1.7. 集群生命周期简介

引用发行镜像的 YAML 文件在 acm-hive-openshift-releases GitHub 仓库中维护。这些文件用于在控制台中创建可用发行镜像的列表。这包括 OpenShift Container Platform 的最新快速频道镜像。

控制台仅显示三个 OpenShift Container Platform 最新版本的最新发行镜像。例如，您可能在控制台选项中看到以下发行镜像：

quay.io/openshift-release-dev/ocp-release:4.15.1-x86_64

控制台会显示最新版本，以帮助您使用最新发行镜像创建集群。如果您需要创建特定版本的集群，也可使用旧的发行镜像版本。

注： 您只能在控制台中创建集群时选择带有 visible: 'true' 标签的镜像。ClusterImageSet 资源中的此标签示例在以下内容中提供。将 4.x.1 替换为该产品的当前版本：

apiVersion: hive.openshift.io/v1
kind: ClusterImageSet
metadata:
  labels:
    channel: fast
    visible: 'true'
  name: img4.x.1-x86-64-appsub
spec:
  releaseImage: quay.io/openshift-release-dev/ocp-release:4.x.1-x86_64

存储了额外的发行镜像，但无法在控制台中看到。要查看所有可用发行镜像，请运行以下命令：

oc get clusterimageset

存储库具有 clusterImageSets 目录，这是您在使用发行镜像时使用的目录。clusterImageSets 目录具有以下目录：

您可以使用以下选项配置 ClusterImageSets ：

您可以通过手动创建具有这两个架构文件的发行镜像，在与 hub 集群架构不同的架构中创建集群。

例如，您可以从 ppc64le、aarch64 或 s390x 架构上运行的 hub 集群创建一个 x86_64 集群。如果使用两组文件创建发行镜像，集群创建成功，因为新发行镜像启用 OpenShift Container Platform 发行 registry 来提供多架构镜像清单。

OpenShift Container Platform 默认支持多个架构。您可以使用以下 clusterImageSet 来置备集群。将 4.x.0 替换为当前支持的版本：

apiVersion: hive.openshift.io/v1
kind: ClusterImageSet
metadata:
  labels:
    channel: fast
    visible: 'true'
  name: img4.x.0-multi-appsub
spec:
  releaseImage: quay.io/openshift-release-dev/ocp-release:4.x.0-multi

要为不支持多个架构的 OpenShift Container Platform 镜像创建发行镜像，请完成类似以下示例的步骤：

创建流程使用合并的发行镜像来创建集群。

在创建集群前，您必须克隆 clusterImageSets 存储库，并将其应用到 hub 集群。请参见以下步骤：

在创建集群时选择 Red Hat OpenShift Container Platform 发行镜像。

注： 如果使用 Nutanix 平台，请确保将 x86_64 架构用于 ClusterImageSet 资源中的 releaseImage，并将 visible 标签值设置为 'true'。请参见以下示例：

apiVersion: hive.openshift.io/v1
kind: ClusterImageSet
metadata:
  labels:
    channel: stable
    visible: 'true'
  name: img4.x.47-x86-64-appsub
spec:
  releaseImage: quay.io/openshift-release-dev/ocp-release:4.x.47-x86_64

ClusterDeployment 是一个 Hive 自定义资源，用于控制集群的生命周期。

按照 使用 Hive 文档创建 ClusterDeployment 自定义资源并创建单个集群。

ClusterPool 也是用于创建多个集群的 Hive 自定义资源。

按照 集群池文档，使用 Hive ClusterPool API 创建集群。

添加对 ClusterDeployment 资源的引用，该资源指定包含其他资源清单的配置映射资源。

注： ClusterDeployment 资源和配置映射必须位于同一命名空间中。

如果要使用带有资源清单的配置映射配置其他清单，请完成以下步骤：

在 AWS 上创建集群前请查看以下先决条件：

请参阅以下有关创建 AWS 集群的重要信息：

要创建新集群，请参阅以下流程。如果您有一个要导入的现有集群，请参阅集群 导入。

注： 您不必运行 oc 命令，它为导入集群提供集群详情。创建集群时，它由 multicluster engine operator 管理自动配置。

如果您需要创建凭证，请参阅为 Amazon Web Services 创建凭证。

集群的主机名用于集群的主机名。

如果您使用 Red Hat Advanced Cluster Management for Kubernetes，并希望将受管集群 klusterlet 配置为在特定节点上运行，请参阅 可选：配置 klusterlet 以在特定节点上运行 所需步骤。

创建 AWS GovCloud 集群前必须满足以下先决条件：

注： 如果您在云供应商中更改了云供应商访问密钥，则需要在 multicluster engine operator 控制台中手动更新云供应商的对应凭证。当凭证在托管受管集群的云供应商过期并尝试删除受管集群时，需要此项。

虽然在 AWS GovCloud 上创建集群时与在标准 AWS 上创建集群几乎相同，但您必须完成一些额外的步骤，以便在 AWS GovCloud 上为集群准备 AWS PrivateLink。

spec:
  awsPrivateLink:
    ## The list of inventory of VPCs that can be used to create VPC
    ## endpoints by the controller.
    endpointVPCInventory:
    - region: us-east-1
      vpcID: vpc-1
      subnets:
      - availabilityZone: us-east-1a
        subnetID: subnet-11
      - availabilityZone: us-east-1b
        subnetID: subnet-12
      - availabilityZone: us-east-1c
        subnetID: subnet-13
      - availabilityZone: us-east-1d
        subnetID: subnet-14
      - availabilityZone: us-east-1e
        subnetID: subnet-15
      - availabilityZone: us-east-1f
        subnetID: subnet-16
    - region: us-east-1
      vpcID: vpc-2
      subnets:
      - availabilityZone: us-east-1a
        subnetID: subnet-21
      - availabilityZone: us-east-1b
        subnetID: subnet-22
      - availabilityZone: us-east-1c
        subnetID: subnet-23
      - availabilityZone: us-east-1d
        subnetID: subnet-24
      - availabilityZone: us-east-1e
        subnetID: subnet-25
      - availabilityZone: us-east-1f
        subnetID: subnet-26
    ## The credentialsSecretRef points to a secret with permissions to create.
    ## The resources in the account where the inventory of VPCs exist.
    credentialsSecretRef:
      name: <hub-account-credentials-secret-name>

    ## A list of VPC where various mce clusters exists.
    associatedVPCs:
    - region: region-mce1
      vpcID: vpc-mce1
      credentialsSecretRef:
        name: <credentials-that-have-access-to-account-where-MCE1-VPC-exists>
    - region: region-mce2
      vpcID: vpc-mce2
      credentialsSecretRef:
        name: <credentials-that-have-access-to-account-where-MCE2-VPC-exists>

要从控制台创建集群，请导航到 Infrastructure > Clusters > Create cluster AWS > Standalone 并完成控制台中的步骤。

注： 此过程用于创建集群。如果您有一个要导入的现有集群，请参阅 集群导入。

如果创建了 AWS GovCloud 集群，则您选择的凭证必须有权访问 AWS GovCloud 区域中的资源。如果您有部署集群所需的权限，您可以使用 Hive 命名空间中已存在的 AWS GovCloud secret。控制台中会显示现有凭证。如果您需要创建凭证，请参阅为 Amazon Web Services 创建凭证。

