用户指南

流程

1. 在 Web 控制台中，导航到 Operators → OperatorHub。
2. 在 Filter by keyword 字段中，输入 OpenShift sandboxed containers。
3. 选择 OpenShift 沙盒容器 Operator 标题并点 Install。
4. 在 Install Operator 页面中，从可用 Update Channel 选项列表中选择 stable。

5. 验证为 Installed Namespace 选择了 Operator recommended Namespace。这会在 openshift-sandboxed-containers-operator 命名空间中安装 Operator。如果此命名空间尚不存在，则会自动创建。

   注意

   尝试在 openshift-sandboxed-containers-operator 以外的命名空间中安装 OpenShift 沙盒容器 Operator 会导致安装失败。

6. 验证是否为 Approval Strategy 选择了 Automatic。Automatic 是默认值，当有新的 z-stream 发行版本可用时，自动启用对 OpenShift 沙盒容器的自动更新。
7. 点 Install。
8. 导航到 Operators → Installed Operators，以验证是否已安装 Operator。

流程

1. 使用自定义策略创建 policy.rego 文件。以下示例显示了所有可配置的 API，并且为演示启用了 exec 和 log ：

   package agent_policy
   
   import future.keywords.in
   import input
   
   default CopyFileRequest := false
   default CreateContainerRequest := false
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true  # Enabled to allow exec API
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default OnlineCPUMemRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := true   # Enabled to allow log API
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StatsContainerRequest := true
   default TtyWinResizeRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := false

   Copy to clipboard

   此策略启用 exec (ExecProcessRequest)和 log (ReadStreamRequest) API。根据您的需要，调整 true 或 false 值以进一步自定义策略。

2. 运行以下命令，将 policy.rego 文件转换为 Base64 编码的字符串：

   $ base64 -w0 policy.rego

   Copy to clipboard

   将输出保存到 yaml 文件中。

流程

1. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
2. 选择 OpenShift 沙盒容器 Operator。
3. 在 KataConfig 选项卡中，点 Create KataConfig。

4. 输入以下详情：

   • Name: 可选：默认名称为 example-kataconfig。
   • 标签 ：可选：输入任何相关的、识别到 KataConfig 资源的属性。每个标签代表一个键值对。
   • checkNodeEligibility: 可选：选择使用 Node Feature Discovery Operator (NFD)来检测节点资格。

   • kataConfigPoolSelector.可选： 要在所选节点上安装 kata，请在所选节点上为标签添加匹配表达式：

     1. 展开 kataConfigPoolSelector 区域。
     2. 在 kataConfigPoolSelector 区域中，展开 matchExpressions。这是标签选择器要求列表。
     3. 点 Add matchExpressions。
     4. 在 Key 字段中，输入选择器应用到的标签键。
     5. 在 Operator 字段中，输入键与标签值的关系。有效的运算符为 In、NotIn、Exists 和 DoesNotExist。
     6. 展开 Values 区域，然后点 Add value。
     7. 在 Value 字段中，为 key 标签值输入 true 或 false。
   • loglevel ：定义使用 kata 运行时类为节点检索的日志数据级别。

5. 点 Create。KataConfig CR 会被创建并在 worker 节点上安装 kata 运行时类。

   在验证安装前，等待 kata 安装完成，以及 worker 节点重新引导。

验证

1. 在 KataConfig 选项卡中，点 KataConfig CR 查看其详情。

2. 点 YAML 选项卡查看 status 小节。

   status 小节包含 conditions 和 kataNodes 键。status.kataNodes 的值是一个节点数组，每个节点都列出处于 kata 安装的特定状态的节点。每次有更新时都会出现一条消息。

3. 点 Reload 以刷新 YAML。

   当 status.kataNodes 数组中的所有 worker 都会显示 installed 和 conditions.InProgress: False 时，没有指定的原因，则会在集群中安装 kata。

流程

1. 在 OpenShift Container Platform Web 控制台中，导航到 Workloads → workload type，如 Pods。
2. 在工作负载类型页面中，点对象查看其详情。
3. 点 YAML 标签。

4. 将 spec.runtimeClassName: kata 添加到每个 pod 模板工作负载对象的清单中，如下例所示：

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata
   # ...

   Copy to clipboard

   OpenShift Container Platform 创建工作负载对象并开始调度它。

流程

1. 创建 osc-namespace.yaml 清单文件：

   apiVersion: v1
   kind: Namespace
   metadata:
     name: openshift-sandboxed-containers-operator

   Copy to clipboard

2. 运行以下命令创建命名空间：

   $ oc apply -f osc-namespace.yaml

   Copy to clipboard

3. 创建 osc-operatorgroup.yaml 清单文件：

   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: sandboxed-containers-operator-group
     namespace: openshift-sandboxed-containers-operator
   spec:
     targetNamespaces:
     - openshift-sandboxed-containers-operator

   Copy to clipboard

4. 运行以下命令来创建 operator 组：

   $ oc apply -f osc-operatorgroup.yaml

   Copy to clipboard

5. 创建 osc-subscription.yaml 清单文件：

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: sandboxed-containers-operator
     namespace: openshift-sandboxed-containers-operator
   spec:
     channel: stable
     installPlanApproval: Automatic
     name: sandboxed-containers-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: sandboxed-containers-operator.v1.9.0

   Copy to clipboard

6. 运行以下命令来创建订阅：

   $ oc apply -f osc-subscription.yaml

   Copy to clipboard

7. 运行以下命令验证 Operator 是否已正确安装：

   $ oc get csv -n openshift-sandboxed-containers-operator

   Copy to clipboard

   此命令可能需要几分钟来完成。

8. 运行以下命令监控进程：

   $ watch oc get csv -n openshift-sandboxed-containers-operator

   Copy to clipboard

   输出示例

   NAME                             DISPLAY                                  VERSION             REPLACES                   PHASE
   openshift-sandboxed-containers   openshift-sandboxed-containers-operator  1.9.0    1.8.1        Succeeded

   Copy to clipboard

流程

1. 使用自定义策略创建 policy.rego 文件。以下示例显示了所有可配置的 API，并且为演示启用了 exec 和 log ：

   package agent_policy
   
   import future.keywords.in
   import input
   
   default CopyFileRequest := false
   default CreateContainerRequest := false
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true  # Enabled to allow exec API
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default OnlineCPUMemRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := true   # Enabled to allow log API
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StatsContainerRequest := true
   default TtyWinResizeRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := false

   Copy to clipboard

   此策略启用 exec (ExecProcessRequest)和 log (ReadStreamRequest) API。根据您的需要，调整 true 或 false 值以进一步自定义策略。

2. 运行以下命令，将 policy.rego 文件转换为 Base64 编码的字符串：

   $ base64 -w0 policy.rego

   Copy to clipboard

   将输出保存到 yaml 文件中。

流程

1. 根据以下示例创建 example-kataconfig.yaml 清单文件：

   apiVersion: kataconfiguration.openshift.io/v1
   kind: KataConfig
   metadata:
     name: example-kataconfig
   spec:
     checkNodeEligibility: false 1
     logLevel: info
   #  kataConfigPoolSelector:
   #    matchLabels:
   #      <label_key>: '<label_value>' 2

   Copy to clipboard

   1

   可选：将'checkNodeEligibility' 设置为 true 以运行节点资格检查。

   2

   可选：如果您应用了节点标签来在特定节点上安装 OpenShift 沙盒容器，请指定键和值。

2. 运行以下命令来创建 KataConfig CR：

   $ oc apply -f example-kataconfig.yaml

   Copy to clipboard

   新的 KataConfig CR 会被创建，并在 worker 节点上作为运行时类安装 kata。

   在验证安装前，等待 kata 安装完成，以及 worker 节点重新引导。

3. 运行以下命令监控安装进度：

   $ watch "oc describe kataconfig | sed -n /^Status:/,/^Events/p"

   Copy to clipboard

   当安装 kataNodes 下的所有 worker 的状态并且条件 InProgress 为 False 时，如果没有指定原因，则会在集群中安装 kata。

流程

1. 运行以下命令来获取 RuntimeClass 对象：

   $ oc describe runtimeclass kata

   Copy to clipboard

2. 更新 overhead.podFixed.memory 和 cpu 值，并将文件保存为 runtimeclass.yaml ：

   kind: RuntimeClass
   apiVersion: node.k8s.io/v1
   metadata:
     name: kata
   overhead:
     podFixed:
       memory: "500Mi"
       cpu: "500m"

   Copy to clipboard

3. 运行以下命令来应用更改：

   $ oc apply -f runtimeclass.yaml

   Copy to clipboard

流程

1. 将 spec.runtimeClassName: kata 添加到每个 pod 模板工作负载对象的清单中，如下例所示：

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata
   # ...

