Clusters

通过将 spec: pathname 更改为访问已分叉的仓库的 GitHub 名称，而不是 stolostron，更新 ./subscribe/channel.yaml 文件。此步骤指定 hub 集群在哪里检索发行镜像。您更新的内容应类似以下示例：

spec:
  type: GitHub
  pathname: https://github.com/<forked_content>/acm-hive-openshift-releases.git

将 forked_content 替换为已分叉仓库的路径。

在克隆了 acm-hive-openshift-releases 仓库后，使用以下命令来更新 stable 镜像以同步 stable 发行镜像列表：

make subscribe-stable

注意：您只能在使用 Linux 或者 MacOS 操作系统时运行这个 make 命令。

运行此命令后，可用稳定镜像列表会在约一分钟内更新为当前可用镜像。

默认情况下，仅会列出稳定镜像。要同步并显示快速发行镜像，请输入以下命令：

make subscribe-fast

注意：您只能在使用 Linux 或者 MacOS 操作系统时运行这个 make 命令。

运行此命令后，可用快速镜像列表会在约 1 分钟内更新为当前可用镜像。

默认情况下，Red Hat Advanced Cluster Management 会预加载几个 ClusterImageSets。您可以使用以下命令列出可用内容并删除默认值。

oc get clusterImageSets
oc delete clusterImageSet <clusterImageSet_NAME>

注： 如果您还没有通过将 disableUpdateClusterImageSets 的值设置为 true 来禁用安装程序管理的 ClusterImageSet 的自动更新，则您删除的任何镜像都会被自动重新创建。

修改 OpenShift Container Platform 发行镜像的 clusterImageSet YAML 文件，以引用存储镜像的正确离线存储库。您的更新应类似以下示例：

apiVersion: hive.openshift.io/v1
kind: ClusterImageSet
metadata:
    name: img4.4.0-rc.6-x86-64
spec:
    releaseImage: IMAGE_REGISTRY_IPADDRESS_or_DNSNAME/REPO_PATH/ocp-release:4.4.0-rc.6-x86_64

确保在 YAML 文件中引用的离线镜像 registry 中载入镜像。

通过为每个 YAML 文件输入以下命令来创建每个 clusterImageSets：

oc create -f <clusterImageSet_FILE>

将 clusterImageSet_FILE 替换为集群镜像集文件的名称。例如：

oc create -f img4.9.9-x86_64.yaml

在为您要添加的每个资源运行此命令后，可用发行镜像列表将变为可用。

创建以下 BareMetalAsset 和 Secret CR，并将文件保存为baremetalasset-cr.yaml ：

apiVersion: inventory.open-cluster-management.io/v1alpha1
kind: BareMetalAsset
metadata:
  name: <baremetalasset-machine>
  namespace: <baremetalasset-namespace>
spec:
  bmc:
    address: ipmi://<out_of_band_ip>:<port>
    credentialsName: baremetalasset-machine-secret
  bootMACAddress: "00:1B:44:11:3A:B7"
  hardwareProfile: "hardwareProfile"
  role: "<role>"
  clusterName: "<cluster name>"
---
apiVersion: v1
kind: Secret
metadata:
  name: baremetalasset-machine-secret
type: Opaque
data:
  username: <username>
  password: <password>

运行以下命令来创建 BareMetalAsset CR：

$ oc create -f baremetalasset-cr.yaml

检查 BareMetalAsset 是否已成功创建：

$ oc get baremetalassets -A

NAMESPACE   		    NAME                              AGE
ocp-example-bm      baremetalasset-machine   			    2m
ocp-example-bm      csv-f24-h27-000-r630-master-1-1   4d21h

选择 Import asset，并导入包含裸机资产数据的 CSV 文件。CSV 文件必须具有以下标题列：

hostName, hostNamespace, bmcAddress, macAddress, role (optional), username, password

获取 hub 集群的登录令牌，并通过命令行登录集群。例如：

$ oc login --token=<login_token> --server=https://<hub_cluster_api_url>:6443

使用您要添加到集群的裸机资产详情修改以下 curl 命令，并运行命令。

$ curl --location --request POST '<hub_cluster_api_url>:6443/apis/inventory.open-cluster-management.io/v1alpha1/namespaces/<bare_metal_asset_namespace>/baremetalassets?fieldManager=kubectl-create' \
--header 'Authorization: Bearer <login_token>' \
--header 'Content-Type: application/json' \
--data-raw '{
    "apiVersion": "inventory.open-cluster-management.io/v1alpha1",
    "kind": "BareMetalAsset",
    "metadata": {
        "name": "<baremetalasset_name>",
        "namespace": "<bare_metal_asset_namespace>"
    },
    "spec": {
        "bmc": {
            "address": "ipmi://<ipmi_address>",
            "credentialsName": "<credentials-secret>"
        },
        "bootMACAddress": "<boot_mac_address>",
        "clusterName": "<cluster_name>",
        "hardwareProfile": "hardwareProfile",
        "role": "worker"
    }
}'