集群的主机名用于集群的主机名。

重要： 当您创建集群时，控制器会为集群及其资源创建一个命名空间。确保只在该命名空间中包含该集群实例的资源。销毁集群会删除命名空间和所有资源。

提示： 在控制台中输入信息时，选择 YAML: On 查看内容更新。

如果要将集群添加到现有的集群集中，则需要在集群设置上具有正确的权限来添加它。如果在创建集群时没有 cluster-admin 权限，则必须选择一个具有 clusterset-admin 权限的集群集。如果您在指定的集群集中没有正确的权限，集群创建会失败。如果您没有任何集群集选项，请联络您的集群管理员，为集群集提供 clusterset-admin 权限。

每个受管集群都必须与受管集群集关联。如果您没有将受管集群分配给 ManagedClusterSet，则会自动添加到 default 受管集群集中。

如果已有与您使用 AWS 或 AWS GovCloud 帐户配置的所选凭证关联的基本 DNS 域，则该值会在字段中填充。您可以修改它的值来覆盖它。此名称用于集群的主机名。如需更多信息 ，请参阅配置 AWS 帐户。

发行镜像标识用于创建集群的 OpenShift Container Platform 镜像的版本。如果要使用的版本可用，您可以从镜像列表中选择镜像。如果您要使用的镜像不是标准镜像，您可以输入您要使用的镜像的 URL。有关发行镜像的更多信息，请参阅发行镜像。

节点池包括 control plane 池和 worker 池。control plane 节点共享集群活动的管理。该信息包括以下字段：

您可以在 worker 池中创建零个或多个 worker 节点，以运行集群的容器工作负载。它们可以位于单个 worker 池中，也可以分布在多个 worker 池中。如果指定了零个 worker 节点，control plane 节点也充当 worker 节点。可选信息包括以下字段：

集群需要网络详情，并使用 IPv6 需要多个网络。对于 AWS GovCloud 集群，在 Machine CIDR 字段中输入 Hive VPC 的地址块的值。您可以通过点 Add network 来添加额外网络。

凭证中提供的代理信息会自动添加到代理字段中。您可以使用信息原样，覆盖这些信息，或者在要启用代理时添加信息。以下列表包含创建代理所需的信息：

在创建 AWS GovCloud 集群或使用私有环境时，使用 AMI ID 和子网值完成 AWS 私有配置页面 中的字段。在 ClusterDeployment.yaml 文件中，确保将 spec:platform:aws:privateLink:enabled 的值设置为 true，该文件在选择 Use private configuration 时会自动设置。

当您在创建集群前查看信息并选择性地自定义它时，您可以选择 YAML: On 查看面板中的 install-config.yaml 文件内容。如果有更新，您可以使用自定义设置编辑 YAML 文件。

注： 您不必运行 oc 命令，它为导入集群提供集群详情。创建集群时，它由 multicluster engine for Kubernetes operator 管理自动配置。

如果您使用 Red Hat Advanced Cluster Management for Kubernetes，并希望将受管集群 klusterlet 配置为在特定节点上运行，请参阅 可选：配置 klusterlet 以在特定节点上运行 所需步骤。

如需了解更多与访问集群相关的信息，继续访问集群。

在 Azure 上创建集群前请查看以下先决条件：

注： 如果您在云供应商中更改了云供应商访问密钥，则需要在 multicluster engine operator 的控制台中手动更新云供应商对应的凭证。当凭证在托管受管集群的云供应商过期并尝试删除受管集群时，需要此项。

要从多集群引擎 operator 控制台创建集群，请导航到 Infrastructure > Clusters。在 Clusters 页面上，点 Create cluster 并完成控制台中的步骤。

注： 此过程用于创建集群。如果您有一个要导入的现有集群，请参阅 集群导入。

如果您需要创建凭证，请参阅为 Microsoft Azure 创建凭证。

集群的主机名用于集群的主机名。

重要： 当您创建集群时，控制器会为集群及其资源创建一个命名空间。确保只在该命名空间中包含该集群实例的资源。销毁集群会删除命名空间和所有资源。

提示： 在控制台中输入信息时，选择 YAML: On 查看内容更新。

如果要将集群添加到现有的集群集中，则需要在集群设置上具有正确的权限来添加它。如果在创建集群时没有 cluster-admin 权限，则必须选择一个具有 clusterset-admin 权限的集群集。如果您在指定的集群集中没有正确的权限，集群创建会失败。如果您没有任何集群集选项，请联络您的集群管理员，为集群集提供 clusterset-admin 权限。

每个受管集群都必须与受管集群集关联。如果您没有将受管集群分配给 ManagedClusterSet，则会自动添加到 default 受管集群集中。

如果已有与您为 Azure 帐户配置的所选凭证关联的基本 DNS 域，则该值会在那个字段中填充。您可以修改它的值来覆盖它。如需更多信息，请参阅为 Azure 云服务配置自定义域名。此名称用于集群的主机名。

发行镜像标识用于创建集群的 OpenShift Container Platform 镜像的版本。如果要使用的版本可用，您可以从镜像列表中选择镜像。如果您要使用的镜像不是标准镜像，您可以输入您要使用的镜像的 URL。有关发行镜像的更多信息，请参阅发行镜像。

Node 池包括 control plane 池和 worker 池。control plane 节点共享集群活动的管理。该信息包括以下可选字段：

您可以在创建集群后更改 control plane 池的实例类型和 Root 存储分配（必需）的类型和大小。

您可以在 worker 池中创建一个或多个 worker 节点，以运行集群的容器工作负载。它们可以位于单个 worker 池中，也可以分布在多个 worker 池中。如果指定了零个 worker 节点，control plane 节点也充当 worker 节点。该信息包括以下字段：

您可以通过点 Add network 来添加额外网络。如果您使用的是 IPv6 地址，您必须有多个网络。

凭证中提供的代理信息会自动添加到代理字段中。您可以使用信息原样，覆盖这些信息，或者在要启用代理时添加信息。以下列表包含创建代理所需的信息：

当您在创建集群前查看信息并选择性地自定义它时，您可以点 YAML 切换 On 查看面板中的 install-config.yaml 文件内容。如果有更新，您可以使用自定义设置编辑 YAML 文件。

如果您使用 Red Hat Advanced Cluster Management for Kubernetes，并希望将受管集群 klusterlet 配置为在特定节点上运行，请参阅 可选：配置 klusterlet 以在特定节点上运行 所需步骤。

注： 您不必运行 oc 命令，它为导入集群提供集群详情。创建集群时，它由 multicluster engine operator 管理自动配置。

如需了解更多与访问集群相关的信息，继续访问集群。

在 GCP 上创建集群前请查看以下先决条件：

注： 如果您在云供应商中更改了云供应商访问密钥，则需要在 multicluster engine operator 的控制台中手动更新云供应商对应的凭证。当凭证在托管受管集群的云供应商过期并尝试删除受管集群时，需要此项。

要从多集群引擎 operator 控制台创建集群，请导航到 Infrastructure > Clusters。在 Clusters 页面上，点 Create cluster 并完成控制台中的步骤。

