5.2. 使用 Web 控制台部署 OpenShift 沙盒容器

流程

1. 在 Web 控制台中，导航到 Operators OperatorHub。
2. 在 Filter by keyword 字段中，输入 OpenShift sandboxed containers。
3. 选择 OpenShift 沙盒容器 Operator 标题并点 Install。
4. 在 Install Operator 页面中，从可用 Update Channel 选项列表中选择 stable。

5. 验证为 Installed Namespace 选择了 Operator recommended Namespace。这会在 openshift-sandboxed-containers-operator 命名空间中安装 Operator。如果此命名空间尚不存在，则会自动创建。

   注意

   尝试在 openshift-sandboxed-containers-operator 以外的命名空间中安装 OpenShift 沙盒容器 Operator 会导致安装失败。

6. 验证是否为 Approval Strategy 选择了 Automatic。Automatic 是默认值，当有新的 z-stream 发行版本可用时，自动启用对 OpenShift 沙盒容器的自动更新。
7. 点 Install。
8. 导航到 Operators Installed Operators，以验证是否已安装 Operator。

流程

1. 运行以下命令来设置项目 ID 变量：

   $ export GCP_PROJECT_ID="<project_id>"

   Copy to Clipboard Toggle word wrap

2. 运行以下命令登录到 Google Cloud：

   $ gcloud auth login

   Copy to Clipboard Toggle word wrap

3. 运行以下命令来设置 Google Cloud 项目 ID：

   $ gcloud config set project ${GCP_PROJECT_ID}

   Copy to Clipboard Toggle word wrap

4. 运行以下命令打开端口 15150 ：

   $ gcloud compute firewall-rules create allow-port-15150-restricted \
      --project=${GCP_PROJECT_ID} \
      --network=default \
      --allow=tcp:15150 \
      --source-ranges=<external_ip_cidr-1>[,<external_ip_cidr-2>,...] 

   1

   Copy to Clipboard Toggle word wrap

   1

   以 CIDR 格式指定一个或多个 IP 地址或范围，用逗号分开。例如，203.0.113.5/32,198.51.100.0/24。

流程

1. 在 Google Cloud 控制台中，导航到 IAM & Admin Service Accounts Keys，并将您的密钥保存为 JSON 文件。

2. 运行以下命令，将 JSON 文件转换为一行字符串：

   $ cat <key_file>.json | jq -c .

   Copy to Clipboard Toggle word wrap
3. 在 OpenShift Container Platform web 控制台中导航至 Operators Installed Operators。
4. 点 OpenShift 沙盒容器 Operator 标题。
5. 单击右上角的 Import 图标(+)。

6. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     GCP_CREDENTIALS: "<gc_service_account_key_json>" 

   1

   Copy to Clipboard Toggle word wrap

   1

   使用 从 Google Cloud service account key JSON 文件创建的单行字符串替换。

7. 点 Save 应用更改。
8. 导航到 Workloads Secrets 以验证对等 pod secret。

流程

1. 登录到您的 Compute Engine 实例以设置以下环境变量：

   1. 运行以下命令来获取项目 ID：

      $ GCP_PROJECT_ID=$(gcloud config get-value project)

      Copy to Clipboard Toggle word wrap

   2. 运行以下命令来获取区：

      $ GCP_ZONE=$(gcloud config get-value compute/zone)

      Copy to Clipboard Toggle word wrap

   3. 运行以下命令来检索网络名称列表：

      $ gcloud compute networks list --format="value(name)"

      Copy to Clipboard Toggle word wrap

   4. 运行以下命令来指定网络：

      $ GCP_NETWORK=<network_name> 

      1

      Copy to Clipboard Toggle word wrap

      1

      将 <network_name > 替换为网络的名称。

2. 在 OpenShift Container Platform web 控制台中导航至 Operators Installed Operators。
3. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
4. 单击右上角的 Import 图标 (+)。

5. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "gcp"
     PROXY_TIMEOUT: "5m"
     GCP_PROJECT_ID: "<gcp_project_id>" 

   1

   
     GCP_ZONE: "<gcp_zone>" 

   2

   
     GCP_MACHINE_TYPE: "e2-medium" 

   3

   
     GCP_NETWORK: "<gcp_network>" 

   4

   
     PEERPODS_LIMIT_PER_NODE: "10" 

