2.3. 使用命令行部署 OpenShift 沙盒容器

流程

1. 创建 osc-namespace.yaml 清单文件：

   apiVersion: v1
   kind: Namespace
   metadata:
     name: openshift-sandboxed-containers-operator

2. 运行以下命令创建命名空间：

   $ oc apply -f osc-namespace.yaml

3. 创建 osc-operatorgroup.yaml 清单文件：

   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: sandboxed-containers-operator-group
     namespace: openshift-sandboxed-containers-operator
   spec:
     targetNamespaces:
     - openshift-sandboxed-containers-operator

4. 运行以下命令来创建 operator 组：

   $ oc apply -f osc-operatorgroup.yaml

5. 创建 osc-subscription.yaml 清单文件：

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: sandboxed-containers-operator
     namespace: openshift-sandboxed-containers-operator
   spec:
     channel: stable
     installPlanApproval: Automatic
     name: sandboxed-containers-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: sandboxed-containers-operator.v1.9.0

6. 运行以下命令来创建订阅：

   $ oc apply -f osc-subscription.yaml

7. 运行以下命令验证 Operator 是否已正确安装：

   $ oc get csv -n openshift-sandboxed-containers-operator

   此命令可能需要几分钟来完成。

8. 运行以下命令监控进程：

   $ watch oc get csv -n openshift-sandboxed-containers-operator

   输出示例

   NAME                             DISPLAY                                  VERSION             REPLACES                   PHASE
   openshift-sandboxed-containers   openshift-sandboxed-containers-operator  1.9.0    1.8.1        Succeeded

流程

1. 使用自定义策略创建 policy.rego 文件。以下示例显示了所有可配置的 API，并且为演示启用了 exec 和 log ：

   package agent_policy
   
   import future.keywords.in
   import input
   
   default CopyFileRequest := false
   default CreateContainerRequest := false
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true  # Enabled to allow exec API
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default OnlineCPUMemRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := true   # Enabled to allow log API
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StatsContainerRequest := true
   default TtyWinResizeRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := false

   此策略启用 exec (ExecProcessRequest)和 log (ReadStreamRequest) API。根据您的需要，调整 true 或 false 值以进一步自定义策略。

2. 运行以下命令，将 policy.rego 文件转换为 Base64 编码的字符串：

   $ base64 -w0 policy.rego

   复制下一步骤中要使用的输出。

3. 将 Base64 编码的策略添加到 my-pod.yaml pod 规格文件中：

   apiVersion: v1
   kind: Pod
   metadata:
     name: <pod_name>
     annotations:
       io.katacontainers.config.agent.policy: <base64_encoded_policy>
   spec:
     runtimeClassName: kata-remote
     containers:
     - name: <container_name>
       image: registry.access.redhat.com/ubi9/ubi:latest
       command:
       - sleep
       - "36000"
       securityContext:
         privileged: false
         seccompProfile:
           type: RuntimeDefault

4. 运行以下命令来应用 pod 清单：

   $ oc apply -f my-pod.yaml

流程

1. 根据以下示例创建 example-kataconfig.yaml 清单文件：

   apiVersion: kataconfiguration.openshift.io/v1
   kind: KataConfig
   metadata:
     name: example-kataconfig
   spec:
     checkNodeEligibility: false 1
     logLevel: info
   #  kataConfigPoolSelector:
   #    matchLabels:
   #      <label_key>: '<label_value>' 2

   1

   可选：将'checkNodeEligibility' 设置为 true 以运行节点资格检查。

   2

   可选：如果您应用了节点标签来在特定节点上安装 OpenShift 沙盒容器，请指定键和值。

2. 运行以下命令来创建 KataConfig CR：

   $ oc apply -f example-kataconfig.yaml

   新的 KataConfig CR 会被创建，并在 worker 节点上作为运行时类安装 kata。

   在验证安装前，等待 kata 安装完成，以及 worker 节点重新引导。

3. 运行以下命令监控安装进度：

   $ watch "oc describe kataconfig | sed -n /^Status:/,/^Events/p"

   当安装 kataNodes 下的所有 worker 的状态并且条件 InProgress 为 False 时，如果没有指定原因，则会在集群中安装 kata。

流程

1. 运行以下命令来获取 RuntimeClass 对象：

   $ oc describe runtimeclass kata

2. 更新 overhead.podFixed.memory 和 cpu 值，并将文件保存为 runtimeclass.yaml ：

   kind: RuntimeClass
   apiVersion: node.k8s.io/v1
   metadata:
     name: kata
   overhead:
     podFixed:
       memory: "500Mi"
       cpu: "500m"

3. 运行以下命令来应用更改：

   $ oc apply -f runtimeclass.yaml

流程

1. 将 spec.runtimeClassName: kata 添加到每个 pod 模板工作负载对象的清单中，如下例所示：

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata
   # ...

   OpenShift Container Platform 创建工作负载对象并开始调度它。