注： 此过程用于创建集群。如果您有一个要导入的现有集群，请参阅 集群导入。

如果您需要创建凭证，请参阅为 Google Cloud Platform 创建凭证。

集群名称用于集群的主机名。在命名 GCP 集群时有一些限制。这些限制包括，名称不要以 goog 开始；名称的任何部分都不要包含与 google 类似的内容。如需了解完整的限制列表，请参阅 Bucket 命名指南。

重要： 当您创建集群时，控制器会为集群及其资源创建一个命名空间。确保只在该命名空间中包含该集群实例的资源。销毁集群会删除命名空间和所有资源。

提示： 在控制台中输入信息时，选择 YAML: On 查看内容更新。

如果要将集群添加到现有的集群集中，则需要在集群设置上具有正确的权限来添加它。如果在创建集群时没有 cluster-admin 权限，则必须选择一个具有 clusterset-admin 权限的集群集。如果您在指定的集群集中没有正确的权限，集群创建会失败。如果您没有任何集群集选项，请联络您的集群管理员，为集群集提供 clusterset-admin 权限。

每个受管集群都必须与受管集群集关联。如果您没有将受管集群分配给 ManagedClusterSet，则会自动添加到 default 受管集群集中。

如果已有与 GCP 帐户所选凭证关联的基本 DNS 域，则该值会在字段中填充。您可以修改它的值来覆盖它。如需更多信息，请参阅设置自定义域。此名称用于集群的主机名。

发行镜像标识用于创建集群的 OpenShift Container Platform 镜像的版本。如果要使用的版本可用，您可以从镜像列表中选择镜像。如果您要使用的镜像不是标准镜像，您可以输入您要使用的镜像的 URL。有关发行镜像的更多信息，请参阅发行镜像。

Node 池包括 control plane 池和 worker 池。control plane 节点共享集群活动的管理。该信息包括以下字段：

您可以指定 control plane 池的实例类型。您可以在实例创建后更改实例的类型和大小。

您可以在 worker 池中创建一个或多个 worker 节点，以运行集群的容器工作负载。它们可以位于单个 worker 池中，也可以分布在多个 worker 池中。如果指定了零个 worker 节点，control plane 节点也充当 worker 节点。该信息包括以下字段：

网络详细信息是必需的，需要使用 IPv6 地址的多个网络。您可以通过点 Add network 来添加额外网络。

凭证中提供的代理信息会自动添加到代理字段中。您可以使用信息原样，覆盖这些信息，或者在要启用代理时添加信息。以下列表包含创建代理所需的信息：

当您在创建集群前查看信息并选择性地自定义它时，您可以选择 YAML: On 查看面板中的 install-config.yaml 文件内容。如果有更新，您可以使用自定义设置编辑 YAML 文件。

如果您使用 Red Hat Advanced Cluster Management for Kubernetes，并希望将受管集群 klusterlet 配置为在特定节点上运行，请参阅 可选：配置 klusterlet 以在特定节点上运行 所需步骤。

注： 您不必运行 oc 命令，它为导入集群提供集群详情。创建集群时，它由 multicluster engine operator 管理自动配置。

如需了解更多与访问集群相关的信息，继续访问集群。

在 vSphere 上创建集群前请查看以下先决条件：

要从多集群引擎 operator 控制台创建集群，请导航到 Infrastructure > Clusters。在 Clusters 页面上，点 Create cluster 并完成控制台中的步骤。

注： 此过程用于创建集群。如果您有一个要导入的现有集群，请参阅 集群导入。

如果您需要创建凭证，请参阅为 VMware vSphere 创建凭证，以了解有关创建凭证的更多信息。

集群名称用于集群的主机名。

重要： 当您创建集群时，控制器会为集群及其资源创建一个命名空间。确保只在该命名空间中包含该集群实例的资源。销毁集群会删除命名空间和所有资源。

提示： 在控制台中输入信息时，选择 YAML: On 查看内容更新。

如果要将集群添加到现有的集群集中，则需要在集群设置上具有正确的权限来添加它。如果在创建集群时没有 cluster-admin 权限，则必须选择一个具有 clusterset-admin 权限的集群集。如果您在指定的集群集中没有正确的权限，集群创建会失败。如果您没有任何集群集选项，请联络您的集群管理员，为集群集提供 clusterset-admin 权限。

每个受管集群都必须与受管集群集关联。如果您没有将受管集群分配给 ManagedClusterSet，则会自动添加到 default 受管集群集中。

如果已有与您为 vSphere 帐户配置的所选凭证关联的基域，则该值会在字段中填充。您可以修改它的值来覆盖它。如需更多信息 ，请参阅使用自定义在 vSphere 上安装集群。这个值必须与创建 prerequisites 部分中列出的 DNS 记录的名称匹配。此名称用于集群的主机名。

发行镜像标识用于创建集群的 OpenShift Container Platform 镜像的版本。如果要使用的版本可用，您可以从镜像列表中选择镜像。如果您要使用的镜像不是标准镜像，您可以输入您要使用的镜像的 URL。有关发行镜像的更多信息，请参阅发行镜像。

注： 支持 OpenShift Container Platform 版本 4.15 及更新版本的发行镜像。

节点池包括 control plane 池和 worker 池。control plane 节点共享集群活动的管理。该信息包括 CPU 架构 字段。查看以下字段描述：

您可以在 worker 池中创建一个或多个 worker 节点，以运行集群的容器工作负载。它们可以位于单个 worker 池中，也可以分布在多个 worker 池中。如果指定了零个 worker 节点，control plane 节点也充当 worker 节点。信息包括 每个插槽的内核数、CPU、Memory_min MiB、_Disk 大小（以 GiB 为单位）和 节点数 。

需要网络信息。使用 IPv6 需要多个网络。一些所需网络信息包括以下字段：

您可以通过点 Add network 来添加额外网络。如果您使用的是 IPv6 地址，您必须有多个网络。

凭证中提供的代理信息会自动添加到代理字段中。您可以使用信息原样，覆盖这些信息，或者在要启用代理时添加信息。以下列表包含创建代理所需的信息：

您可以点 Disconnected 安装来定义断开连接的安装镜像。当使用 Red Hat OpenStack Platform 供应商和断开连接的安装创建集群时，如果需要一个证书才能访问镜像 registry，在配置集群时需要在 Configuration for disconnected installation 段中的 Additional trust bundle 字段中输入它，在创建集群时在 Disconnected installation 段中输入它。

您可以点击 Add Automation template 来创建模板。

当您在创建集群前查看信息并选择性地自定义它时，您可以点 YAML 切换 On 查看面板中的 install-config.yaml 文件内容。如果有更新，您可以使用自定义设置编辑 YAML 文件。

如果您使用 Red Hat Advanced Cluster Management for Kubernetes，并希望将受管集群 klusterlet 配置为在特定节点上运行，请参阅 可选：配置 klusterlet 以在特定节点上运行 所需步骤。