在 Clusters 页面上，点 Create cluster。

注： 此过程用于创建集群。如果您有一个要导入的现有集群，请参阅将目标受管集群导入到 hub 集群以了解这些步骤。

添加集群详情：

输入 master 池的详细信息。master 池中为您的集群创建三个 master 节点。Master 节点共享集群活动的管理。可选信息包括以下字段：

输入 worker 池的详细信息。您可以在 worker 池中创建零个或多个 worker 节点，以运行集群的容器工作负载。它们可以位于单个 worker 池中，也可以分布在多个 worker 池中。如果指定了零个 worker 节点，master 节点也会作为 worker 节点工作。可选信息包括以下字段：

输入集群的网络详情。此信息是必需的。使用 IPv6 需要多个网络。

添加可选的 Ansible Automation Template，以便在集群安装或升级之前或之后运行。

您可以点击 Add Automation template 来创建模板。

检查您的信息并选择性地进行自定义。

选择 Create 来创建集群。

注： 您不必运行 kubectl 命令，它为导入集群提供集群详情。当您创建集群时，它由 Red Hat Advanced Cluster Management 管理自动配置。

在 Clusters 页面上，点 Create cluster。

注： 此过程用于创建集群。如果您有一个要导入的现有集群，请参阅将目标受管集群导入到 hub 集群以了解这些步骤。

添加集群详情：

输入 master 池的详细信息。master 池中为您的集群创建三个 master 节点。Master 节点共享集群活动的管理。可选信息包括以下字段：

输入 worker 池的详细信息。您可以在 worker 池中创建零个或多个 worker 节点，以运行集群的容器工作负载。它们可以位于单个 worker 池中，也可以分布在多个 worker 池中。如果指定了零个 worker 节点，master 节点也会作为 worker 节点工作。可选信息包括以下字段：

输入集群的网络详情。此信息是必需的。使用 IPv6 需要多个网络。

添加可选的 Ansible Automation Template，以便在集群安装或升级之前或之后运行。

您可以点击 Add Automation template 来创建模板。

检查您的信息并选择性地进行自定义。

选择 Create 来创建集群。

注： 您不必运行 kubectl 命令，它为导入集群提供集群详情。当您创建集群时，它由 Red Hat Advanced Cluster Management 管理自动配置。

在 Clusters 页面中，选择 Create cluster。

注： 此过程用于创建集群。如果您有一个要导入的现有集群，请参阅将目标受管集群导入到 hub 集群以了解这些步骤。

添加集群详情：

输入 master 池的详细信息。master 池中为您的集群创建三个 master 节点。Master 节点共享集群活动的管理。可选信息包括以下字段：

输入 worker 池的详细信息。您可以在 worker 池中创建零个或多个 worker 节点，以运行集群的容器工作负载。它们可以位于单个 worker 池中，也可以分布在多个 worker 池中。如果指定了零个 worker 节点，master 节点也会作为 worker 节点工作。可选信息包括以下字段：

输入集群的网络详情。此信息是必需的。使用 IPv6 需要多个网络。

添加可选的 Ansible Automation Template，以便在集群安装或升级之前或之后运行。

您可以点击 Add Automation template 来创建模板。

检查您的信息并选择性地进行自定义。

选择 Create 来创建集群。

注： 您不必运行 kubectl 命令，它为导入集群提供集群详情。当您创建集群时，它由 Red Hat Advanced Cluster Management 管理自动配置。

在 Clusters 页面上，点 Create cluster。

注： 此过程用于创建集群。如果您有一个要导入的现有集群，请参阅将目标受管集群导入到 hub 集群以了解这些步骤。

添加集群详情：

输入 master 池的详细信息。master 池中为您的集群创建三个 master 节点。Master 节点共享集群活动的管理。所需信息包括以下字段：

输入 worker 池的详细信息。您可以在 worker 池中创建零个或多个 worker 节点，以运行集群的容器工作负载。它们可以位于单个 worker 池中，也可以分布在多个 worker 池中。如果指定了零个 worker 节点，master 节点也会作为 worker 节点工作。该信息包括以下字段：

