3.2. 使用 Web 控制台部署 OpenShift 沙盒容器

流程

1. 在 Web 控制台中，导航到 Operators OperatorHub。
2. 在 Filter by keyword 字段中，输入 OpenShift sandboxed containers。
3. 选择 OpenShift 沙盒容器 Operator 标题并点 Install。
4. 在 Install Operator 页面中，从可用 Update Channel 选项列表中选择 stable。

5. 验证为 Installed Namespace 选择了 Operator recommended Namespace。这会在 openshift-sandboxed-containers-operator 命名空间中安装 Operator。如果此命名空间尚不存在，则会自动创建。

   注意

   尝试在 openshift-sandboxed-containers-operator 以外的命名空间中安装 OpenShift 沙盒容器 Operator 会导致安装失败。

6. 验证是否为 Approval Strategy 选择了 Automatic。Automatic 是默认值，当有新的 z-stream 发行版本可用时，自动启用对 OpenShift 沙盒容器的自动更新。
7. 点 Install。
8. 导航到 Operators Installed Operators，以验证是否已安装 Operator。

流程

1. 登录您的 OpenShift Container Platform 集群并检索实例 ID：

   $ INSTANCE_ID=$(oc get nodes -l 'node-role.kubernetes.io/worker' \
     -o jsonpath='{.items[0].spec.providerID}' | sed 's#[^ ]*/##g')

2. 检索 AWS 区域：

   $ AWS_REGION=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.aws.region}')

3. 检索安全组 ID，并将其存储在阵列中：

   $ AWS_SG_IDS=($(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} \
     --query 'Reservations[*].Instances[*].SecurityGroups[*].GroupId' \
     --output text --region $AWS_REGION))

4. 对于每个安全组 ID，授权 peer pod shim 访问 kata-agent 通信，并设置对等 pod 隧道：

   $ for AWS_SG_ID in "${AWS_SG_IDS[@]}"; do \
     aws ec2 authorize-security-group-ingress --group-id $AWS_SG_ID --protocol tcp --port 15150 --source-group $AWS_SG_ID --region $AWS_REGION \
     aws ec2 authorize-security-group-ingress --group-id $AWS_SG_ID --protocol tcp --port 9000 --source-group $AWS_SG_ID --region $AWS_REGION \
   done

流程

1. 在 OpenShift Container Platform web 控制台中导航至 Operators Installed Operators。
2. 点 OpenShift 沙盒容器 Operator 标题。
3. 单击右上角的 Import 图标(+)。

4. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     AWS_ACCESS_KEY_ID: "<aws_access_key>" 1
     AWS_SECRET_ACCESS_KEY: "<aws_secret_access_key>" 2

   1

   指定 AWS_ACCESS_KEY_ID 值。

   2

   指定 AWS_SECRET_ACCESS_KEY 值。

5. 点 Save 应用更改。
6. 导航到 Workloads Secrets 以验证对等 pod secret。

流程

1. 从 AWS 实例获取以下值：

   1. 检索并记录实例 ID：

      $ INSTANCE_ID=$(oc get nodes -l 'node-role.kubernetes.io/worker' -o jsonpath='{.items[0].spec.providerID}' | sed 's#[^ ]*/##g')

      这用于检索 secret 对象的其他值。

   2. 检索并记录 AWS 区域：

      $ AWS_REGION=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.aws.region}') && echo "AWS_REGION: \"$AWS_REGION\""

   3. 检索并记录 AWS 子网 ID：

      $ AWS_SUBNET_ID=$(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} --query 'Reservations[*].Instances[*].SubnetId' --region ${AWS_REGION} --output text) && echo "AWS_SUBNET_ID: \"$AWS_SUBNET_ID\""

   4. 检索并记录 AWS VPC ID：

      $ AWS_VPC_ID=$(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} --query 'Reservations[*].Instances[*].VpcId' --region ${AWS_REGION} --output text) && echo "AWS_VPC_ID: \"$AWS_VPC_ID\""

   5. 检索并记录 AWS 安全组 ID：

      $ AWS_SG_IDS=$(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} --query 'Reservations[*].Instances[*].SecurityGroups[*].GroupId' --region  $AWS_REGION --output json | jq -r '.[][][]' | paste -sd ",") && echo "AWS_SG_IDS: \"$AWS_SG_IDS\""

2. 在 OpenShift Container Platform web 控制台中导航至 Operators Installed Operators。
3. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
4. 单击右上角的 Import 图标 (+)。

5. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "aws"
     VXLAN_PORT: "9000"
     PODVM_INSTANCE_TYPE: "t3.medium" 1
     PODVM_INSTANCE_TYPES: "t2.small,t2.medium,t3.large" 2
     PROXY_TIMEOUT: "5m"
     PODVM_AMI_ID: "<podvm_ami_id>" 3
     AWS_REGION: "<aws_region>" 4
     AWS_SUBNET_ID: "<aws_subnet_id>" 5
     AWS_VPC_ID: "<aws_vpc_id>" 6
     AWS_SG_IDS: "<aws_sg_ids>" 7
     DISABLECVM: "true"