注： 您不必运行 oc 命令，它为导入集群提供集群详情。创建集群时，它由 multicluster engine operator 管理自动配置。

如需了解更多与访问集群相关的信息，继续访问集群。

在 Red Hat OpenStack Platform 上创建集群前请查看以下先决条件：

要从多集群引擎 operator 控制台创建集群，请导航到 Infrastructure > Clusters。在 Clusters 页面上，点 Create cluster 并完成控制台中的步骤。

注： 此过程用于创建集群。如果您有一个要导入的现有集群，请参阅 集群导入。

如果需要创建凭证，请参阅为 Red Hat OpenStack Platform 创建凭证。

集群的主机名用于集群的主机名。名称必须包含少于 15 个字符。这个值必须与创建凭证先决条件中列出的 DNS 记录的名称匹配。

重要： 当您创建集群时，控制器会为集群及其资源创建一个命名空间。确保只在该命名空间中包含该集群实例的资源。销毁集群会删除命名空间和所有资源。

提示： 在控制台中输入信息时，选择 YAML: On 查看内容更新。

如果要将集群添加到现有的集群集中，则需要在集群设置上具有正确的权限来添加它。如果在创建集群时没有 cluster-admin 权限，则必须选择一个具有 clusterset-admin 权限的集群集。如果您在指定的集群集中没有正确的权限，集群创建会失败。如果您没有任何集群集选项，请联络您的集群管理员，为集群集提供 clusterset-admin 权限。

每个受管集群都必须与受管集群集关联。如果您没有将受管集群分配给 ManagedClusterSet，则会自动添加到 default 受管集群集中。

如果已有与您为 Red Hat OpenStack Platform 帐户配置的所选凭证关联的基本 DNS 域，则该值会在字段中填充。您可以修改它的值来覆盖它。如需更多信息，请参阅 Red Hat OpenStack Platform 文档中的管理域。此名称用于集群的主机名。

发行镜像标识用于创建集群的 OpenShift Container Platform 镜像的版本。如果要使用的版本可用，您可以从镜像列表中选择镜像。如果您要使用的镜像不是标准镜像，您可以输入您要使用的镜像的 URL。有关发行镜像的更多信息，请参阅发行镜像。仅支持 OpenShift Container Platform 版本 4.6.x 或更高版本的发行镜像。

节点池包括 control plane 池和 worker 池。control plane 节点共享集群活动的管理。如果受管集群的构架类型与 hub 集群的架构不同，请为池中机器的说明集合架构输入一个值。有效值为 amd64, ppc64le, s390x, 和 arm64。

您必须为 control plane 池添加实例类型，但您可以在实例创建后更改实例的类型和大小。

您可以在 worker 池中创建一个或多个 worker 节点，以运行集群的容器工作负载。它们可以位于单个 worker 池中，也可以分布在多个 worker 池中。如果指定了零个 worker 节点，control plane 节点也充当 worker 节点。该信息包括以下字段：

集群需要网络详情。您必须为 IPv4 网络提供一个或多个网络的值。对于 IPv6 网络，您必须定义多个网络。

您可以通过点 Add network 来添加额外网络。如果您使用的是 IPv6 地址，您必须有多个网络。

凭证中提供的代理信息会自动添加到代理字段中。您可以使用信息原样，覆盖这些信息，或者在要启用代理时添加信息。以下列表包含创建代理所需的信息：

您可以点 Disconnected 安装来定义断开连接的安装镜像。当使用 Red Hat OpenStack Platform 供应商和断开连接的安装创建集群时，如果需要一个证书才能访问镜像 registry，在配置集群时需要在 Configuration for disconnected installation 段中的 Additional trust bundle 字段中输入它，在创建集群时在 Disconnected installation 段中输入它。

当您在创建集群前查看信息并选择性地自定义它时，您可以点 YAML 切换 On 查看面板中的 install-config.yaml 文件内容。如果有更新，您可以使用自定义设置编辑 YAML 文件。

在创建使用内部证书颁发机构(CA)的集群时，您需要按照以下步骤自定义集群的 YAML 文件：

如果您使用 Red Hat Advanced Cluster Management for Kubernetes，并希望将受管集群 klusterlet 配置为在特定节点上运行，请参阅 可选：配置 klusterlet 以在特定节点上运行 所需步骤。

注： 您不必运行 oc 命令，它为导入集群提供集群详情。创建集群时，它由 multicluster engine operator 管理自动配置。

如需了解更多与访问集群相关的信息，继续访问集群。

在内部环境中创建集群前需要满足以下先决条件：

要从控制台创建集群，请完成以下步骤：

以下选项可用于您的支持安装：

如果您需要创建凭证，请参阅 为内部环境创建凭证。

集群的名称用于集群的主机名。

重要： 当您创建集群时，控制器会为集群及其资源创建一个命名空间。确保只在该命名空间中包含该集群实例的资源。销毁集群会删除命名空间和所有资源。

注： 在控制台中输入信息时，选择 YAML: On 查看内容更新。

如果要将集群添加到现有的集群集中，则需要在集群设置上具有正确的权限来添加它。如果在创建集群时没有 cluster-admin 权限，则必须选择一个具有 clusterset-admin 权限的集群集。如果您在指定的集群集中没有正确的权限，集群创建会失败。如果您没有任何集群集选项，请联络您的集群管理员，为集群集提供 clusterset-admin 权限。

每个受管集群都必须与受管集群集关联。如果您没有将受管集群分配给 ManagedClusterSet，则会自动添加到 default 受管集群集中。

如果已有与您为供应商帐户配置的所选凭证关联的基本 DNS 域，则该值会在那个字段中填充。您可以通过覆盖它来更改值，但创建集群后无法更改此设置。此基础域用于创建到 OpenShift Container Platform 集群组件的路由。它在集群供应商的 DNS 中被配置为授权起始(SOA)记录。

OpenShift 版本 标识用于创建集群的 OpenShift Container Platform 镜像的版本。如果要使用的版本可用，您可以从镜像列表中选择镜像。如果您要使用的镜像不是标准镜像，您可以输入您要使用的镜像的 URL。请参阅 发行镜像 以了解更多信息。

当您选择受支持的 OpenShift Container Platform 版本时，会显示一个选择 Install single-node OpenShift 的选项。单节点 OpenShift 集群仅包含一个节点，用于托管 control plane 服务和用户工作负载。请参阅 将主机扩展到 基础架构环境，以了解更多有关添加节点到单节点 OpenShift 集群的信息。

如果您希望集群是单节点 OpenShift 集群，请选择 单节点 OpenShift 选项。您可以通过完成以下步骤，向单节点 OpenShift 集群添加额外的 worker：

注： 单节点 OpenShift control plane 需要 8 个 CPU 内核，而多节点 control plane 集群的 control plane 节点只需要 4 个 CPU 内核。

查看并保存集群后，您的集群将保存为集群草稿。您可以通过在 Clusters 页面中选择集群名称来关闭创建过程，并在稍后完成该过程。

如果您使用的是现有主机，请选择是否要自行选择主机，还是自动选择它们。主机数量取决于您选择的节点数量。例如，单节点 OpenShift 集群只需要一个主机，而标准的三节点集群需要三个主机。