   Copy to clipboard

   OpenShift Container Platform 创建工作负载对象并开始调度它。

流程

1. 在 Web 控制台中，导航到 Operators → OperatorHub。
2. 在 Filter by keyword 字段中，输入 OpenShift sandboxed containers。
3. 选择 OpenShift 沙盒容器 Operator 标题并点 Install。
4. 在 Install Operator 页面中，从可用 Update Channel 选项列表中选择 stable。

5. 验证为 Installed Namespace 选择了 Operator recommended Namespace。这会在 openshift-sandboxed-containers-operator 命名空间中安装 Operator。如果此命名空间尚不存在，则会自动创建。

   注意

   尝试在 openshift-sandboxed-containers-operator 以外的命名空间中安装 OpenShift 沙盒容器 Operator 会导致安装失败。

6. 验证是否为 Approval Strategy 选择了 Automatic。Automatic 是默认值，当有新的 z-stream 发行版本可用时，自动启用对 OpenShift 沙盒容器的自动更新。
7. 点 Install。
8. 导航到 Operators → Installed Operators，以验证是否已安装 Operator。

流程

1. 登录您的 OpenShift Container Platform 集群并检索实例 ID：

   $ INSTANCE_ID=$(oc get nodes -l 'node-role.kubernetes.io/worker' \
     -o jsonpath='{.items[0].spec.providerID}' | sed 's#[^ ]*/##g')

   Copy to clipboard

2. 检索 AWS 区域：

   $ AWS_REGION=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.aws.region}')

   Copy to clipboard

3. 检索安全组 ID，并将其存储在阵列中：

   $ AWS_SG_IDS=($(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} \
     --query 'Reservations[*].Instances[*].SecurityGroups[*].GroupId' \
     --output text --region $AWS_REGION))

   Copy to clipboard

4. 对于每个安全组 ID，授权 peer pod shim 访问 kata-agent 通信，并设置对等 pod 隧道：

   $ for AWS_SG_ID in "${AWS_SG_IDS[@]}"; do \
     aws ec2 authorize-security-group-ingress --group-id $AWS_SG_ID --protocol tcp --port 15150 --source-group $AWS_SG_ID --region $AWS_REGION \
     aws ec2 authorize-security-group-ingress --group-id $AWS_SG_ID --protocol tcp --port 9000 --source-group $AWS_SG_ID --region $AWS_REGION \
   done

   Copy to clipboard

流程

1. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
2. 点 OpenShift 沙盒容器 Operator 标题。
3. 单击右上角的 Import 图标(+)。

4. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     AWS_ACCESS_KEY_ID: "<aws_access_key>" 1
     AWS_SECRET_ACCESS_KEY: "<aws_secret_access_key>" 2

   Copy to clipboard

   1

   指定 AWS_ACCESS_KEY_ID 值。

   2

   指定 AWS_SECRET_ACCESS_KEY 值。

5. 点 Save 应用更改。
6. 导航到 Workloads → Secrets 以验证对等 pod secret。

流程

1. 从 AWS 实例获取以下值：

   1. 检索并记录实例 ID：

      $ INSTANCE_ID=$(oc get nodes -l 'node-role.kubernetes.io/worker' -o jsonpath='{.items[0].spec.providerID}' | sed 's#[^ ]*/##g')

      Copy to clipboard

      这用于检索 secret 对象的其他值。

   2. 检索并记录 AWS 区域：

      $ AWS_REGION=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.aws.region}') && echo "AWS_REGION: \"$AWS_REGION\""

      Copy to clipboard

   3. 检索并记录 AWS 子网 ID：

      $ AWS_SUBNET_ID=$(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} --query 'Reservations[*].Instances[*].SubnetId' --region ${AWS_REGION} --output text) && echo "AWS_SUBNET_ID: \"$AWS_SUBNET_ID\""

      Copy to clipboard

   4. 检索并记录 AWS VPC ID：

      $ AWS_VPC_ID=$(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} --query 'Reservations[*].Instances[*].VpcId' --region ${AWS_REGION} --output text) && echo "AWS_VPC_ID: \"$AWS_VPC_ID\""

      Copy to clipboard

   5. 检索并记录 AWS 安全组 ID：

      $ AWS_SG_IDS=$(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} --query 'Reservations[*].Instances[*].SecurityGroups[*].GroupId' --region  $AWS_REGION --output json | jq -r '.[][][]' | paste -sd ",") && echo "AWS_SG_IDS: \"$AWS_SG_IDS\""

      Copy to clipboard
2. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
3. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
4. 单击右上角的 Import 图标 (+)。

5. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "aws"
     VXLAN_PORT: "9000"
     PODVM_INSTANCE_TYPE: "t3.medium" 1
     PODVM_INSTANCE_TYPES: "t2.small,t2.medium,t3.large" 2
     PROXY_TIMEOUT: "5m"
     PODVM_AMI_ID: "<podvm_ami_id>" 3
     AWS_REGION: "<aws_region>" 4
     AWS_SUBNET_ID: "<aws_subnet_id>" 5
     AWS_VPC_ID: "<aws_vpc_id>" 6
     AWS_SG_IDS: "<aws_sg_ids>" 7
     PEERPODS_LIMIT_PER_NODE: "10" 8
     TAGS: "key1=value1,key2=value2" 9
     DISABLECVM: "true"

   Copy to clipboard

   1

   定义工作负载中没有定义类型时使用的默认实例类型。

   2

   列出创建 pod 时可以指定的所有实例类型。这可让您为大型工作负载需要较少的内存和更多 CPU 或更大的实例类型的工作负载定义较小的实例类型。

   3

   可选：默认情况下，这个值会在运行 KataConfig CR 时填充，使用基于集群凭证的 AMI ID。如果您创建自己的 AMI，请指定正确的 AMI ID。

   4

   指定您检索到的 AWS_REGION 值。

   5

   指定您检索到的 AWS_SUBNET_ID 值。

   6

   指定您检索到的 AWS_VPC_ID 值。

   7

   指定您检索到的 AWS_SG_IDS 值。

   8

   指定每个节点可以创建的对等 pod 的最大数量。默认值为 10。

   9

   您可以将自定义标签配置为 pod 虚拟机实例的 key:value 对，以跟踪对等 pod 成本或标识不同集群中的对等 pod。

6. 点 Save 应用更改。
7. 导航到 Workloads → ConfigMaps 以查看新的配置映射。

流程

1. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
2. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
3. 单击右上角的 Import 图标 (+)。

4. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: Pod
   metadata:
     name: pod-manifest
     annotations:
       io.katacontainers.config.hypervisor.image: "<custom_image_id>" 1
   spec:
     runtimeClassName: kata-remote 2
     containers:
     - name: <example_container> 3
       image: registry.access.redhat.com/ubi9/ubi:9.3
       command: ["sleep", "36000"]

   Copy to clipboard
5. 点 Save 应用更改。

流程

1. 使用自定义策略创建 policy.rego 文件。以下示例显示了所有可配置的 API，并且为演示启用了 exec 和 log ：

   package agent_policy
   
   import future.keywords.in
   import input
   
   default CopyFileRequest := false
   default CreateContainerRequest := false
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true  # Enabled to allow exec API
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default OnlineCPUMemRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := true   # Enabled to allow log API
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StatsContainerRequest := true
   default TtyWinResizeRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := false

   Copy to clipboard

   此策略启用 exec (ExecProcessRequest)和 log (ReadStreamRequest) API。根据您的需要，调整 true 或 false 值以进一步自定义策略。

2. 运行以下命令，将 policy.rego 文件转换为 Base64 编码的字符串：

   $ base64 -w0 policy.rego

   Copy to clipboard

   将输出保存到 yaml 文件中。

3. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
4. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
5. 单击右上角的 Import 图标 (+)。

6. 在 Import YAML 窗口中，粘贴以下 YAML 清单，并将 Base64 编码的策略添加到其中：

   apiVersion: v1
   kind: Pod
   metadata:
     name: <pod_name>
     annotations:
       io.katacontainers.config.agent.policy: <base64_encoded_policy>
   spec:
     runtimeClassName: kata-remote
     containers:
     - name: <container_name>
       image: registry.access.redhat.com/ubi9/ubi:latest
       command:
       - sleep
       - "36000"
       securityContext:
         privileged: false
         seccompProfile:
           type: RuntimeDefault

   Copy to clipboard
7. 点 Save 应用更改。

流程

1. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
2. 选择 OpenShift 沙盒容器 Operator。
3. 在 KataConfig 选项卡中，点 Create KataConfig。

4. 输入以下详情：

   • Name: 可选：默认名称为 example-kataconfig。
   • 标签 ：可选：输入任何相关的、识别到 KataConfig 资源的属性。每个标签代表一个键值对。
   • enablePeerPods ：为公共云、IBM Z® 和 IBM® LinuxONE 部署选择。

   • kataConfigPoolSelector.可选： 要在所选节点上安装 kata-remote，请在所选节点上安装标签的匹配表达式：

     1. 展开 kataConfigPoolSelector 区域。
     2. 在 kataConfigPoolSelector 区域中，展开 matchExpressions。这是标签选择器要求列表。
     3. 点 Add matchExpressions。
     4. 在 Key 字段中，输入选择器应用到的标签键。
     5. 在 Operator 字段中，输入键与标签值的关系。有效的运算符为 In、NotIn、Exists 和 DoesNotExist。
     6. 展开 Values 区域，然后点 Add value。
     7. 在 Value 字段中，为 key 标签值输入 true 或 false。
   • loglevel ：定义使用 kata-remote 运行时类为节点检索的日志数据级别。

