2.5. 使用操作器在 OpenShift 上 3scale 的部署配置选项

流程

1. 编写用于定义您要注入的自定义环境的 Lua 代码。例如，以下 env1.lua 文件显示了 3scale 操作器为所有服务加载的自定义日志策略。

   local cjson = require('cjson')
   local PolicyChain = require('apicast.policy_chain')
   local policy_chain = context.policy_chain
   
   local logging_policy_config = cjson.decode([[
   {
     "enable_access_logs": false,
     "custom_logging": "\"{{request}}\" to service {{service.id}} and {{service.name}}"
   }
   ]])
   
   policy_chain:insert( PolicyChain.load_policy('logging', 'builtin', logging_policy_config), 1)
   
   return {
     policy_chain = policy_chain,
     port = { metrics = 9421 },
   }

2. 从定义自定义环境的 Lua 文件创建 secret。例如：

   $ oc create secret generic custom-env-1 --from-file=./env1.lua

   secret 可以包含多个自定义虚拟环境。为定义自定义环境的每个文件指定 '-from-file 选项。Operator 会加载每个自定义环境。

3. 定义一个 APIManager 自定义资源 (CR) 来引用您刚才创建的 secret。以下示例显示了相对于引用定义自定义环境的 secret 的内容。

   apiVersion: apps.3scale.net/v1alpha1
   kind: APIManager
   metadata:
     name: apimanager-apicast-custom-environment
   spec:
     wildcardDomain: <desired-domain>
     apicast:
       productionSpec:
         customEnvironments:
           - secretRef:
               name: custom-env-1
       stagingSpec:
         customEnvironments:
           - secretRef:
               name: custom-env-1

   APIManager CR 可以引用定义自定义虚拟环境的多个 secret。Operator 会加载每个自定义环境。

4. 创建添加自定义环境的 APIManager CR。例如：

   $ oc apply -f apimanager.yaml

流程

1. 从定义一个自定义策略的文件创建 secret。例如：

   $ oc create secret generic my-first-custom-policy-secret \
    --from-file=./apicast-policy.json \
    --from-file=./init.lua \
    --from-file=./my-first-custom-policy.lua

   如果您有多个自定义策略，请为每个自定义策略创建一个 secret。secret 只能包含一个自定义策略。

2. 定义一个 APIManager CR，以引用包含自定义策略的每个 secret。您可以为 APIcast staging 和 APIcast production 指定相同的 secret。以下示例显示有关引用包含自定义策略的 secret 的内容。

   apiVersion: apps.3scale.net/v1alpha1
   kind: APIManager
   metadata:
     name: apimanager-apicast-custom-policy
   spec:
     apicast:
       stagingSpec:
         customPolicies:
           - name: my-first-custom-policy
             version: "0.1"
             secretRef:
               name: my-first-custom-policy-secret
           - name: my-second-custom-policy
             version: "0.1"
             secretRef:
               name: my-second-custom-policy-secret
       productionSpec:
         customPolicies:
           - name: my-first-custom-policy
             version: "0.1"
             secretRef:
               name: my-first-custom-policy-secret
           - name: my-second-custom-policy
             version: "0.1"
             secretRef:
               name: my-second-custom-policy-secret

   APIManager CR 可以引用定义不同自定义策略的多个 secret。Operator 加载每个自定义策略。

3. 创建 APIManager CR 来引用包含自定义策略的 secret。例如：

   $ oc apply -f apimanager.yaml

流程

1. 在 stringData.config 中包含您的 OpenTracing 配置详情的 secret。这是包含您的 OpenTracing 配置详细信息的属性的唯一有效值。任何其他规格都阻止 APIcast 收到您的 OpenTracing 配置详细信息。以下示例显示了一个有效的 secret 定义：

   apiVersion: v1
   kind: Secret
   metadata:
     name: myjaeger
   stringData:
     config: |-
         {
         "service_name": "apicast",
         "disabled": false,
         "sampler": {
           "type": "const",
           "param": 1
         },
         "reporter": {
           "queueSize": 100,
           "bufferFlushInterval": 10,
           "logSpans": false,
           "localAgentHostPort": "jaeger-all-in-one-inmemory-agent:6831"
         },
         "headers": {
           "jaegerDebugHeader": "debug-id",
           "jaegerBaggageHeader": "baggage",
           "TraceContextHeaderName": "uber-trace-id",
           "traceBaggageHeaderPrefix": "testctx-"
         },
         "baggage_restrictions": {
             "denyBaggageOnInitializationFailure": false,
             "hostPort": "127.0.0.1:5778",
             "refreshInterval": 60
         }
         }
   type: Opaque