主机位置列表中显示了满足此集群要求的可用主机位置。对于主机的分发和更加高可用性的配置，请选择多个位置。

如果您发现没有现有基础架构环境的新主机，请使用 发现镜像完成将主机添加到主机清单 中的步骤。

绑定主机以及验证通过后，通过添加以下 IP 地址完成集群的网络信息：

如果您使用 Red Hat Advanced Cluster Management for Kubernetes，并希望将受管集群 klusterlet 配置为在特定节点上运行，请参阅 可选：配置 klusterlet 以在特定节点上运行 所需步骤。

您可以在 Clusters 导航页面中查看安装状态。

如需了解更多与访问集群相关的信息，继续访问集群。

您还可以使用中央基础架构管理组件中的 Assisted Installer 功能在没有控制台的情况下创建集群。完成此步骤后，您可以从生成的发现镜像引导主机。该流程的顺序通常并不重要，但在有必要顺序时请注意。

apiVersion: v1
kind: Namespace
metadata:
  name: sample-namespace

apiVersion: v1
kind: Secret
type: kubernetes.io/dockerconfigjson
metadata:
  name: <pull-secret>
  namespace: sample-namespace
stringData:
  .dockerconfigjson: 'your-pull-secret-json' 1

apiVersion: hive.openshift.io/v1
kind: ClusterImageSet
metadata:
  name: openshift-v4.15.0
spec:
  releaseImage: quay.io/openshift-release-dev/ocp-release:4.15.0-rc.0-x86_64

apiVersion: hive.openshift.io/v1
kind: ClusterDeployment
metadata:
  name: single-node
  namespace: demo-worker4
spec:
  baseDomain: hive.example.com
  clusterInstallRef:
    group: extensions.hive.openshift.io
    kind: AgentClusterInstall
    name: test-agent-cluster-install 1
    version: v1beta1
  clusterName: test-cluster
  controlPlaneConfig:
    servingCertificates: {}
  platform:
    agentBareMetal:
      agentSelector:
        matchLabels:
          location: internal
  pullSecretRef:
    name: <pull-secret> 2

apiVersion: extensions.hive.openshift.io/v1beta1
kind: AgentClusterInstall
metadata:
  name: test-agent-cluster-install
  namespace: demo-worker4
spec:
  platformType: BareMetal 1
  clusterDeploymentRef:
    name: single-node 2
  imageSetRef:
    name: openshift-v4.15.0 3
  networking:
    clusterNetwork:
    - cidr: 10.128.0.0/14
      hostPrefix: 23
    machineNetwork:
    - cidr: 192.168.111.0/24
    serviceNetwork:
    - 172.30.0.0/16
  provisionRequirements:
    controlPlaneAgents: 1
  sshPublicKey: ssh-rsa <your-public-key-here> 4

apiVersion: agent-install.openshift.io/v1beta1
kind: NMStateConfig
metadata:
  name: <mynmstateconfig>
  namespace: <demo-worker4>
  labels:
    demo-nmstate-label: <value>
spec:
  config:
    interfaces:
      - name: eth0
        type: ethernet
        state: up
        mac-address: 02:00:00:80:12:14
        ipv4:
          enabled: true
          address:
            - ip: 192.168.111.30
              prefix-length: 24
          dhcp: false
      - name: eth1
        type: ethernet
        state: up
        mac-address: 02:00:00:80:12:15
        ipv4:
          enabled: true
          address:
            - ip: 192.168.140.30
              prefix-length: 24
          dhcp: false
    dns-resolver:
      config:
        server:
          - 192.168.126.1
    routes:
      config:
        - destination: 0.0.0.0/0
          next-hop-address: 192.168.111.1
          next-hop-interface: eth1
          table-id: 254
        - destination: 0.0.0.0/0
          next-hop-address: 192.168.140.1
          next-hop-interface: eth1
          table-id: 254
  interfaces:
    - name: "eth0"
      macAddress: "02:00:00:80:12:14"
    - name: "eth1"
      macAddress: "02:00:00:80:12:15"

apiVersion: agent-install.openshift.io/v1beta1
kind: InfraEnv
metadata:
  name: myinfraenv
  namespace: demo-worker4
spec:
  clusterRef:
    name: single-node  1
    namespace: demo-worker4 2
  pullSecretRef:
    name: pull-secret
  sshAuthorizedKey: <your_public_key_here>
  nmStateConfigLabelSelector:
    matchLabels:
      demo-nmstate-label: value
  proxy:
    httpProxy: http://USERNAME:PASSWORD@proxy.example.com:PORT
    httpsProxy: https://USERNAME:PASSWORD@proxy.example.com:PORT
    noProxy: .example.com,172.22.0.0/24,10.10.0.0/24

要配置 AgentClusterInstall 代理，请将 代理设置 添加到 AgentClusterInstall 资源中。请参阅以下带有 httpProxy、httpsProxy 和 noProxy 的 YAML 示例：

apiVersion: extensions.hive.openshift.io/v1beta1
kind: AgentClusterInstall
spec:
  proxy:
    httpProxy: http://<username>:<password>@<proxy.example.com>:<port> 1
    httpsProxy: https://<username>:<password>@<proxy.example.com>:<port> 2
    noProxy: <wildcard-of-domain>,<provisioning-network/CIDR>,<BMC-address-range/CIDR> 3

所需的用户类型或访问权限级别：集群管理员

如果您需要创建新的 pull secret，请完成以下步骤：

您可从控制台导入每个可用的云供应商的现有集群。

注： hub 集群无法管理不同的 hub 集群。hub 集群被设置为自动导入和管理自身，因此您不必手动导入 hub 集群来管理自己。

默认情况下，命名空间用于集群名称和命名空间，但您可以更改它。

重要： 当您创建集群时，控制器会为集群及其资源创建一个命名空间。确保只在该命名空间中包含该集群实例的资源。销毁集群会删除命名空间和所有资源。

每个受管集群都必须与受管集群集关联。如果您没有将受管集群分配给 ManagedClusterSet，集群会自动添加到 default 受管集群集中。

如果要将集群添加到不同的集群集合中，集群集必须具有 clusterset-admin 权限。如果在导入集群时没有 cluster-admin 权限，则必须选择一个具有 clusterset-admin 权限的集群集。如果您在指定的集群集合中没有正确的权限，集群导入会失败。如果没有要选择的集群设置选项，请联系集群管理员，为集群集提供 clusterset-admin 权限。

如果您导入 OpenShift Container Platform Dedicated 集群，且没有通过为 vendor=OpenShiftDedicated 添加标签来指定供应商，或者为 vendor=auto-detect 添加标签，则 managed-by=platform 标签会自动添加到集群中。您可以使用此添加的标签将集群识别为 OpenShift Container Platform Dedicated 集群，并作为组检索 OpenShift Container Platform Dedicated 集群。

下表提供了 导入模式 的可用选项，它指定导入集群的方法：

注： 您必须从 OperatorHub 安装 Red Hat Ansible Automation Platform Resource Operator，才能创建并运行 Ansible Automation Platform 作业。