5. 点 Create。KataConfig CR 会被创建并在 worker 节点上安装 kata-remote 运行时类。

   在验证安装前，等待 kata-remote 安装完成，以及 worker 节点重新引导。

验证

1. 在 KataConfig 选项卡中，点 KataConfig CR 查看其详情。

2. 点 YAML 选项卡查看 status 小节。

   status 小节包含 conditions 和 kataNodes 键。status.kataNodes 的值是一个节点数组，每个节点都列出处于 kata-remote 安装的特定状态的节点。每次有更新时都会出现一条消息。

3. 点 Reload 以刷新 YAML。

   当 status.kataNodes 数组中的所有 worker 都会显示 installed 和 conditions.InProgress: False 时，集群中会安装 kata-remote。

流程

1. 进入 Workloads → ConfigMaps。
2. 点供应商配置映射查看其详情。
3. 点 YAML 标签。

4. 检查 YAML 文件 的状态 小节。

   如果 PODVM_AMI_ID 参数被填充，则 pod 虚拟机镜像已创建成功。

故障排除

1. 运行以下命令来检索事件日志：

   $ oc get events -n openshift-sandboxed-containers-operator --field-selector involvedObject.name=osc-podvm-image-creation

   Copy to clipboard

2. 运行以下命令来检索作业日志：

   $ oc logs -n openshift-sandboxed-containers-operator jobs/osc-podvm-image-creation

   Copy to clipboard

流程

1. 在 OpenShift Container Platform Web 控制台中，导航到 Workloads → workload type，如 Pods。
2. 在工作负载类型页面中，点对象查看其详情。
3. 点 YAML 标签。

4. 将 spec.runtimeClassName: kata-remote 添加到每个 pod 模板工作负载对象的清单中，如下例所示：

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata-remote
   # ...

   Copy to clipboard

5. 向 pod 模板对象添加注解，以使用手动定义的实例类型或自动实例类型：

   • 要使用手动定义的实例类型，请添加以下注解：

     apiVersion: v1
     kind: <object>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.machine_type: "t3.medium" 1
     # ...

     Copy to clipboard

     1 1

     指定配置映射中定义的实例类型。

   • 要使用自动实例类型，请添加以下注解：

     apiVersion: v1
     kind: <Pod>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.default_vcpus: <vcpus>
         io.katacontainers.config.hypervisor.default_memory: <memory>
     # ...

     Copy to clipboard

     定义可供工作负载使用的内存量。工作负载将根据可用内存量在自动实例类型上运行。

6. 点 Save 应用更改。

   OpenShift Container Platform 创建工作负载对象并开始调度它。

流程

1. 创建 osc-namespace.yaml 清单文件：

   apiVersion: v1
   kind: Namespace
   metadata:
     name: openshift-sandboxed-containers-operator

   Copy to clipboard

2. 运行以下命令创建命名空间：

   $ oc apply -f osc-namespace.yaml

   Copy to clipboard

3. 创建 osc-operatorgroup.yaml 清单文件：

   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: sandboxed-containers-operator-group
     namespace: openshift-sandboxed-containers-operator
   spec:
     targetNamespaces:
     - openshift-sandboxed-containers-operator

   Copy to clipboard

4. 运行以下命令来创建 operator 组：

   $ oc apply -f osc-operatorgroup.yaml

   Copy to clipboard

5. 创建 osc-subscription.yaml 清单文件：

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: sandboxed-containers-operator
     namespace: openshift-sandboxed-containers-operator
   spec:
     channel: stable
     installPlanApproval: Automatic
     name: sandboxed-containers-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: sandboxed-containers-operator.v1.9.0

   Copy to clipboard

6. 运行以下命令来创建订阅：

   $ oc apply -f osc-subscription.yaml

   Copy to clipboard

7. 运行以下命令验证 Operator 是否已正确安装：

   $ oc get csv -n openshift-sandboxed-containers-operator

   Copy to clipboard

   此命令可能需要几分钟来完成。

8. 运行以下命令监控进程：

   $ watch oc get csv -n openshift-sandboxed-containers-operator

   Copy to clipboard

   输出示例

   NAME                             DISPLAY                                  VERSION             REPLACES                   PHASE
   openshift-sandboxed-containers   openshift-sandboxed-containers-operator  1.9.0    1.8.1        Succeeded

   Copy to clipboard

流程

1. 登录您的 OpenShift Container Platform 集群并检索实例 ID：

   $ INSTANCE_ID=$(oc get nodes -l 'node-role.kubernetes.io/worker' \
     -o jsonpath='{.items[0].spec.providerID}' | sed 's#[^ ]*/##g')

   Copy to clipboard

2. 检索 AWS 区域：

   $ AWS_REGION=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.aws.region}')

   Copy to clipboard

3. 检索安全组 ID，并将其存储在阵列中：

   $ AWS_SG_IDS=($(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} \
     --query 'Reservations[*].Instances[*].SecurityGroups[*].GroupId' \
     --output text --region $AWS_REGION))

   Copy to clipboard

4. 对于每个安全组 ID，授权 peer pod shim 访问 kata-agent 通信，并设置对等 pod 隧道：

   $ for AWS_SG_ID in "${AWS_SG_IDS[@]}"; do \
     aws ec2 authorize-security-group-ingress --group-id $AWS_SG_ID --protocol tcp --port 15150 --source-group $AWS_SG_ID --region $AWS_REGION \
     aws ec2 authorize-security-group-ingress --group-id $AWS_SG_ID --protocol tcp --port 9000 --source-group $AWS_SG_ID --region $AWS_REGION \
   done

   Copy to clipboard

流程

1. 根据以下示例创建 peer-pods-secret.yaml 清单文件：

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     AWS_ACCESS_KEY_ID: "<aws_access_key>" 1
     AWS_SECRET_ACCESS_KEY: "<aws_secret_access_key>" 2

   Copy to clipboard

   1

   指定 AWS_ACCESS_KEY_ID 值。

   2

   指定 AWS_SECRET_ACCESS_KEY 值。

2. 运行以下命令来创建 secret：

   $ oc apply -f peer-pods-secret.yaml

   Copy to clipboard

流程

1. 从 AWS 实例获取以下值：

   1. 检索并记录实例 ID：

      $ INSTANCE_ID=$(oc get nodes -l 'node-role.kubernetes.io/worker' -o jsonpath='{.items[0].spec.providerID}' | sed 's#[^ ]*/##g')

      Copy to clipboard

      这用于检索 secret 对象的其他值。

   2. 检索并记录 AWS 区域：

      $ AWS_REGION=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.aws.region}') && echo "AWS_REGION: \"$AWS_REGION\""

      Copy to clipboard

   3. 检索并记录 AWS 子网 ID：

      $ AWS_SUBNET_ID=$(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} --query 'Reservations[*].Instances[*].SubnetId' --region ${AWS_REGION} --output text) && echo "AWS_SUBNET_ID: \"$AWS_SUBNET_ID\""

      Copy to clipboard

   4. 检索并记录 AWS VPC ID：

      $ AWS_VPC_ID=$(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} --query 'Reservations[*].Instances[*].VpcId' --region ${AWS_REGION} --output text) && echo "AWS_VPC_ID: \"$AWS_VPC_ID\""

      Copy to clipboard

   5. 检索并记录 AWS 安全组 ID：

      $ AWS_SG_IDS=$(aws ec2 describe-instances --instance-ids ${INSTANCE_ID} --query 'Reservations[*].Instances[*].SecurityGroups[*].GroupId' --region  $AWS_REGION --output json | jq -r '.[][][]' | paste -sd ",") && echo "AWS_SG_IDS: \"$AWS_SG_IDS\""

      Copy to clipboard

2. 根据以下示例创建 peer-pods-cm.yaml 清单文件：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "aws"
     VXLAN_PORT: "9000"
     PODVM_INSTANCE_TYPE: "t3.medium" 1
     PODVM_INSTANCE_TYPES: "t2.small,t2.medium,t3.large" 2
     PROXY_TIMEOUT: "5m"
     PODVM_AMI_ID: "<podvm_ami_id>" 3
     AWS_REGION: "<aws_region>" 4
     AWS_SUBNET_ID: "<aws_subnet_id>" 5
     AWS_VPC_ID: "<aws_vpc_id>" 6
     AWS_SG_IDS: "<aws_sg_ids>" 7
     PEERPODS_LIMIT_PER_NODE: "10" 8
     TAGS: "key1=value1,key2=value2" 9
     DISABLECVM: "true"

   Copy to clipboard

   1

   定义工作负载中没有定义类型时使用的默认实例类型。

   2

   列出创建 pod 时可以指定的所有实例类型。这可让您为大型工作负载需要较少的内存和更多 CPU 或更大的实例类型的工作负载定义较小的实例类型。

   3

   可选：默认情况下，这个值会在运行 KataConfig CR 时填充，使用基于集群凭证的 AMI ID。如果您创建自己的 AMI，请指定正确的 AMI ID。

   4

   指定您检索到的 AWS_REGION 值。

   5

   指定您检索到的 AWS_SUBNET_ID 值。

   6

   指定您检索到的 AWS_VPC_ID 值。

   7

   指定您检索到的 AWS_SG_IDS 值。

   8

   指定每个节点可以创建的对等 pod 的最大数量。默认值为 10。

   9

   您可以将自定义标签配置为 pod 虚拟机实例的 key:value 对，以跟踪对等 pod 成本或标识不同集群中的对等 pod。

3. 运行以下命令来创建配置映射：

   $ oc apply -f peer-pods-cm.yaml

   Copy to clipboard

流程

1. 通过添加 io.katacontainers.config.hypervisor.image 注解来编辑 pod 清单，并将其保存到 pod-manifest.yaml 文件中：

   apiVersion: v1
   kind: Pod
   metadata:
     name: pod-manifest
     annotations:
       io.katacontainers.config.hypervisor.image: "<custom_image_id>" 1
   spec:
     runtimeClassName: kata-remote 2
     containers:
     - name: <example_container> 3
       image: registry.access.redhat.com/ubi9/ubi:9.3
       command: ["sleep", "36000"]