配置集群网络选项。此信息是必需的。使用 IPv6 需要多个网络。

添加可选的 Ansible Automation Template，以便在集群安装或升级之前或之后运行。

您可以点击 Add Automation template 来创建模板。

检查您的信息并选择性地进行自定义。

选择 Create 来创建集群。

注： 您不必运行 kubectl 命令，它为导入集群提供集群详情。当您创建集群时，它由 Red Hat Advanced Cluster Management 管理自动配置。

在 Clusters 页面上，点 Create cluster。

注： 此过程用于创建集群。如果您有一个要导入的现有集群，请参阅将目标受管集群导入到 hub 集群以了解这些步骤。

添加集群详情：

输入 master 节点的详情。master 池中为您的集群创建三个 master 节点。Master 节点共享集群活动的管理。可选信息包括以下字段：

输入 worker 池的详细信息。您可以在 worker 池中创建一个或多个 worker 节点，以运行集群的容器工作负载。它们可以位于单个 worker 池中，也可以分布在多个 worker 池中。如果指定了零个 worker 节点，master 节点也会作为 worker 节点工作。可选信息包括以下字段：

输入集群的网络详情。您必须为 IPv4 网络提供一个或多个网络的值。对于 IPv6 网络，您必须定义多个网络。

添加可选的 Ansible Automation Template，以便在集群安装或升级之前或之后运行。

您可以点击 Add Automation template 来创建模板。

检查您的信息并选择性地进行自定义。

选择 Create 来创建集群。

注： 您不必运行 kubectl 命令，它为导入集群提供集群详情。当您创建集群时，它由 Red Hat Advanced Cluster Management 管理自动配置。

在 Clusters 页面上，点 Create cluster。

注： 此过程用于创建集群。如果您有一个要导入的现有集群，请参阅将目标受管集群导入到 hub 集群以了解这些步骤。

添加集群详情：

从与您的凭据关联的主机列表中选择您的主机。最少选择三个与虚拟机监控程序在同一网桥网络上的裸机资产。

主机列表从现有的裸机资产生成。如果您没有创建任何裸机资产，您可以在继续创建或导入它们前创建或导入它们，方法是选择 Import asset。有关创建裸机资产的更多信息，请参阅创建和修改裸机资产。或者，您可以选择 Disable certificate verify 来忽略要求。

配置集群网络选项。下表显示了网络选项及其描述：

您可以通过点 Add network 来添加额外网络。如果您使用的是 IPv6 地址，您必须有多个网络。

添加可选的 Ansible Automation Template，以便在集群安装或升级之前或之后运行。

您可以点击 Add Automation template 来创建模板。

检查您的信息并选择性地进行自定义。

选择 Create 来创建集群。

注： 您不必运行 kubectl 命令，它为导入集群提供集群详情。当您创建集群时，它由 Red Hat Advanced Cluster Management 管理自动配置。

输入以下命令编辑您要休眠的集群设置：

oc edit clusterdeployment <name-of-cluster> -n <namespace-of-cluster>

将 name-of-cluster 替换为您要休眠的集群的名称。

将 namespace-of-cluster 替换为您要休眠的集群的命名空间。

输入以下命令查看集群的状态：

oc get clusterdeployment <name-of-cluster> -n <namespace-of-cluster> -o yaml

将 name-of-cluster 替换为您要休眠的集群的名称。

将 namespace-of-cluster 替换为您要休眠的集群的命名空间。

当集群休眠过程完成时，集群的 type 值为 type=Hibernating。

输入以下命令来编辑集群的设置：

oc edit clusterdeployment <name-of-cluster> -n <namespace-of-cluster>

将 name-of-cluster 替换为您要休眠的集群的名称。

将 namespace-of-cluster 替换为您要休眠的集群的命名空间。

输入以下命令查看集群的状态：

oc get clusterdeployment <name-of-cluster> -n <namespace-of-cluster> -o yaml

将 name-of-cluster 替换为您要休眠的集群的名称。

将 namespace-of-cluster 替换为您要休眠的集群的命名空间。

完成恢复集群的过程后，集群的 type 值为 type=Running。

可选： 添加任何 附加标签。

注： 如果您导入 Red Hat OpenShift Dedicated 集群，且没有添加 vendor=OpenShiftDedicated 标签指定一个厂商，或者添加了 vendor=auto-detect 标签，则 managed-by=platform 标签会自动添加到集群中。您可以使用此添加标签将集群标识为一个 Red Hat OpenShift Dedicated 集群，并作为一个组来获取 Red Hat OpenShift Dedicated 集群。