要配置集群 API 地址，请参阅 可选：配置集群 API 地址。

要将受管集群 klusterlet 配置为在特定节点上运行，请参阅 可选：将 klusterlet 配置为在特定节点上运行。

完成以下步骤以删除导入的集群以及在受管集群上创建的 open-cluster-management-agent-addon。

在 Clusters 页面上，点 Actions > Detach cluster 从管理中删除集群。

注意： 如果您试图分离名为 local-cluster 的 hub 集群，请注意 disableHub selfManagement 的默认设置为 false 。此设置会导致 hub 集群在分离时会重新导入自己并管理自己，并协调 MultiClusterHub 控制器。hub 集群可能需要几小时时间来完成分离过程并重新导入。如果要在等待进程完成的情况下重新导入 hub 集群，您可以运行以下命令来重启 multiclusterhub-operator pod 并更快地重新导入：

oc delete po -n open-cluster-management `oc get pod -n open-cluster-management | grep multiclusterhub-operator| cut -d' ' -f1`

您可以通过将 disableHubSelfManagement 值改为 true 来更改 hub 集群的值，使其不会自动导入。如需更多信息，请参阅 disableHubSelfManagement 主题。

在使用 CLI 导入受管集群前，您必须完成以下步骤：

现在，您可以使用 自动导入 secret 或 手动导入集群来继续导入集群。

要使用自动导入 secret 导入受管集群，您必须创建一个 secret，该 secret 包含集群的 kubeconfig 文件，或者集群的 kube API 服务器和令牌对。完成以下步骤，使用自动导入 secret 导入集群：

现在 ，您可以继续导入 klusterlet 附加组件。

重要： 导入命令包含复制到每个导入受管集群的 pull secret 信息。具有访问导入集群权限的所有用户都可以查看 pull secret 信息。

完成以下步骤以手动导入受管集群：

现在 ，您可以继续导入 klusterlet 附加组件。

实施 KlusterletAddonConfig klusterlet 附加组件配置，以在受管集群中启用其他附加组件。通过完成以下步骤创建并应用配置文件：

要使用命令行界面删除受管集群，请运行以下命令：

oc delete managedcluster <cluster_name>

将 <cluster_name > 替换为集群的名称。

要使用代理注册端点导入受管集群，请完成以下步骤：

完成以下步骤，手动导入 OpenShift Container Platform 集群，没有静态网络或裸机主机，并准备它来添加节点：

如果 OpenShift Container Platform 受管集群由 Assisted Installer 安装，您可以将受管集群及其资源从一个 hub 集群移到另一个 hub 集群。

您可以通过保存原始资源的副本来从新的 hub 集群中管理集群，将其应用到新的 hub 集群，并删除原始资源。然后，您可以从新的 hub 集群缩减或扩展受管集群。

重要： 只有由 Assisted Installer 安装时，才能缩减导入的 OpenShift Container Platform 受管集群。

您可以导入以下资源，并继续使用它们管理集群：

完成以下步骤以导入使用 ManagedClusterImageRegistry 自定义资源定义自定义的集群：

配置自动扩展可让集群根据需要进行扩展，从而降低资源成本，在流量较低时进行缩减，并通过向上扩展以确保在资源需求较高时有足够的资源。

您可以使用控制台或命令行禁用自动扩展。

您可以从控制台和命令行手动扩展。

您必须具有信任受管集群 API 所需的新的 CA 证书。

在将生产环境 worker 节点添加到 OpenShift Container Platform 集群前，您必须检查是否有有效的 kubeconfig。

如果受管集群中的 API 证书已更改，请完成以下步骤以使用新的 CA 证书更新 kubeconfig ：

如果您有有效的 kubeconfig，请完成以下步骤，将生产环境 worker 节点添加到 OpenShift Container Platform 集群：

等待 worker 节点的安装。当 worker 节点安装完成后，worker 节点使用证书签名请求(CSR)联系受管集群以开始加入过程。CSR 会自动签名。

完成以下步骤，将 control plane 节点添加到健康的受管集群：

完成以下步骤，将 control plane 节点添加到不健康的受管集群：

您必须满足以下先决条件，才能使用 OpenShift Update Service 升级断开连接的集群：

您必须镜像要升级到的镜像，以及您要从本地镜像 registry 升级到的当前镜像。完成以下步骤以镜像镜像：

要在 OpenShift Container Platform 环境中为 OpenShift Update Service 部署 Operator，请完成以下步骤：

OpenShift Update Service 使用图形数据信息来决定可用的升级。在连接的环境中，OpenShift Update Service 会直接从 Cincinnati 图形数据GitHub 仓库中提取可用于升级的图形数据信息。由于要配置断开连接的环境，所以必须使用 init 容器使图形数据在本地存储库中可用。完成以下步骤以创建图形数据 init 容器:

如果您使用安全的外部容器 registry 来存储已镜像的 OpenShift Container Platform 发行镜像，OpenShift Update Service 需要访问此 registry 来构建升级图。完成以下步骤以配置您的 CA 证书以用于 OpenShift Update Service Pod:

OpenShift Update Service Operator 会监视 image.config.openshift.io API 和您在 openshift-config 命名空间中创建的 ConfigMap 以获取更改，然后在 CA 证书已更改时重启部署。

当在 hub 集群上完成 OpenShift Update Service 实例部署时，此实例就位于集群升级的镜像镜像位置，并可供断开连接的受管集群使用。完成以下步骤以部署实例：

注： 本节中的步骤只在将发行版本镜像到您的镜像 registry 时才应用。

OpenShift Container Platform 具有一个默认的镜像 registry 值，用于指定它找到升级软件包的位置。在断开连接的环境中，您可以创建一个覆盖，将该值替换为镜像发行镜像的本地镜像 registry 的路径。

完成以下步骤以覆盖默认 registry：

在受管集群中，禁用所有默认目录源并创建一个新源。完成以下步骤，将默认位置从连接的位置改为断开连接的本地 registry：

更新受管集群的 ClusterVersion 资源信息，以更改从中检索其升级的默认位置。

在 Clusters 页面中，如果断开连接的 registry 中有升级，集群的 Distribution version 表示有一个可用的升级。您可以通过从 Actions 菜单中选择集群并选择 Upgrade cluster 来查看可用的升级。如果可选的升级路径可用，则会列出可用的升级。

注： 如果当前版本没有镜像到本地镜像存储库，则不会显示可用的升级版本。

您可以使用控制台在 OpenShift Container Platform 版本 4.6 或更高版本中为集群升级选择一个频道。这些版本必须在镜像 registry 上可用。完成选择频道中的步骤为您的升级指定频道。

配置断开连接的 registry 后，多集群引擎 operator 和 OpenShift Update Service 使用断开连接的 registry 来确定升级是否可用。如果没有可用的升级，请确保您有集群当前级别的发行镜像，且至少有一个后续级别的镜像位于本地存储库中。如果集群当前版本的发行镜像不可用，则没有可用的升级。

在 Clusters 页面中，如果断开连接的 registry 中有升级，集群的 Distribution version 表示有一个可用的升级。您可以通过点 Upgrade available 并选择升级的版本来升级镜像。

受管集群已更新至所选版本。

如果集群升级失败，Operator 通常会重试升级，停止并报告故障组件的状态。在某些情况下，升级过程会一直通过尝试完成此过程进行循环。不支持在失败的升级后将集群还原到以前的版本。如果您的集群升级失败，请联系红帽支持以寻求帮助。