   Copy to clipboard

   1

   指定自定义对等 pod 镜像 ID。

   2

   确保 runtimeClassName 字段设置为 kata-remote，以创建对等 pod。

   3

   指定容器名称。

2. 运行以下命令来创建 pod：

   $ oc apply -f pod-manifest.yaml

   Copy to clipboard

流程

1. 使用自定义策略创建 policy.rego 文件。以下示例显示了所有可配置的 API，并且为演示启用了 exec 和 log ：

   package agent_policy
   
   import future.keywords.in
   import input
   
   default CopyFileRequest := false
   default CreateContainerRequest := false
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true  # Enabled to allow exec API
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default OnlineCPUMemRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := true   # Enabled to allow log API
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StatsContainerRequest := true
   default TtyWinResizeRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := false

   Copy to clipboard

   此策略启用 exec (ExecProcessRequest)和 log (ReadStreamRequest) API。根据您的需要，调整 true 或 false 值以进一步自定义策略。

2. 运行以下命令，将 policy.rego 文件转换为 Base64 编码的字符串：

   $ base64 -w0 policy.rego

   Copy to clipboard

   将输出保存到 yaml 文件中。

3. 将 Base64 编码的策略添加到 my-pod.yaml pod 规格文件中：

   apiVersion: v1
   kind: Pod
   metadata:
     name: <pod_name>
     annotations:
       io.katacontainers.config.agent.policy: <base64_encoded_policy>
   spec:
     runtimeClassName: kata-remote
     containers:
     - name: <container_name>
       image: registry.access.redhat.com/ubi9/ubi:latest
       command:
       - sleep
       - "36000"
       securityContext:
         privileged: false
         seccompProfile:
           type: RuntimeDefault

   Copy to clipboard

4. 运行以下命令来应用 pod 清单：

   $ oc apply -f my-pod.yaml

   Copy to clipboard

流程

1. 根据以下示例创建 example-kataconfig.yaml 清单文件：

   apiVersion: kataconfiguration.openshift.io/v1
   kind: KataConfig
   metadata:
     name: example-kataconfig
   spec:
     enablePeerPods: true
     logLevel: info
   #  kataConfigPoolSelector:
   #    matchLabels:
   #      <label_key>: '<label_value>' 1

   Copy to clipboard

   1

   可选：如果您应用了节点标签在特定节点上安装 kata-remote，请指定键和值，例如 osc: 'true'。

2. 运行以下命令来创建 KataConfig CR：

   $ oc apply -f example-kataconfig.yaml

   Copy to clipboard

   新的 KataConfig CR 被创建，并在 worker 节点上作为运行时类安装 kata-remote。

   在验证安装前，等待 kata-remote 安装完成，以及 worker 节点重新引导。

3. 运行以下命令监控安装进度：

   $ watch "oc describe kataconfig | sed -n /^Status:/,/^Events/p"

   Copy to clipboard

   安装 kataNodes 下所有 worker 的状态并且条件 InProgress 为 False 时，而不指定原因，则会在集群中安装 kata-remote。

4. 运行以下命令验证守护进程集：

   $ oc get -n openshift-sandboxed-containers-operator ds/osc-caa-ds

   Copy to clipboard

5. 运行以下命令验证运行时类：

   $ oc get runtimeclass

   Copy to clipboard

   输出示例

   NAME             HANDLER          AGE
   kata             kata             152m
   kata-remote      kata-remote      152m

   Copy to clipboard

流程

1. 获取您为对等 pod 创建的配置映射：

   $ oc get configmap peer-pods-cm -n openshift-sandboxed-containers-operator -o yaml

   Copy to clipboard

2. 检查 YAML 文件 的状态 小节。

   如果 PODVM_AMI_ID 参数被填充，则 pod 虚拟机镜像已创建成功。

故障排除

1. 运行以下命令来检索事件日志：

   $ oc get events -n openshift-sandboxed-containers-operator --field-selector involvedObject.name=osc-podvm-image-creation

   Copy to clipboard

2. 运行以下命令来检索作业日志：

   $ oc logs -n openshift-sandboxed-containers-operator jobs/osc-podvm-image-creation

   Copy to clipboard

流程

1. 将 spec.runtimeClassName: kata-remote 添加到每个 pod 模板工作负载对象的清单中，如下例所示：

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata-remote
   # ...

   Copy to clipboard

2. 向 pod 模板对象添加注解，以使用手动定义的实例类型或自动实例类型：

   • 要使用手动定义的实例类型，请添加以下注解：

     apiVersion: v1
     kind: <object>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.machine_type: "t3.medium" 1
     # ...

     Copy to clipboard

     1

     指定配置映射中定义的实例类型。

   • 要使用自动实例类型，请添加以下注解：

     apiVersion: v1
     kind: <Pod>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.default_vcpus: <vcpus>
         io.katacontainers.config.hypervisor.default_memory: <memory>
     # ...

     Copy to clipboard

     定义可供工作负载使用的内存量。工作负载将根据可用内存量在自动实例类型上运行。

3. 运行以下命令，将更改应用到工作负载对象：

   $ oc apply -f <object.yaml>

   Copy to clipboard

   OpenShift Container Platform 创建工作负载对象并开始调度它。

流程

1. 运行以下命令设置 AZURE_RESOURCE_GROUP 环境变量：

   $ AZURE_RESOURCE_GROUP=$(oc get infrastructure/cluster \
       -o jsonpath='{.status.platformStatus.azure.resourceGroupName}')

   Copy to clipboard

2. 运行以下命令设置 AZURE_REGION 环境变量：

   $ AZURE_REGION=$(az group show --resource-group ${AZURE_RESOURCE_GROUP}\
       --query "{Location:location}" --output tsv) && \
       echo "AZURE_REGION: \"$AZURE_REGION\""

   Copy to clipboard

3. 运行以下命令设置 AZURE_VNET_NAME 环境变量：

   $ AZURE_VNET_NAME=$(az network vnet list \
       -g "${AZURE_RESOURCE_GROUP}" --query '[].name' -o tsv)

   Copy to clipboard

4. 运行以下命令设置 AZURE_SUBNET_ID 环境变量：

   $ AZURE_SUBNET_ID=$(az network vnet subnet list \
       --resource-group "${AZURE_RESOURCE_GROUP}" \
       --vnet-name "${AZURE_VNET_NAME}" --query "[].{Id:id} \
       | [? contains(Id, 'worker')]" --output tsv)

   Copy to clipboard

5. 运行以下命令，为 peer pod 子网设置 NAT 网关环境变量：

   $ export PEERPOD_NAT_GW=peerpod-nat-gw

   Copy to clipboard

   $ export PEERPOD_NAT_GW_IP=peerpod-nat-gw-ip

   Copy to clipboard

6. 运行以下命令，为 NAT 网关创建公共 IP 地址：

   $ az network public-ip create -g "${AZURE_RESOURCE_GROUP}" \
       -n "${PEERPOD_NAT_GW_IP}" -l "${AZURE_REGION}" --sku Standard

   Copy to clipboard

7. 运行以下命令，创建 NAT 网关并将其与公共 IP 地址关联：

   $ az network nat gateway create -g "${AZURE_RESOURCE_GROUP}" \
       -l "${AZURE_REGION}" --public-ip-addresses "${PEERPOD_NAT_GW_IP}" \
       -n "${PEERPOD_NAT_GW}"

   Copy to clipboard

8. 运行以下命令，更新 VNet 子网以使用 NAT 网关：

   $ az network vnet subnet update --nat-gateway "${PEERPOD_NAT_GW}" \
       --ids "${AZURE_SUBNET_ID}"

   Copy to clipboard

流程

1. 为 peer pod 网络设置环境变量：

   1. 运行以下命令设置 peer pod VNet 环境变量：

      $ export PEERPOD_VNET_NAME="${PEERPOD_VNET_NAME:-peerpod-vnet}"

      Copy to clipboard

      $ export PEERPOD_VNET_CIDR="${PEERPOD_VNET_CIDR:-192.168.0.0/16}"

      Copy to clipboard

   2. 运行以下命令来设置对等 pod 子网环境变量：

      $ export PEERPOD_SUBNET_NAME="${PEERPOD_SUBNET_NAME:-peerpod-subnet}"

      Copy to clipboard

      $ export PEERPOD_SUBNET_CIDR="${PEERPOD_SUBNET_CIDR:-192.168.0.0/16}"