   5

   
     TAGS: "key1=value1,key2=value2" 

   6

   
     DISABLECVM: "true"

   Copy to Clipboard Toggle word wrap

   1

   指定您要使用的项目 ID。

   2

   指定您检索的 GCP_ZONE 值。此区域将运行工作负载。

   3

   指定与工作负载要求匹配的机器类型。

   4

   指定您检索的 GCP_NETWORK 值。

   5

   指定每个节点可以创建的对等 pod 的最大数量。默认值为 10。

   6

   您可以将自定义标签配置为 pod 虚拟机实例的 key:value 对，以跟踪对等 pod 成本或标识不同集群中的对等 pod。

6. 点 Save 应用更改。
7. 导航到 Workloads ConfigMaps 以查看新的配置映射。

流程

1. 运行以下命令克隆 OpenShift 沙盒容器存储库：

   $ git clone https://github.com/openshift/sandboxed-containers-operator.git

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，进入 sandboxed-containers-operator/config/peerpods/podvm/bootc ：

   $ cd sandboxed-containers-operator/config/peerpods/podvm/bootc

   Copy to Clipboard Toggle word wrap

3. 运行以下命令登录到 registry.redhat.io ：

   $ podman login registry.redhat.io

   Copy to Clipboard Toggle word wrap

   您必须登录 registry.redhat.io，因为 podman 构建进程 必须访问托管在 registry 上的 Containerfile.rhel 容器镜像。

4. 运行以下命令，为您的容器 registry 设置镜像路径：

   $ IMG="<container_registry_url>/<username>/podvm-bootc:latest"

   Copy to Clipboard Toggle word wrap

5. 运行以下命令构建 pod 虚拟机 bootc 镜像：

   $ podman build -t ${IMG} -f Containerfile.rhel .

   Copy to Clipboard Toggle word wrap

6. 运行以下命令登录到您的容器 registry：

   $ podman login <container_registry_url>

   Copy to Clipboard Toggle word wrap

7. 运行以下命令将镜像推送到容器 registry 中：

   $ podman push ${IMG}

   Copy to Clipboard Toggle word wrap

   对于测试和开发，您可以使镜像变为公共镜像。

8. 运行以下命令验证 podvm-bootc 镜像：

   $ podman images

   Copy to Clipboard Toggle word wrap

   输出示例

   REPOSITORY                               TAG     IMAGE ID      CREATED         SIZE
   example.com/example_user/podvm-bootc     latest  88ddab975a07  2 seconds ago   1.82 GB

   Copy to Clipboard Toggle word wrap

流程

1. 在 OpenShift Container Platform web 控制台中导航至 Operators Installed Operators。
2. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
3. 单击右上角的 Import 图标 (+)。

4. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: gc-podvm-image-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     IMAGE_TYPE: pre-built
     PODVM_IMAGE_URI: <container_registry_url>/<username>/podvm-bootc:latest
     IMAGE_BASE_NAME: "podvm-image"
     IMAGE_VERSION: "0-0-0"
   
     INSTALL_PACKAGES: "no"
     DISABLE_CLOUD_CONFIG: "true"
     UPDATE_PEERPODS_CM: "yes"
     BOOT_FIPS: "no"
   
     BOOTC_BUILD_CONFIG: |
       [[customizations.user]]
       name = "peerpod"
       password = "peerpod"
       groups = ["wheel", "root"]
   
       [[customizations.filesystem]]
       mountpoint = "/"
       minsize = "5 GiB"
   
       [[customizations.filesystem]]
       mountpoint = "/var/kata-containers"
       minsize = "15 GiB"

   Copy to Clipboard Toggle word wrap
5. 点 Save 应用更改。
6. 导航到 Workloads ConfigMaps 以查看新的配置映射。

流程

1. 使用自定义策略创建 policy.rego 文件。以下示例显示了所有可配置的 API，并且为演示启用了 exec 和 log ：

   package agent_policy
   
   import future.keywords.in
   import input
   
   default CopyFileRequest := false
   default CreateContainerRequest := false
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true  # Enabled to allow exec API
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default OnlineCPUMemRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := true   # Enabled to allow log API
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StatsContainerRequest := true
   default TtyWinResizeRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := false