查看 hub 集群 KubeAPIServer 证书验证策略，以确保默认的 UseAutoDetectedCABundle 策略可以正常工作。如果需要手动更改策略，请参阅配置 hub 集群 KubeAPIServer 验证策略。

将受管集群集的以下定义添加到 YAML 文件中，以使用 CLI 创建受管集群集：

apiVersion: cluster.open-cluster-management.io/v1beta2
kind: ManagedClusterSet
metadata:
  name: <cluster_set>

将 <cluster_set > 替换为受管集群集的名称。

创建 ManagedClusterSet 后，您可以按照控制台中的说明或 CLI 将集群添加到受管集群集中。

完成以下步骤，使用 CLI 将集群添加到受管集群集中：

完成以下步骤，使用控制台创建 ManagedClusterSetBinding ：

完成以下步骤，使用 CLI 创建 ManagedClusterSetBinding ：

污点在受管集群的属性中指定，并允许放置来重新放置受管集群或一组受管集群。

如果 taints 部分不存在，您可以通过运行类似以下示例的命令，为受管集群添加污点：

oc patch managedcluster <managed_cluster_name> -p '{"spec":{"taints":[{"key": "key", "value": "value", "effect": "NoSelect"}]}}' --type=merge

另外，您可以通过运行类似以下示例的命令将污点附加到现有污点中：

oc patch managedcluster <managed_cluster_name> --type='json' -p='[{"op": "add", "path": "/spec/taints/-", "value": {"key": "key", "value": "value", "effect": "NoSelect"}}]'

污点的规格包括以下字段：

当无法访问受管集群时，您不希望集群添加到放置中。以下污点会自动添加到无法访问的受管集群：

容限应用到放置，并允许放置没有与放置容限匹配的污点的受管集群。容限的规格包括以下字段：

以下示例演示了如何配置容许具有污点的集群的容限：

注： 受管集群不能保证放在包含污点容限的放置上。如果其他放置包含相同的容限，受管集群可能会放置到其中一个放置上。

TolerationSeconds 的值指定容限容许污点的时间期限。当受管集群离线时，这个临时容限会很有用，您可以将在此集群中部署的应用程序传送到另一个受管集群中，以便容忍的时间。

例如，具有以下污点的受管集群将无法访问：

apiVersion: cluster.open-cluster-management.io/v1
kind: ManagedCluster
metadata:
  name: cluster1
spec:
  hubAcceptsClient: true
  taints:
    - effect: NoSelect
      key: cluster.open-cluster-management.io/unreachable
      timeAdded: '2022-02-21T08:11:06Z'

如果您使用 TolerationSeconds 的值定义放置，如下例所示，工作负载在 5 分钟后传输到另一个可用的受管集群。

apiVersion: cluster.open-cluster-management.io/v1beta1
kind: Placement
metadata:
  name: demo4
  namespace: demo1
spec:
  tolerations:
    - key: cluster.open-cluster-management.io/unreachable
      operator: Exists
      tolerationSeconds: 300

受管集群在无法访问 5 分钟后，应用程序会被移到另一个受管集群。

完成以下步骤，使用控制台从受管集群集中删除集群：

注： 如果要将受管集群从一个受管集群集移到另一个受管集群，则必须在两个受管集群集中都有所需的 RBAC 权限。

要使用命令行从受管集群集中删除集群，请完成以下步骤：

注： 如果要将受管集群从一个集群设置为另一个集群，则必须在两个受管集群集中都有所需的 RBAC 权限。

要了解如何过滤具有匹配污点的 ManagedClusters，请参阅以下示例：

您还可以使用 tolerationSeconds 参数，在指定时间内选择带有匹配污点的 ManagedClusters。tolerationSeconds 定义了一个容限保持与污点绑定的时长。tolerationSeconds 可以在指定时间长度后自动将部署在集群中的应用程序转移到另一个受管集群。

查看以下示例，了解如何使用 tolerationSeconds ：

查看以下示例，了解如何使用 prioritizerPolicy 参数和放置来优先选择 ManagedClusters。

您可能希望根据在其上部署的附加组件的状态，为放置选择受管集群。例如，只有在受管集群上启用了特定的附加组件时，才能为放置选择受管集群。

在创建放置时，您可以为附加组件指定标签及其状态。如果受管集群上启用了附加组件，则会自动在 ManagedCluster 资源上创建一个标签。如果禁用了附加组件，则会自动删除该标签。

每个附加组件都由一个标签表示，格式为 feature.open-cluster-management.io/addon-<addon_name>=<status_of_addon>。

使用要在所选受管集群中启用的附加组件名称替换 addon_name。

如果选择了受管集群，将 status_of_addon 替换为您希望附加组件具有的状态。

对于 status_of_addon，请查看以下可能值列表：

例如，可用的 application-manager 附加组件由受管集群上的一个标签表示，如下所示：

feature.open-cluster-management.io/addon-application-manager: available

请参阅以下示例，了解如何根据附加组件及其状态创建放置：

在创建集群池前，请查看以下先决条件：

注： 使用此流程添加集群池，以便在从池中声明集群时自动导入用于多集群引擎 operator 管理的集群。如果要创建一个没有自动导入使用集群声明的集群池，请将以下注解添加到 clusterClaim 资源中：

kind: ClusterClaim
metadata:
  annotations:
    cluster.open-cluster-management.io/createmanagedcluster: "false" 1

要创建集群池，在导航菜单中选择 Infrastructure > Clusters。Cluster pool 选项卡列出您可以访问的集群池。选择 Create cluster pool 并完成控制台中的步骤。

如果您没有要用于集群池的基础架构凭证，可以通过选择 Add credential 来创建一个。

您可以从列表中选择现有命名空间，或者键入要创建新命名空间的名称。集群池不必与集群位于同一个命名空间中。

如果您希望集群池的 RBAC 角色共享现有集群集合的角色分配，请选择集群设置名称。只有创建集群池时，才能设置集群池中的集群设置。您无法在创建集群池后更改集群池或集群池中集群集的关联。从集群池中声明的任何集群都会自动添加到与集群池相同的集群集合中。

注：如果没有 cluster admin 权限，则必须选择一个集群集。如果您在此情形中没有包含集群集的名称，则创建集群集的请求将被拒绝，并带有禁止的错误。如果没有集群集可供选择，请联络您的集群管理员来创建集群集，并为您提供 clusterset admin 权限。

集群池大小 指定您在集群池中置备的集群数量，而集群池运行计数指定池运行的集群数量，并准备好立即使用。

此过程与创建集群的步骤非常相似。

有关您的供应商所需信息的详情，请查看以下信息：

在从集群池中声明集群前，您必须有以下可用：

具有或没有可用集群的集群池。如果集群池中存在可用的集群，则会声明可用的集群。如果集群池中没有可用的集群，则会创建一个集群来满足这个声明。如需有关如何创建集群池的信息，请参阅创建集群池。