      Copy to clipboard

2. 为 Azure 设置环境变量：

   $ AZURE_RESOURCE_GROUP=$(oc get infrastructure/cluster \
       -o jsonpath='{.status.platformStatus.azure.resourceGroupName}')

   Copy to clipboard

   $ AZURE_REGION=$(az group show --resource-group ${AZURE_RESOURCE_GROUP}\
       --query "{Location:location}" --output tsv) && \
       echo "AZURE_REGION: \"$AZURE_REGION\""

   Copy to clipboard

   $ AZURE_VNET_NAME=$(az network vnet list \
       -g "${AZURE_RESOURCE_GROUP}" --query '[].name' -o tsv)

   Copy to clipboard

3. 运行以下命令设置对等 pod NAT 网关环境变量：

   $ export PEERPOD_NAT_GW="${PEERPOD_NAT_GW:-peerpod-nat-gw}"

   Copy to clipboard

   $ export PEERPOD_NAT_GW_IP="${PEERPOD_NAT_PUBLIC_IP:-peerpod-nat-gw-ip}"

   Copy to clipboard

4. 配置 VNET：

   1. 运行以下命令来创建对等 pod VNet：

      $ az network vnet create --resource-group "${AZURE_RESOURCE_GROUP}" \
          --name "${PEERPOD_VNET_NAME}" \
          --address-prefixes "${PEERPOD_VNET_CIDR}"

      Copy to clipboard

   2. 运行以下命令，为对等 pod VNet 创建公共 IP 地址：

      $ az network public-ip create -g "${AZURE_RESOURCE_GROUP}" \
          -n "${PEERPOD_NAT_GW_IP}" -l "${AZURE_REGION}"

      Copy to clipboard

   3. 运行以下命令，为对等 pod VNet 创建 NAT 网关：

      $ az network nat gateway create -g "${AZURE_RESOURCE_GROUP}" \
          -l "${AZURE_REGION}" \
          --public-ip-addresses "${PEERPOD_NAT_GW_IP}" \
          -n "${PEERPOD_NAT_GW}"

      Copy to clipboard

   4. 运行以下命令，在对等 pod VNet 中创建子网并附加 NAT 网关：

      $ az network vnet subnet create \
          --resource-group "${AZURE_RESOURCE_GROUP}" \
          --vnet-name "${PEERPOD_VNET_NAME}" \
          --name "${PEERPOD_SUBNET_NAME}" \
          --address-prefixes "${PEERPOD_SUBNET_CIDR}" \
          --nat-gateway "${PEERPOD_NAT_GW}"

      Copy to clipboard

5. 配置虚拟网络对等连接：

   1. 运行以下命令来创建对等连接：

      $ az network vnet peering create -g "${AZURE_RESOURCE_GROUP}" \
          -n peerpod-azure-vnet-to-peerpod-vnet \
          --vnet-name "${AZURE_VNET_NAME}" \
          --remote-vnet "${PEERPOD_VNET_NAME}" --allow-vnet-access \
          --allow-forwarded-traffic

      Copy to clipboard

   2. 运行以下命令来同步对等连接：

      $ az network vnet peering sync -g "${AZURE_RESOURCE_GROUP}" \
          -n peerpod-azure-vnet-to-peerpod-vnet \
          --vnet-name "${AZURE_VNET_NAME}"

      Copy to clipboard

   3. 运行以下命令来完成 peering 连接：

      $ az network vnet peering create -g "${AZURE_RESOURCE_GROUP}" \
          -n peerpod-peerpod-vnet-to-azure-vnet \
          --vnet-name "${PEERPOD_VNET_NAME}" \
          --remote-vnet "${AZURE_VNET_NAME}" --allow-vnet-access \
          --allow-forwarded-traffic

      Copy to clipboard

验证

1. 运行以下命令，从集群 VNet 检查对等连接状态：

   $ az network vnet peering show -g "${AZURE_RESOURCE_GROUP}" \
       -n peerpod-azure-vnet-to-peerpod-vnet \
       --vnet-name "${AZURE_VNET_NAME}" \
       --query "peeringState" -o tsv

   Copy to clipboard

   这应该返回 Connected。

2. 运行以下命令，验证 NAT 网关是否已附加到对等 pod 子网：

   $ az network vnet subnet show --resource-group "${AZURE_RESOURCE_GROUP}" \
       --vnet-name "${PEERPOD_VNET_NAME}" --name "${PEERPOD_SUBNET_NAME}" \
       --query "natGateway.id" -o tsv

   Copy to clipboard

流程

1. 在 Web 控制台中，导航到 Operators → OperatorHub。
2. 在 Filter by keyword 字段中，输入 OpenShift sandboxed containers。
3. 选择 OpenShift 沙盒容器 Operator 标题并点 Install。
4. 在 Install Operator 页面中，从可用 Update Channel 选项列表中选择 stable。

5. 验证为 Installed Namespace 选择了 Operator recommended Namespace。这会在 openshift-sandboxed-containers-operator 命名空间中安装 Operator。如果此命名空间尚不存在，则会自动创建。

   注意

   尝试在 openshift-sandboxed-containers-operator 以外的命名空间中安装 OpenShift 沙盒容器 Operator 会导致安装失败。

6. 验证是否为 Approval Strategy 选择了 Automatic。Automatic 是默认值，当有新的 z-stream 发行版本可用时，自动启用对 OpenShift 沙盒容器的自动更新。
7. 点 Install。
8. 导航到 Operators → Installed Operators，以验证是否已安装 Operator。

流程

1. 运行以下命令来检索 Azure 订阅 ID：

   $ AZURE_SUBSCRIPTION_ID=$(az account list --query "[?isDefault].id" \
     -o tsv) && echo "AZURE_SUBSCRIPTION_ID: \"$AZURE_SUBSCRIPTION_ID\""

   Copy to clipboard

2. 运行以下命令来生成 RBAC 内容：

   $ az ad sp create-for-rbac --role Contributor --scopes /subscriptions/$AZURE_SUBSCRIPTION_ID \
     --query "{ client_id: appId, client_secret: password, tenant_id: tenant }"

   Copy to clipboard

   输出示例

   {
     "client_id": `AZURE_CLIENT_ID`,
     "client_secret": `AZURE_CLIENT_SECRET`,
     "tenant_id": `AZURE_TENANT_ID`
   }

   Copy to clipboard

3. 记录要在 secret 对象中使用的 RBAC 输出。
4. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
5. 点 OpenShift 沙盒容器 Operator 标题。
6. 单击右上角的 Import 图标(+)。

7. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     AZURE_CLIENT_ID: "<azure_client_id>" 1
     AZURE_CLIENT_SECRET: "<azure_client_secret>" 2
     AZURE_TENANT_ID: "<azure_tenant_id>" 3
     AZURE_SUBSCRIPTION_ID: "<azure_subscription_id>" 4

   Copy to clipboard

   1

   指定 AZURE_CLIENT_ID 值。

   2

   指定 AZURE_CLIENT_SECRET 值。

   3

   指定 AZURE_TENANT_ID 值。

   4

   指定 AZURE_SUBSCRIPTION_ID 值。

8. 点 Save 应用更改。
9. 导航到 Workloads → Secrets 以验证对等 pod secret。

流程

1. 从 Azure 实例获取以下值：

   1. 检索并记录 Azure 资源组：

      $ AZURE_RESOURCE_GROUP=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.azure.resourceGroupName}') && echo "AZURE_RESOURCE_GROUP: \"$AZURE_RESOURCE_GROUP\""

      Copy to clipboard

   2. 检索并记录 Azure VNet 名称：

      $ AZURE_VNET_NAME=$(az network vnet list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Name:name}" --output tsv)

      Copy to clipboard

      这个值用于检索 Azure 子网 ID。

   3. 检索并记录 Azure 子网 ID：

      $ AZURE_SUBNET_ID=$(az network vnet subnet list --resource-group ${AZURE_RESOURCE_GROUP} --vnet-name $AZURE_VNET_NAME --query "[].{Id:id} | [? contains(Id, 'worker')]" --output tsv) && echo "AZURE_SUBNET_ID: \"$AZURE_SUBNET_ID\""

      Copy to clipboard

   4. 检索并记录 Azure 网络安全组(NSG) ID：

      $ AZURE_NSG_ID=$(az network nsg list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Id:id}" --output tsv) && echo "AZURE_NSG_ID: \"$AZURE_NSG_ID\""

      Copy to clipboard

   5. 检索并记录 Azure 区域：

      $ AZURE_REGION=$(az group show --resource-group ${AZURE_RESOURCE_GROUP} --query "{Location:location}" --output tsv) && echo "AZURE_REGION: \"$AZURE_REGION\""

      Copy to clipboard
2. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
3. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
4. 单击右上角的 Import 图标 (+)。

5. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "azure"
     VXLAN_PORT: "9000"
     AZURE_INSTANCE_SIZE: "Standard_B2als_v2" 1
     AZURE_INSTANCE_SIZES: "Standard_B2als_v2,Standard_D2as_v5,Standard_D4as_v5,Standard_D2ads_v5" 2
     AZURE_SUBNET_ID: "<azure_subnet_id>" 3
     AZURE_NSG_ID: "<azure_nsg_id>" 4
     PROXY_TIMEOUT: "5m"
     AZURE_IMAGE_ID: "<azure_image_id>" 5
     AZURE_REGION: "<azure_region>" 6
     AZURE_RESOURCE_GROUP: "<azure_resource_group>" 7
     PEERPODS_LIMIT_PER_NODE: "10" 8
     TAGS: "key1=value1,key2=value2" 9
     DISABLECVM: "true"