选择您要用来标识从以下选项导入的集群的导入模式 ：

可选： 在集群详情页中配置 Cluster API address，它为运行 oc get managedcluster 命令时在表中显示的 URL。

登录到您的 hub 集群。运行以下命令：

oc login

在 hub 集群上运行以下命令来创建命名空间。注：cluster_name 中定义的集群名称也用作 YAML 文件和命令中的集群命名空间：

oc new-project ${CLUSTER_NAME}
oc label namespace ${CLUSTER_NAME} cluster.open-cluster-management.io/managedCluster=${CLUSTER_NAME}

创建一个类似以下示例的 YAML 文件：

apiVersion: agent.open-cluster-management.io/v1
kind: KlusterletAddonConfig
metadata:
  name: <cluster_name>
  namespace: <cluster_name>
spec:
  clusterName: <cluster_name>
  clusterNamespace: <cluster_name>
  applicationManager:
    enabled: true
  certPolicyController:
    enabled: true
  clusterLabels:
    cloud: auto-detect
    vendor: auto-detect
  iamPolicyController:
    enabled: true
  policyController:
    enabled: true
  searchCollector:
    enabled: true
  version: 2.3.0

运行以下命令来应用 YAML：

oc apply -f klusterlet-addon-config.yaml

注： 如果您导入 Red Hat OpenShift Dedicated 集群，且没有添加 vendor=OpenShiftDedicated 标签指定一个厂商，或者添加了 vendor=auto-detect 标签，则 managed-by=platform 标签会自动添加到集群中。您可以使用此添加标签将集群标识为一个 Red Hat OpenShift Dedicated 集群，并作为一个组来获取 Red Hat OpenShift Dedicated 集群。

输入以下命令以编辑资源：

kubectl edit klusterletaddonconfigs.agent.open-cluster-management.io <cluster-name> -n <cluster-name>

选择 Save 保存您的更改。

注：如果将受管集群从一个受管集群集移到另一个受管集群，则必须在两个受管集群集中都有所需的 RBAC 权限。

确保有一个 RBAC ClusterRole 条目，供您在 managedclustersets/join 的虚拟子资源中创建。没有这个权限，就无法将受管集群分配给 ManagedClusterSet。

如果此条目不存在，请将其添加到您的 yaml 文件中。示例条目类似以下内容：

kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: clusterrole1
rules:
  - apiGroups: ["cluster.open-cluster-management.io"]
    resources: ["managedclustersets/join"]
    resourceNames: ["<clusterset1>"]
    verbs: ["create"]

将 clusterset1 替换为 ManagedClusterSet 的名称。

注：如果要将受管集群从一个 ManagedClusterSet 移到另一个，则必须在两个受管集群集中都有该权限。

在 yaml 文件中查找受管集群的定义。在受管集群定义的这个部分添加与以下内容类似的标签：

apiVersion: cluster.open-cluster-management.io/v1
kind: ManagedCluster
metadata:
  name: cluster1
spec:
  hubAcceptsClient: true

在本例中，cluster1 是受管集群的名称。

添加一个标签，指定 ManagedClusterSet，格式为： cluster.open-cluster-management.io/clusterset: clusterset1。

您的代码类似以下示例：

apiVersion: cluster.open-cluster-management.io/v1
kind: ManagedCluster
metadata:
  name: cluster1
  labels:
    cluster.open-cluster-management.io/clusterset: clusterset1
spec:
  hubAcceptsClient: true

在本例中，cluster1 是添加到受管集群集 clusterset1 的集群 。

注： 如果受管集群之前被分配给已删除的受管集群集，受管集群可能会有一个受管集群集已被指定到不存在的集群集合。如果出现这种情况，请用新名称替换。

在 Manage resource assignments 页面上，选中您要从集群集合中删除的资源的复选框。

此步骤删除已是集群集成员的资源，或添加尚未成为集群集成员的资源。您可以通过查看受管集群的详情来查看资源是否已是集群集的成员。

运行以下命令在受管集群集中显示受管集群列表：

oc get managedclusters -l cluster.open-cluster-management.io/clusterset=<clusterset1>

将 clusterset1 替换为受管集群集的名称。

从您要删除的集群的 yaml 条目中删除该标签。参阅以下标签代码示例：

labels:
   cluster.open-cluster-management.io/clusterset: clusterset1

在 yaml 文件中创建 ManagedClusterSetBinding 资源。在创建受管集群集绑定时，受管集群集绑定的名称必须与要绑定的受管集群集的名称匹配。您的 ManagedClusterSetBinding 资源可能类似以下信息：

apiVersion: cluster.open-cluster-management.io/v1alpha1
kind: ManagedClusterSetBinding
metadata:
  namespace: project1
  name: clusterset1
spec:
  clusterSet: clusterset1