   1

   定义工作负载中没有定义类型时使用的默认实例类型。

   2

   列出创建 pod 时可以指定的所有实例类型。这可让您为大型工作负载需要较少的内存和更多 CPU 或更大的实例类型的工作负载定义较小的实例类型。

   3

   可选：默认情况下，这个值会在运行 KataConfig CR 时填充，使用基于集群凭证的 AMI ID。如果您创建自己的 AMI，请指定正确的 AMI ID。

   4

   指定您检索到的 AWS_REGION 值。

   5

   指定您检索到的 AWS_SUBNET_ID 值。

   6

   指定您检索到的 AWS_VPC_ID 值。

   7

   指定您检索到的 AWS_SG_IDS 值。

6. 点 Save 应用更改。
7. 导航到 Workloads ConfigMaps 以查看新的配置映射。

流程

1. 在 OpenShift Container Platform web 控制台中导航至 Operators Installed Operators。
2. 选择 OpenShift 沙盒容器 Operator。
3. 在 KataConfig 选项卡中，点 Create KataConfig。

4. 输入以下详情：

   • Name: 可选：默认名称为 example-kataconfig。
   • 标签 ：可选：输入任何相关的、识别到 KataConfig 资源的属性。每个标签代表一个键值对。
   • enablePeerPods ：为公共云、IBM Z® 和 IBM® LinuxONE 部署选择。

   • kataConfigPoolSelector.可选： 要在所选节点上安装 kata-remote，请在所选节点上安装标签的匹配表达式：

     1. 展开 kataConfigPoolSelector 区域。
     2. 在 kataConfigPoolSelector 区域中，展开 matchExpressions。这是标签选择器要求列表。
     3. 点 Add matchExpressions。
     4. 在 Key 字段中，输入选择器应用到的标签键。
     5. 在 Operator 字段中，输入键与标签值的关系。有效的运算符为 In、NotIn、Exists 和 DoesNotExist。
     6. 展开 Values 区域，然后点 Add value。
     7. 在 Value 字段中，为 key 标签值输入 true 或 false。
   • loglevel ：定义使用 kata-remote 运行时类为节点检索的日志数据级别。

5. 点 Create。KataConfig CR 会被创建并在 worker 节点上安装 kata-remote 运行时类。

   在验证安装前，等待 kata-remote 安装完成，以及 worker 节点重新引导。

验证

1. 在 KataConfig 选项卡中，点 KataConfig CR 查看其详情。

2. 点 YAML 选项卡查看 status 小节。

   status 小节包含 conditions 和 kataNodes 键。status.kataNodes 的值是一个节点数组，每个节点都列出处于 kata-remote 安装的特定状态的节点。每次有更新时都会出现一条消息。

3. 点 Reload 以刷新 YAML。

   当 status.kataNodes 数组中的所有 worker 都会显示 installed 和 conditions.InProgress: False 时，集群中会安装 kata-remote。

流程

1. 进入 Workloads ConfigMaps。
2. 点供应商配置映射查看其详情。
3. 点 YAML 标签。

4. 检查 YAML 文件 的状态 小节。

   如果 PODVM_AMI_ID 参数被填充，则 pod 虚拟机镜像已创建成功。

故障排除

1. 运行以下命令来检索事件日志：

   $ oc get events -n openshift-sandboxed-containers-operator --field-selector involvedObject.name=osc-podvm-image-creation

2. 运行以下命令来检索作业日志：

   $ oc logs -n openshift-sandboxed-containers-operator jobs/osc-podvm-image-creation

流程

1. 在 OpenShift Container Platform Web 控制台中，导航到 Workloads workload type，如 Pods。
2. 在工作负载类型页面中，点对象查看其详情。
3. 点 YAML 标签。

4. 将 spec.runtimeClassName: kata-remote 添加到每个 pod 模板工作负载对象的清单中，如下例所示：

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata-remote
   # ...

5. 向 pod 模板对象添加注解，以使用手动定义的实例类型或自动实例类型：

   • 要使用手动定义的实例类型，请添加以下注解：

     apiVersion: v1
     kind: <object>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.machine_type: "t3.medium" 1
     # ...

     1

     指定配置映射中定义的实例类型。

   • 要使用自动实例类型，请添加以下注解：

     apiVersion: v1
     kind: <Pod>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.default_vcpus: <vcpus>
         io.katacontainers.config.hypervisor.default_memory: <memory>
     # ...

     定义可供工作负载使用的内存量。工作负载将根据可用内存量在自动实例类型上运行。

6. 点 Save 应用更改。

   OpenShift Container Platform 创建工作负载对象并开始调度它。