在创建集群声明时，您可以从集群池请求新集群。当集群可用时，从池中签出集群。声明的集群自动导入为其中一个受管集群，除非您禁用了自动导入。

完成以下步骤以声明集群：

如果集群可用，它将被声明并立即出现在 Managed cluster 选项卡中。如果没有可用的集群，可能需要几分钟时间来恢复休眠集群或置备新集群。在这个时间中，声明状态为 pending。扩展集群池，以查看或删除待处理的声明。

当它在集群池中，声明的集群会保留作为与它关联的集群集的成员。在声明集群时，您无法更改声明的集群集合。

注： 对云供应商凭证的 pull secret、SSH 密钥或基域的更改不会反映从集群池中声明的现有集群，因为它们已使用原始凭证置备。您不能使用控制台编辑集群池信息，但您可以使用 CLI 接口更新其信息来更新它。您还可以使用包含更新的信息的凭证创建新集群池。新池中创建的集群使用新凭证中提供的设置。

完成以下步骤，在 hub 集群和受管集群之间配置代理设置：

如果您的开发更改，您可能需要禁用 HTTP 或 HTTPS 代理。

当使用 Red Hat Advanced Cluster Management for Kubernetes 创建集群时，您可以通过为受管集群配置 nodeSelector 和 tolerations 注解来指定您要运行受管集群 klusterlet 的节点。完成以下步骤以配置这些设置：

要在导入受管集群时使用自定义 hub API 服务器 URL 和 CA 捆绑包，请完成以下步骤：

如果您创建 KlusterletConfig 资源并将名称设置为 全局，则全局 KlusterletConfig 中的配置会自动在每个受管集群中应用。

在具有全局 KlusterletConfig 的环境中，您还可以创建特定于集群的 KlusterletConfig，并通过将 agent.open-cluster-management.io/klusterlet-config: <klusterletconfig-name&gt; 注解添加到 ManagedCluster 资源来 将其与受管集群绑定。如果您为同一字段设置了不同的值，则特定于集群的 KlusterletConfig 的值会覆盖全局 KlusterletConfig 值。

请参阅以下示例，其中 hubKubeAPIServerURL 字段在 KlusterletConfig 和全局 KlusterletConfig 中设置不同的值。"https://api.example.test.com:6443" 值会覆盖 "https://api.example.global.com:6443" 值：

deprecation ： hubKubeAPIServerURL 字段已弃用。请参阅 API 弃用 以了解更多信息。

apiVersion: config.open-cluster-management.io/v1alpha1
kind: KlusterletConfig
metadata:
  name: test
spec:
  hubKubeAPIServerConfig:
    url: "https://api.example.test.com:6443"
---
apiVersion: config.open-cluster-management.io/v1alpha1
kind: KlusterletConfig
metadata:
  name: global
spec:
  hubKubeAPIServerConfig:
    url: "https://api.example.global.com:6443"

如果没有绑定到受管集群的特定于集群的 KlusterletConfig，或者缺少同一字段，或者特定于集群的 KlusterletConfig 中没有值，则使用全局 KlusterletConfig 的值。

请参阅以下示例，其中全局 KlusterletConfig 的 hubKubeAPIServerURL 字段中的 "example.global.com" 值会覆盖 KlusterletConfig ：

apiVersion: config.open-cluster-management.io/v1alpha1
kind: KlusterletConfig
metadata:
  name: test
spec:
  hubKubeAPIServerURL: ""
—
apiVersion: config.open-cluster-management.io/v1alpha1
kind: KlusterletConfig
metadata:
  name: global
spec:
  hubKubeAPIServerURL: "example.global.com"

请参阅以下示例，其中全局 KlusterletConfig 的 hubKubeAPIServerURL 字段中的 "example.global.com" 值也会覆盖您的 KlusterletConfig ：

apiVersion: config.open-cluster-management.io/v1alpha1
kind: KlusterletConfig
metadata:
  name: test
—
apiVersion: config.open-cluster-management.io/v1alpha1
kind: KlusterletConfig
metadata:
  name: global
spec:
  hubKubeAPIServerURL: "example.global.com"

默认配置策略是 UseAutoDetectedCABundle。multicluster engine operator 会自动检测 hub 集群上的证书，并合并 trustedCABundles 列表中配置的证书（若有的话）。

以下示例合并了来自 hub 集群和您在 new-ocp-ca 配置映射中配置的证书，并将这两个证书添加到受管集群：

apiVersion: config.open-cluster-management.io/v1alpha1
kind: KlusterletConfig
metadata:
 name: ca-strategy
spec:
 hubKubeAPIServerConfig:
   serverVerificationStrategy: UseAutoDetectedCABundle
   trustedCABundles:
   - name: new-ca
     caBundle:
       name: new-ocp-ca
       namespace: default

使用 UseSystemTruststore 时，多集群引擎 operator 不会检测到任何证书，并忽略 trustedCABundles 参数部分中配置的证书。此配置不会将任何证书传递给受管集群。相反，受管集群使用受管集群的系统信任存储中的证书来验证 hub 集群 API 服务器。这适用于公共 CA （如 Let 的 Encrypt ）发出 hub 集群证书的情况。请参阅以下使用 UseSystemTruststore 的示例：

apiVersion: config.open-cluster-management.io/v1alpha1
kind: KlusterletConfig
metadata:
 name: ca-strategy
spec:
 hubKubeAPIServerConfig:
   serverVerificationStrategy: UseSystemTruststore

如果您知道 hub 集群 API 服务器的 CA，且不想 multicluster engine operator 自动检测到它，您可以使用 UseCustomCABundles。对于此策略，多集群引擎 operator 将您配置的证书从 trustedCABundles 参数添加到受管集群。请参见以下示例了解如何使用 UseCustomCABundles ：

apiVersion: config.open-cluster-management.io/v1alpha1
kind: KlusterletConfig
metadata:
 name: ca-strategy
spec:
 hubKubeAPIServerConfig:
   serverVerificationStrategy: UseCustomCABundles
   trustedCABundles:
   - name: ca
     caBundle:
       name: ocp-ca
       namespace: default

通常，每个受管集群此策略都相同。在安装多集群引擎 operator 或 hub 集群证书更改时，管理员可以配置名为 global 的 KlusterletConfig 来为每个受管集群激活策略。请参见以下示例：

apiVersion: config.open-cluster-management.io/v1alpha1
kind: KlusterletConfig
metadata:
 name: global
spec:
 hubKubeAPIServerConfig:
   serverVerificationStrategy: UseSystemTruststore

当受管集群需要使用不同的策略时，您还可以创建不同的 KlusterletConfig，并使用受管集群中的 agent.open-cluster-management.io/klusterlet-config 注解来指向特定的策略。请参见以下示例：

apiVersion: config.open-cluster-management.io/v1alpha1
kind: KlusterletConfig
metadata:
 name: test-ca
spec:
 hubKubeAPIServerConfig:
   serverVerificationStrategy: UseCustomCABundles
   trustedCABundles:
   - name: ca
     caBundle:
       name: ocp-ca
       namespace: default
--
apiVersion: cluster.open-cluster-management.io/v1
kind: ManagedCluster
metadata:
  annotations:
    agent.open-cluster-management.io/klusterlet-config: test-ca
  name: cluster1
spec:
  hubAcceptsClient: true
  leaseDurationSeconds: 60