   Copy to clipboard

   1

   如果工作负载中没有定义实例大小，"Standard_B2als_v2" 实例大小为默认值。

   2

   列出创建 pod 时可以指定的所有实例大小。这可让您为大型工作负载需要较少的内存和更小的实例大小的工作负载定义较小的实例大小。

   3

   指定您检索的 AZURE_SUBNET_ID 值。

   4

   指定您检索的 AZURE_NSG_ID 值。

   5

   可选：默认情况下，这个值会在运行 KataConfig CR 时填充，使用基于集群凭证的 Azure 镜像 ID。如果创建自己的 Azure 镜像，请指定正确的镜像 ID。

   6

   指定您检索到的 AZURE_REGION 值。

   7

   指定您检索的 AZURE_RESOURCE_GROUP 值。

   8

   指定每个节点可以创建的对等 pod 的最大数量。默认值为 10。

   9

   您可以将自定义标签配置为 pod 虚拟机实例的 key:value 对，以跟踪对等 pod 成本或标识不同集群中的对等 pod。

6. 点 Save 应用更改。
7. 导航到 Workloads → ConfigMaps 以查看新的配置映射。

流程

1. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
2. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
3. 单击右上角的 Import 图标 (+)。

4. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: Pod
   metadata:
     name: pod-manifest
     annotations:
       io.katacontainers.config.hypervisor.image: "<custom_image_id>" 1
   spec:
     runtimeClassName: kata-remote 2
     containers:
     - name: <example_container> 3
       image: registry.access.redhat.com/ubi9/ubi:9.3
       command: ["sleep", "36000"]

   Copy to clipboard

   1

   指定自定义对等 pod 镜像 ID。

   2

   确保 runtimeClassName 字段设置为 kata-remote，以创建对等 pod。

   3

   指定容器名称。

5. 点 Save 应用更改。

流程

1. 运行以下命令来生成 SSH 密钥对：

   $ ssh-keygen -f ./id_rsa -N ""

   Copy to clipboard
2. 在 OpenShift Container Platform Web 控制台中导航至 Workloads → Secrets。
3. 在 Secrets 页面中，验证您是否位于 openshift-sandboxed-containers-operator 项目中。
4. 点 Create 并选择 Key/value secret。
5. 在 Secret name 字段中，输入 ssh-key-secret。
6. 在 Key 字段中，输入 id_rsa.pub。
7. 在 Value 字段中，粘贴您的公共 SSH 密钥。
8. 点 Create。

9. 删除您创建的 SSH 密钥：

   $ shred --remove id_rsa.pub id_rsa

   Copy to clipboard

流程

1. 使用自定义策略创建 policy.rego 文件。以下示例显示了所有可配置的 API，并且为演示启用了 exec 和 log ：

   package agent_policy
   
   import future.keywords.in
   import input
   
   default CopyFileRequest := false
   default CreateContainerRequest := false
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true  # Enabled to allow exec API
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default OnlineCPUMemRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := true   # Enabled to allow log API
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StatsContainerRequest := true
   default TtyWinResizeRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := false

   Copy to clipboard

   此策略启用 exec (ExecProcessRequest)和 log (ReadStreamRequest) API。根据您的需要，调整 true 或 false 值以进一步自定义策略。

2. 运行以下命令，将 policy.rego 文件转换为 Base64 编码的字符串：

   $ base64 -w0 policy.rego

   Copy to clipboard

   将输出保存到 yaml 文件中。

3. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
4. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
5. 单击右上角的 Import 图标 (+)。

6. 在 Import YAML 窗口中，粘贴以下 YAML 清单，并将 Base64 编码的策略添加到其中：

   apiVersion: v1
   kind: Pod
   metadata:
     name: <pod_name>
     annotations:
       io.katacontainers.config.agent.policy: <base64_encoded_policy>
   spec:
     runtimeClassName: kata-remote
     containers:
     - name: <container_name>
       image: registry.access.redhat.com/ubi9/ubi:latest
       command:
       - sleep
       - "36000"
       securityContext:
         privileged: false
         seccompProfile:
           type: RuntimeDefault

   Copy to clipboard
7. 点 Save 应用更改。

流程

1. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
2. 选择 OpenShift 沙盒容器 Operator。
3. 在 KataConfig 选项卡中，点 Create KataConfig。

4. 输入以下详情：

   • Name: 可选：默认名称为 example-kataconfig。
   • 标签 ：可选：输入任何相关的、识别到 KataConfig 资源的属性。每个标签代表一个键值对。
   • enablePeerPods ：为公共云、IBM Z® 和 IBM® LinuxONE 部署选择。

   • kataConfigPoolSelector.可选： 要在所选节点上安装 kata-remote，请在所选节点上安装标签的匹配表达式：

     1. 展开 kataConfigPoolSelector 区域。
     2. 在 kataConfigPoolSelector 区域中，展开 matchExpressions。这是标签选择器要求列表。
     3. 点 Add matchExpressions。
     4. 在 Key 字段中，输入选择器应用到的标签键。
     5. 在 Operator 字段中，输入键与标签值的关系。有效的运算符为 In、NotIn、Exists 和 DoesNotExist。
     6. 展开 Values 区域，然后点 Add value。
     7. 在 Value 字段中，为 key 标签值输入 true 或 false。
   • loglevel ：定义使用 kata-remote 运行时类为节点检索的日志数据级别。

5. 点 Create。KataConfig CR 会被创建并在 worker 节点上安装 kata-remote 运行时类。

   在验证安装前，等待 kata-remote 安装完成，以及 worker 节点重新引导。

验证

1. 在 KataConfig 选项卡中，点 KataConfig CR 查看其详情。

2. 点 YAML 选项卡查看 status 小节。

   status 小节包含 conditions 和 kataNodes 键。status.kataNodes 的值是一个节点数组，每个节点都列出处于 kata-remote 安装的特定状态的节点。每次有更新时都会出现一条消息。

3. 点 Reload 以刷新 YAML。

   当 status.kataNodes 数组中的所有 worker 都会显示 installed 和 conditions.InProgress: False 时，集群中会安装 kata-remote。

流程

1. 进入 Workloads → ConfigMaps。
2. 点供应商配置映射查看其详情。
3. 点 YAML 标签。

4. 检查 YAML 文件 的状态 小节。

   如果 AZURE_IMAGE_ID 参数被填充，则 pod 虚拟机镜像已被成功创建。

故障排除

1. 运行以下命令来检索事件日志：

   $ oc get events -n openshift-sandboxed-containers-operator --field-selector involvedObject.name=osc-podvm-image-creation

   Copy to clipboard

2. 运行以下命令来检索作业日志：

   $ oc logs -n openshift-sandboxed-containers-operator jobs/osc-podvm-image-creation

   Copy to clipboard

流程

1. 在 OpenShift Container Platform Web 控制台中，导航到 Workloads → workload type，如 Pods。
2. 在工作负载类型页面中，点对象查看其详情。
3. 点 YAML 标签。

4. 将 spec.runtimeClassName: kata-remote 添加到每个 pod 模板工作负载对象的清单中，如下例所示：

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata-remote
   # ...

   Copy to clipboard

5. 向 pod 模板对象添加注解，以使用手动定义的实例大小或自动实例大小：

   • 要使用手动定义的实例大小，请添加以下注解：

     apiVersion: v1
     kind: <object>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.machine_type: "Standard_B2als_v2" 1
     # ...

     Copy to clipboard

     1

     指定配置映射中定义的实例大小。

   • 要使用自动实例大小，请添加以下注解：

     apiVersion: v1
     kind: <Pod>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.default_vcpus: <vcpus>
         io.katacontainers.config.hypervisor.default_memory: <memory>
     # ...