2. 创建 secret.例如，如果您将以前的 secret 定义保存到 myjaeger.yaml 文件中，您将运行以下命令：

   $ oc create -f myjaeger.yaml

3. 定义一个指定 OpenTracing 属性的 APIManager 自定义资源（CR）。在 CR 定义中，将 openTracing.tracingConfigSecretRef.name 属性设置为包含您的 OpenTracing 配置详情的 secret 的名称。下例仅显示了与配置 OpenTracing 相关的内容。

   apiVersion: apps.3scale.net/v1alpha1
   kind: APIManager
   metadata:
     name: apimanager1
   spec:
     apicast:
       stagingSpec:
         ...
         openTracing:
           enabled: true
           tracingLibrary: jaeger
           tracingConfigSecretRef:
             name: myjaeger
       productionSpec:
         ...
           openTracing:
             enabled: true
             tracingLibrary: jaeger
             tracingConfigSecretRef:
               name: myjaeger

4. 创建配置 OpenTracing 的 APIManager CR。例如，如果您在 apimanager1.yaml 文件中保存 APIManager CR，您将运行以下命令：

   $ oc apply -f apimanager1.yaml

流程

1. 从有效的证书创建 secret，例如：

   $ oc create secret tls mycertsecret --cert=server.crt --key=server.key

   配置在 APIManager 自定义资源（CR）中公开 secret 引用。您可以创建 secret，然后在 APIManager CR 中引用 secret 的名称，如下所示：

   • 生产环境：APIManager CR 在 .spec.apicast.productionSpec.httpsCertificateSecretRef 字段中公开证书。

   • staging 环境：APIManager CR 在 .spec.apicast.stagingSpec.httpsCertificateSecretRef 字段中公开证书。

     另外，您还可以配置以下内容：

   • httpsPort 表示哪个端口 APIcast 应开始侦听 HTTPS 连接。如果这与 HTTP 端口 APIcast 有冲突，则仅将此端口用于 HTTPS。

   • httpsVerifyDepth 定义客户端证书链的最大长度。

     注意

     提供有效的证书和 APIManager CR 的引用。如果配置可以访问 httpsPort，但不能访问 httpsCertificateSecretRef，APIcast 使用嵌入的自签名证书。不建议这样做。

2. 点 Operators > Installed Operators。
3. 从 Installed Operators 列表中，点 3scale Operator。
4. 点 API Manager 选项卡。
5. 点 Create APIManager。

6. 在编辑器中添加以下 YAML 定义。

   1. 如果为生产环境启用，请配置以下 YAML 定义：

      spec:
        apicast:
          productionSpec:
            httpsPort: 8443
            httpsVerifyDepth: 1
            httpsCertificateSecretRef:
              name: mycertsecret

   2. 如果为 staging 启用，请配置以下 YAML 定义：

      spec:
        apicast:
          stagingSpec:
            httpsPort: 8443
            httpsVerifyDepth: 1
            httpsCertificateSecretRef:
              name: mycertsecret

7. 点 Create。

流程

1. 如果您还没有登录，请登录到 OpenShift：

   $ oc login

2. 使用 oc patch 命令，指定 system-smtp 是 secret 名称的 secret 类型，后跟 -p 选项，并在 JSON 中为以下变量写入新值：

   表 2.2. system-smtp

   字段	描述	默认值
   address	这是要使用的远程邮件服务器的地址（主机名或 IP）。如果此值设为一个不是 "" 的值，系统将使用邮件服务器来发送与 API 管理解决方案中发生的事件相关的邮件。	""
   port	这是要使用的远程邮件服务器的端口。	""
   domain	如果邮件服务器需要 HELO 域，使用域。	""
   身份验证	如果邮件服务器需要身份验证时使用。设置身份验证类型： plain 以明文发送，login 中 Base64 编码的形式发送密码，或 cram_md5 根据 HMAC-MD5 算法组合一个质询/响应机制。	""
   username	如果邮件服务器需要身份验证且身份验证类型需要，则使用 username。	""
   password	如果邮件服务器需要身份验证且身份验证类型需要它，则使用 password。	""
   openssl.verify.mode	使用 TLS 时，您可以设置 OpenSSL 如何检查证书。如果您需要验证自签名和/或通配符证书，这非常有用。您可以使用 OpenSSL 验证常量的名称：none 或 peer。	""
   from_address	no-reply 邮件的 from 地址值。	""

   例子

   $ oc patch secret system-smtp -p '{"stringData":{"address":"<your_address>"}}'
   $ oc patch secret system-smtp -p '{"stringData":{"username":"<your_username>"}}'
   $ oc patch secret system-smtp -p '{"stringData":{"password":"<your_password>"}}'

3. 设置 secret 变量后，重新部署 system-app 和 system-sidekiq pod:

   $ oc rollout latest dc/system-app
   $ oc rollout latest dc/system-sidekiq

4. 检查推出部署的状态，以确保它已完成：

   $ oc rollout status dc/system-app
   $ oc rollout status dc/system-sidekiq