^Status:/,/^Events/p"

   安装 kataNodes 下所有 worker 的状态并且条件 InProgress 为 False 时，而不指定原因，则会在集群中安装 kata-remote。

4. 运行以下命令，验证您是否已构建对等 pod 镜像并将其上传到 libvirt 卷中：

   $ oc describe configmap peer-pods-cm -n openshift-sandboxed-containers-operator

   输出示例

   Name: peer-pods-cm
   Namespace: openshift-sandboxed-containers-operator
   Labels: <none>
   Annotations: <none>
   
   Data
   ====
   CLOUD_PROVIDER: libvirt
   
   BinaryData
   ====
   Events: <none>

5. 运行以下命令，监控 kata-oc 机器配置池进度，以确保它处于 UPDATED 状态，当 UPDATED MACHINECOUNT 等于 MACHINECOUNT 时：

   $ watch oc get mcp/kata-oc

6. 运行以下命令验证守护进程集：

   $ oc get -n openshift-sandboxed-containers-operator ds/peerpodconfig-ctrl-caa-daemon

7. 运行以下命令验证运行时类：

   $ oc get runtimeclass

   输出示例

   NAME             HANDLER          AGE
   kata             kata             152m
   kata-remote      kata-remote      152m

流程

1. 将 spec.runtimeClassName: kata-remote 添加到每个 pod 模板工作负载对象的清单中，如下例所示：

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata-remote
   # ...

   OpenShift Container Platform 创建工作负载对象并开始调度它。