     Copy to clipboard

     定义可供工作负载使用的内存量。工作负载将根据可用内存量在自动实例大小上运行。

6. 点 Save 应用更改。

   OpenShift Container Platform 创建工作负载对象并开始调度它。

流程

1. 创建 osc-namespace.yaml 清单文件：

   apiVersion: v1
   kind: Namespace
   metadata:
     name: openshift-sandboxed-containers-operator

   Copy to clipboard

2. 运行以下命令创建命名空间：

   $ oc apply -f osc-namespace.yaml

   Copy to clipboard

3. 创建 osc-operatorgroup.yaml 清单文件：

   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: sandboxed-containers-operator-group
     namespace: openshift-sandboxed-containers-operator
   spec:
     targetNamespaces:
     - openshift-sandboxed-containers-operator

   Copy to clipboard

4. 运行以下命令来创建 operator 组：

   $ oc apply -f osc-operatorgroup.yaml

   Copy to clipboard

5. 创建 osc-subscription.yaml 清单文件：

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: sandboxed-containers-operator
     namespace: openshift-sandboxed-containers-operator
   spec:
     channel: stable
     installPlanApproval: Automatic
     name: sandboxed-containers-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: sandboxed-containers-operator.v1.9.0

   Copy to clipboard

6. 运行以下命令来创建订阅：

   $ oc apply -f osc-subscription.yaml

   Copy to clipboard

7. 运行以下命令验证 Operator 是否已正确安装：

   $ oc get csv -n openshift-sandboxed-containers-operator

   Copy to clipboard

   此命令可能需要几分钟来完成。

8. 运行以下命令监控进程：

   $ watch oc get csv -n openshift-sandboxed-containers-operator

   Copy to clipboard

   输出示例

   NAME                             DISPLAY                                  VERSION             REPLACES                   PHASE
   openshift-sandboxed-containers   openshift-sandboxed-containers-operator  1.9.0    1.8.1        Succeeded

   Copy to clipboard

流程

1. 运行以下命令来检索 Azure 订阅 ID：

   $ AZURE_SUBSCRIPTION_ID=$(az account list --query "[?isDefault].id" \
     -o tsv) && echo "AZURE_SUBSCRIPTION_ID: \"$AZURE_SUBSCRIPTION_ID\""

   Copy to clipboard

2. 运行以下命令来生成 RBAC 内容：

   $ az ad sp create-for-rbac --role Contributor --scopes /subscriptions/$AZURE_SUBSCRIPTION_ID \
     --query "{ client_id: appId, client_secret: password, tenant_id: tenant }"

   Copy to clipboard

   输出示例

   {
     "client_id": `AZURE_CLIENT_ID`,
     "client_secret": `AZURE_CLIENT_SECRET`,
     "tenant_id": `AZURE_TENANT_ID`
   }

   Copy to clipboard

3. 记录要在 secret 对象中使用的 RBAC 输出。

4. 根据以下示例创建 peer-pods-secret.yaml 清单文件：

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     AZURE_CLIENT_ID: "<azure_client_id>" 1
     AZURE_CLIENT_SECRET: "<azure_client_secret>" 2
     AZURE_TENANT_ID: "<azure_tenant_id>" 3
     AZURE_SUBSCRIPTION_ID: "<azure_subscription_id>" 4

   Copy to clipboard

   1

   指定 AZURE_CLIENT_ID 值。

   2

   指定 AZURE_CLIENT_SECRET 值。

   3

   指定 AZURE_TENANT_ID 值。

   4

   指定 AZURE_SUBSCRIPTION_ID 值。

5. 运行以下命令来创建 secret：

   $ oc apply -f peer-pods-secret.yaml

   Copy to clipboard

流程

1. 从 Azure 实例获取以下值：

   1. 检索并记录 Azure 资源组：

      $ AZURE_RESOURCE_GROUP=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.azure.resourceGroupName}') && echo "AZURE_RESOURCE_GROUP: \"$AZURE_RESOURCE_GROUP\""

      Copy to clipboard

   2. 检索并记录 Azure VNet 名称：

      $ AZURE_VNET_NAME=$(az network vnet list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Name:name}" --output tsv)

      Copy to clipboard

      这个值用于检索 Azure 子网 ID。

   3. 检索并记录 Azure 子网 ID：

      $ AZURE_SUBNET_ID=$(az network vnet subnet list --resource-group ${AZURE_RESOURCE_GROUP} --vnet-name $AZURE_VNET_NAME --query "[].{Id:id} | [? contains(Id, 'worker')]" --output tsv) && echo "AZURE_SUBNET_ID: \"$AZURE_SUBNET_ID\""

      Copy to clipboard

   4. 检索并记录 Azure 网络安全组(NSG) ID：

      $ AZURE_NSG_ID=$(az network nsg list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Id:id}" --output tsv) && echo "AZURE_NSG_ID: \"$AZURE_NSG_ID\""

      Copy to clipboard

   5. 检索并记录 Azure 区域：

      $ AZURE_REGION=$(az group show --resource-group ${AZURE_RESOURCE_GROUP} --query "{Location:location}" --output tsv) && echo "AZURE_REGION: \"$AZURE_REGION\""

      Copy to clipboard

2. 根据以下示例创建 peer-pods-cm.yaml 清单文件：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "azure"
     VXLAN_PORT: "9000"
     AZURE_INSTANCE_SIZE: "Standard_B2als_v2" 1
     AZURE_INSTANCE_SIZES: "Standard_B2als_v2,Standard_D2as_v5,Standard_D4as_v5,Standard_D2ads_v5" 2
     AZURE_SUBNET_ID: "<azure_subnet_id>" 3
     AZURE_NSG_ID: "<azure_nsg_id>" 4
     PROXY_TIMEOUT: "5m"
     AZURE_IMAGE_ID: "<azure_image_id>" 5
     AZURE_REGION: "<azure_region>" 6
     AZURE_RESOURCE_GROUP: "<azure_resource_group>" 7
     PEERPODS_LIMIT_PER_NODE: "10" 8
     TAGS: "key1=value1,key2=value2" 9
     DISABLECVM: "true"

   Copy to clipboard

   1

   如果工作负载中没有定义实例大小，"Standard_B2als_v2" 实例大小为默认值。

   2

   列出创建 pod 时可以指定的所有实例大小。这可让您为大型工作负载需要较少的内存和更小的实例大小的工作负载定义较小的实例大小。

   3

   指定您检索的 AZURE_SUBNET_ID 值。

   4

   指定您检索的 AZURE_NSG_ID 值。

   5

   可选：默认情况下，这个值会在运行 KataConfig CR 时填充，使用基于集群凭证的 Azure 镜像 ID。如果创建自己的 Azure 镜像，请指定正确的镜像 ID。

   6

   指定您检索到的 AZURE_REGION 值。

   7

   指定您检索的 AZURE_RESOURCE_GROUP 值。

   8

   指定每个节点可以创建的对等 pod 的最大数量。默认值为 10。

   9

   您可以将自定义标签配置为 pod 虚拟机实例的 key:value 对，以跟踪对等 pod 成本或标识不同集群中的对等 pod。

3. 运行以下命令来创建配置映射：

   $ oc apply -f peer-pods-cm.yaml

   Copy to clipboard

流程

1. 通过添加 io.katacontainers.config.hypervisor.image 注解来编辑 pod 清单，并将其保存到 pod-manifest.yaml 文件中：

   apiVersion: v1
   kind: Pod
   metadata:
     name: pod-manifest
     annotations:
       io.katacontainers.config.hypervisor.image: "<custom_image_id>" 1
   spec:
     runtimeClassName: kata-remote 2
     containers:
     - name: <example_container> 3
       image: registry.access.redhat.com/ubi9/ubi:9.3
       command: ["sleep", "36000"]

   Copy to clipboard

   1

   指定自定义对等 pod 镜像 ID。

   2

   确保 runtimeClassName 字段设置为 kata-remote，以创建对等 pod。

   3

   指定容器名称。

2. 运行以下命令来创建 pod：

   $ oc apply -f pod-manifest.yaml

   Copy to clipboard

流程

1. 运行以下命令来生成 SSH 密钥对：

   $ ssh-keygen -f ./id_rsa -N ""

   Copy to clipboard

2. 运行以下命令来创建 Secret 对象：

   $ oc create secret generic ssh-key-secret \
     -n openshift-sandboxed-containers-operator \
     --from-file=id_rsa.pub=./id_rsa.pub \
     --from-file=id_rsa=./id_rsa

   Copy to clipboard

3. 删除您创建的 SSH 密钥：

   $ shred --remove id_rsa.pub id_rsa

   Copy to clipboard

流程

1. 使用自定义策略创建 policy.rego 文件。以下示例显示了所有可配置的 API，并且为演示启用了 exec 和 log ：

   package agent_policy
   
   import future.keywords.in
   import input
   
   default CopyFileRequest := false
   default CreateContainerRequest := false
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true  # Enabled to allow exec API
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default OnlineCPUMemRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := true   # Enabled to allow log API
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StatsContainerRequest := true
   default TtyWinResizeRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := false

   Copy to clipboard

   此策略启用 exec (ExecProcessRequest)和 log (ReadStreamRequest) API。根据您的需要，调整 true 或 false 值以进一步自定义策略。

2. 运行以下命令，将 policy.rego 文件转换为 Base64 编码的字符串：

   $ base64 -w0 policy.rego

   Copy to clipboard

   将输出保存到 yaml 文件中。

3. 将 Base64 编码的策略添加到 my-pod.yaml pod 规格文件中：

   apiVersion: v1
   kind: Pod
   metadata:
     name: <pod_name>
     annotations:
       io.katacontainers.config.agent.policy: <base64_encoded_policy>
   spec:
     runtimeClassName: kata-remote
     containers:
     - name: <container_name>
       image: registry.access.redhat.com/ubi9/ubi:latest
       command:
       - sleep
       - "36000"
       securityContext:
         privileged: false
         seccompProfile:
           type: RuntimeDefault

   Copy to clipboard

4. 运行以下命令来应用 pod 清单：

   $ oc apply -f my-pod.yaml

   Copy to clipboard

流程

1. 根据以下示例创建 example-kataconfig.yaml 清单文件：

   apiVersion: kataconfiguration.openshift.io/v1
   kind: KataConfig
   metadata:
     name: example-kataconfig
   spec:
     enablePeerPods: true
     logLevel: info
   #  kataConfigPoolSelector:
   #    matchLabels:
   #      <label_key>: '<label_value>' 1