   Copy to Clipboard Toggle word wrap

   此策略启用 exec (ExecProcessRequest)和 log (ReadStreamRequest) API。根据您的需要，调整 true 或 false 值以进一步自定义策略。

2. 运行以下命令，将 policy.rego 文件转换为 Base64 编码的字符串：

   $ base64 -w0 policy.rego

   Copy to Clipboard Toggle word wrap

   将输出保存到 yaml 文件中。

3. 在 OpenShift Container Platform web 控制台中导航至 Operators Installed Operators。
4. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
5. 单击右上角的 Import 图标 (+)。

6. 在 Import YAML 窗口中，粘贴以下 YAML 清单，并将 Base64 编码的策略添加到其中：

   apiVersion: v1
   kind: Pod
   metadata:
     name: <pod_name>
     annotations:
       io.katacontainers.config.agent.policy: <base64_encoded_policy>
   spec:
     runtimeClassName: kata-remote
     containers:
     - name: <container_name>
       image: registry.access.redhat.com/ubi9/ubi:latest
       command:
       - sleep
       - "36000"
       securityContext:
         privileged: false
         seccompProfile:
           type: RuntimeDefault

   Copy to Clipboard Toggle word wrap
7. 点 Save 应用更改。

流程

1. 在 OpenShift Container Platform web 控制台中导航至 Operators Installed Operators。
2. 选择 OpenShift 沙盒容器 Operator。
3. 在 KataConfig 选项卡中，点 Create KataConfig。

4. 输入以下详情：

   • Name: 可选：默认名称为 example-kataconfig。
   • 标签 ：可选：输入任何相关的、识别到 KataConfig 资源的属性。每个标签代表一个键值对。
   • enablePeerPods ：为公共云、IBM Z® 和 IBM® LinuxONE 部署选择。

   • kataConfigPoolSelector.可选： 要在所选节点上安装 kata-remote，请在所选节点上安装标签的匹配表达式：

     1. 展开 kataConfigPoolSelector 区域。
     2. 在 kataConfigPoolSelector 区域中，展开 matchExpressions。这是标签选择器要求列表。
     3. 点 Add matchExpressions。
     4. 在 Key 字段中，输入选择器应用到的标签键。
     5. 在 Operator 字段中，输入键与标签值的关系。有效的运算符为 In、NotIn、Exists 和 DoesNotExist。
     6. 展开 Values 区域，然后点 Add value。
     7. 在 Value 字段中，为 key 标签值输入 true 或 false。
   • loglevel ：定义使用 kata-remote 运行时类为节点检索的日志数据级别。

5. 点 Create。KataConfig CR 会被创建并在 worker 节点上安装 kata-remote 运行时类。

   在验证安装前，等待 kata-remote 安装完成，以及 worker 节点重新引导。

验证

1. 在 KataConfig 选项卡中，点 KataConfig CR 查看其详情。

2. 点 YAML 选项卡查看 status 小节。

   status 小节包含 conditions 和 kataNodes 键。status.kataNodes 的值是一个节点数组，每个节点都列出处于 kata-remote 安装的特定状态的节点。每次有更新时都会出现一条消息。

3. 点 Reload 以刷新 YAML。

   当 status.kataNodes 数组中的所有 worker 都会显示 installed 和 conditions.InProgress: False 时，集群中会安装 kata-remote。

流程

1. 进入 Workloads ConfigMaps。
2. 点供应商配置映射查看其详情。
3. 点 YAML 标签。

4. 检查 YAML 文件 的状态 小节。

   如果 PODVM_IMAGE_NAME 参数被填充，则 pod 虚拟机镜像已被成功创建。

故障排除

1. 运行以下命令来检索事件日志：

   $ oc get events -n openshift-sandboxed-containers-operator --field-selector involvedObject.name=osc-podvm-image-creation

   Copy to Clipboard Toggle word wrap

2. 运行以下命令来检索作业日志：

   $ oc logs -n openshift-sandboxed-containers-operator jobs/osc-podvm-image-creation

   Copy to Clipboard Toggle word wrap

流程

1. 将 spec.runtimeClassName: kata-remote 添加到每个 pod 模板工作负载对象的清单中，如下例所示：

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata-remote
   # ...

   Copy to Clipboard Toggle word wrap

   OpenShift Container Platform 创建工作负载对象并开始调度它。