   Copy to clipboard

   1

   可选：如果您应用了节点标签在特定节点上安装 kata-remote，请指定键和值，例如 osc: 'true'。

2. 运行以下命令来创建 KataConfig CR：

   $ oc apply -f example-kataconfig.yaml

   Copy to clipboard

   新的 KataConfig CR 被创建，并在 worker 节点上作为运行时类安装 kata-remote。

   在验证安装前，等待 kata-remote 安装完成，以及 worker 节点重新引导。

3. 运行以下命令监控安装进度：

   $ watch "oc describe kataconfig | sed -n /^Status:/,/^Events/p"

   Copy to clipboard

   安装 kataNodes 下所有 worker 的状态并且条件 InProgress 为 False 时，而不指定原因，则会在集群中安装 kata-remote。

4. 运行以下命令验证守护进程集：

   $ oc get -n openshift-sandboxed-containers-operator ds/osc-caa-ds

   Copy to clipboard

5. 运行以下命令验证运行时类：

   $ oc get runtimeclass

   Copy to clipboard

   输出示例

   NAME             HANDLER          AGE
   kata             kata             152m
   kata-remote      kata-remote      152m

   Copy to clipboard

流程

1. 获取您为对等 pod 创建的配置映射：

   $ oc get configmap peer-pods-cm -n openshift-sandboxed-containers-operator -o yaml

   Copy to clipboard

2. 检查 YAML 文件 的状态 小节。

   如果 AZURE_IMAGE_ID 参数被填充，则 pod 虚拟机镜像已被成功创建。

故障排除

1. 运行以下命令来检索事件日志：

   $ oc get events -n openshift-sandboxed-containers-operator --field-selector involvedObject.name=osc-podvm-image-creation

   Copy to clipboard

2. 运行以下命令来检索作业日志：

   $ oc logs -n openshift-sandboxed-containers-operator jobs/osc-podvm-image-creation

   Copy to clipboard

流程

1. 将 spec.runtimeClassName: kata-remote 添加到每个 pod 模板工作负载对象的清单中，如下例所示：

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata-remote
   # ...

   Copy to clipboard

2. 向 pod 模板对象添加注解，以使用手动定义的实例大小或自动实例大小：

   • 要使用手动定义的实例大小，请添加以下注解：

     apiVersion: v1
     kind: <object>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.machine_type: "Standard_B2als_v2" 1
     # ...

     Copy to clipboard

     1

     指定配置映射中定义的实例大小。

   • 要使用自动实例大小，请添加以下注解：

     apiVersion: v1
     kind: <Pod>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.default_vcpus: <vcpus>
         io.katacontainers.config.hypervisor.default_memory: <memory>
     # ...

     Copy to clipboard

     定义可供工作负载使用的内存量。工作负载将根据可用内存量在自动实例大小上运行。

3. 运行以下命令，将更改应用到工作负载对象：

   $ oc apply -f <object.yaml>

   Copy to clipboard

   OpenShift Container Platform 创建工作负载对象并开始调度它。

流程

1. 在 Web 控制台中，导航到 Operators → OperatorHub。
2. 在 Filter by keyword 字段中，输入 OpenShift sandboxed containers。
3. 选择 OpenShift 沙盒容器 Operator 标题并点 Install。
4. 在 Install Operator 页面中，从可用 Update Channel 选项列表中选择 stable。

5. 验证为 Installed Namespace 选择了 Operator recommended Namespace。这会在 openshift-sandboxed-containers-operator 命名空间中安装 Operator。如果此命名空间尚不存在，则会自动创建。

   注意

   尝试在 openshift-sandboxed-containers-operator 以外的命名空间中安装 OpenShift 沙盒容器 Operator 会导致安装失败。

6. 验证是否为 Approval Strategy 选择了 Automatic。Automatic 是默认值，当有新的 z-stream 发行版本可用时，自动启用对 OpenShift 沙盒容器的自动更新。
7. 点 Install。
8. 导航到 Operators → Installed Operators，以验证是否已安装 Operator。

流程

1. 运行以下命令来设置项目 ID 变量：

   $ export GCP_PROJECT_ID="<project_id>"

   Copy to clipboard

2. 运行以下命令登录到 Google Cloud：

   $ gcloud auth login

   Copy to clipboard

3. 运行以下命令来设置 Google Cloud 项目 ID：

   $ gcloud config set project ${GCP_PROJECT_ID}

   Copy to clipboard

4. 运行以下命令打开端口 15150 ：

   $ gcloud compute firewall-rules create allow-port-15150-restricted \
      --project=${GCP_PROJECT_ID} \
      --network=default \
      --allow=tcp:15150 \
      --source-ranges=<external_ip_cidr-1>[,<external_ip_cidr-2>,...] 1

   Copy to clipboard

   1

   以 CIDR 格式指定一个或多个 IP 地址或范围，用逗号分开。例如，203.0.113.5/32,198.51.100.0/24。

流程

1. 在 Google Cloud 控制台中，导航到 IAM & Admin → Service Accounts → Keys，并将您的密钥保存为 JSON 文件。

2. 运行以下命令，将 JSON 文件转换为一行字符串：

   $ cat <key_file>.json | jq -c .

   Copy to clipboard
3. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
4. 点 OpenShift 沙盒容器 Operator 标题。
5. 单击右上角的 Import 图标(+)。

6. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     GCP_CREDENTIALS: "<gc_service_account_key_json>" 1

   Copy to clipboard

   1

   使用 从 Google Cloud service account key JSON 文件创建的单行字符串替换。

7. 点 Save 应用更改。
8. 导航到 Workloads → Secrets 以验证对等 pod secret。

流程

1. 登录到您的 Compute Engine 实例以设置以下环境变量：

   1. 运行以下命令来获取项目 ID：

      $ GCP_PROJECT_ID=$(gcloud config get-value project)

      Copy to clipboard

   2. 运行以下命令来获取区：

      $ GCP_ZONE=$(gcloud config get-value compute/zone)

      Copy to clipboard

   3. 运行以下命令来检索网络名称列表：

      $ gcloud compute networks list --format="value(name)"

      Copy to clipboard

   4. 运行以下命令来指定网络：

      $ GCP_NETWORK=<network_name> 1

      Copy to clipboard

      1

      将 <network_name > 替换为网络的名称。

2. 在 OpenShift Container Platform web 控制台中导航至 Operators → Installed Operators。
3. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
4. 单击右上角的 Import 图标 (+)。

5. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "gcp"
     PROXY_TIMEOUT: "5m"
     GCP_PROJECT_ID: "<gcp_project_id>" 1
     GCP_ZONE: "<gcp_zone>" 2
     GCP_MACHINE_TYPE: "e2-medium" 3
     GCP_NETWORK: "<gcp_network>" 4
     PEERPODS_LIMIT_PER_NODE: "10" 5
     TAGS: "key1=value1,key2=value2" 6
     DISABLECVM: "true"

   Copy to clipboard

   1

   指定您要使用的项目 ID。

   2

   指定您检索的 GCP_ZONE 值。此区域将运行工作负载。

   3

   指定与工作负载要求匹配的机器类型。

   4

   指定您检索的 GCP_NETWORK 值。

   5

   指定每个节点可以创建的对等 pod 的最大数量。默认值为 10。

   6

   您可以将自定义标签配置为 pod 虚拟机实例的 key:value 对，以跟踪对等 pod 成本或标识不同集群中的对等 pod。

6. 点 Save 应用更改。
7. 导航到 Workloads → ConfigMaps 以查看新的配置映射。

流程

1. 运行以下命令克隆 OpenShift 沙盒容器存储库：

   $ git clone https://github.com/openshift/sandboxed-containers-operator.git

   Copy to clipboard

2. 运行以下命令，进入 sandboxed-containers-operator/config/peerpods/podvm/bootc ：

   $ cd sandboxed-containers-operator/config/peerpods/podvm/bootc

   Copy to clipboard

3. 运行以下命令登录到 registry.redhat.io ：

   $ podman login registry.redhat.io

   Copy to clipboard

   您必须登录 registry.redhat.io，因为 podman 构建进程 必须访问托管在 registry 上的 Containerfile.rhel 容器镜像。

4. 运行以下命令，为您的容器 registry 设置镜像路径：

   $ IMG="<container_registry_url>/<username>/podvm-bootc:latest"

5. 运行以下命令构建 pod 虚拟机 bootc 镜像：

   $ podman build -t ${IMG} -f Containerfile.rhel .

   Copy to clipboard

6. 运行以下命令登录到您的容器 registry：

   $ podman login <container_registry_url>

   Copy to clipboard

7. 运行以下命令将镜像推送到容器 registry 中：

   $ podman push ${IMG}

   Copy to clipboard

   对于测试和开发，您可以使镜像变为公共镜像。

8. 运行以下命令验证 podvm-bootc 镜像：

   $ podman images

   Copy to clipboard

   输出示例

   REPOSITORY                               TAG     IMAGE ID      CREATED         SIZE
   example.com/example_user/podvm-bootc     latest  88ddab975a07  2 seconds ago   1.82 GB

   Copy to clipboard