确保目标受管集群集有绑定权限。查看以下 ClusterRole 资源示例，其中包含允许用户绑定到 clusterset1 的规则：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: clusterrole1
rules:
  - apiGroups: ["cluster.open-cluster-management.io"]
    resources: ["managedclustersets/bind"]
    resourceNames: ["clusterset1"]
    verbs: ["create"]

输入要创建集群池的命名空间。您可以从列表中选择现有命名空间，或者键入要创建新命名空间的名称。集群池不必与集群位于同一个命名空间中。

当您在集群集合中创建集群池时，namespace admin 权限将应用到您添加集群池的命名空间中具有 clusterset admin 权限的所有用户。同样，namespace view 权限也会应用到具有 clusterset view 权限的用户。

可选： 如果您希望集群池的 RBAC 角色共享现有集群集合的角色分配，请选择集群设置名称。

注：如果没有 cluster admin 权限，则必须选择一个集群集。如果您在此情形中没有包含集群集的名称，则创建集群集的请求将被拒绝，并带有禁止的错误。如果没有集群集可供选择，请联络您的集群管理员来创建集群集，并为您提供 clusterset admin 权限。

在剩余的步骤中输入所需的信息，以置备集群池。此时的步骤与创建集群的步骤相同。

有关您的供应商所需信息的详情，请查看以下信息：

选择命名空间和凭证。

将过滤器设置为发现相关集群。

创建一个包含类似以下示例内容的脚本文件：

UPSTREAM_REGISTRY=quay.io
PRODUCT_REPO=openshift-release-dev
RELEASE_NAME=ocp-release
OCP_RELEASE=4.5.2-x86_64
LOCAL_REGISTRY=$(hostname):5000
LOCAL_SECRET_JSON=/path/to/pull/secret

oc adm -a ${LOCAL_SECRET_JSON} release mirror \
--from=${UPSTREAM_REGISTRY}/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE} \
--to=${LOCAL_REGISTRY}/ocp4 \
--to-release-image=${LOCAL_REGISTRY}/ocp4/release:${OCP_RELEASE}

将 /path/to/pull/secret 替换为 OpenShift Container Platform pull secret 的路径。

等待 Operator 的安装完成。

提示： 您可以通过在 OpenShift Container Platform 命令行中输入 oc get pods 命令来检查安装的状态。验证 Operator 是否处于 running 状态。

输入以下命令克隆 graph data Git 存储库：

git clone https://github.com/openshift/cincinnati-graph-data

创建一个包含您的图形数据 init 信息的文件。您可以在 cincinnati-operator GitHub 仓库中找到此 Dockerfile 示例。该文件的内容在以下示例中显示：

FROM registry.access.redhat.com/ubi8/ubi:8.1

RUN curl -L -o cincinnati-graph-data.tar.gz https://github.com/openshift/cincinnati-graph-data/archive/master.tar.gz

RUN mkdir -p /var/lib/cincinnati/graph-data/

CMD exec /bin/bash -c "tar xvzf cincinnati-graph-data.tar.gz -C /var/lib/
cincinnati/graph-data/ --strip-components=1"

在此例中：

运行以下命令来构建 图形数据 init 容器:

podman build -f <path_to_Dockerfile> -t ${DISCONNECTED_REGISTRY}/cincinnati/cincinnati-graph-data-container:latest
podman push ${DISCONNECTED_REGISTRY}/cincinnati/cincinnati-graph-data-container:latest --authfile=/path/to/pull_secret.json

将 path_to_Dockerfile 替换为您在上一步中创建文件的路径。

将 ${DISCONNECTED_REGISTRY}/cincinnati/cincinnati-graph-data-container 替换为 graph data init 容器的路径。

将 /path/to/pull_secret 替换为 pull secret 文件的路径。

注： 如果没有安装 podman，您也可以将命令中的 podman 替换为 docker。

查找位于 image.config.openshift.io 的 OpenShift Container Platform 外部 registry API。这是存储外部 registry CA 证书的位置。

如需更多信息，请参阅 OpenShift Container Platform 文档中的配置额外的信任存储以访问镜像 registry。

在密钥 cincinnati-registry 中添加您的 CA 证书。OpenShift Update Service 使用此设置来定位您的证书：

apiVersion: v1
kind: ConfigMap
metadata:
  name: trusted-ca
data:
  cincinnati-registry: |
    -----BEGIN CERTIFICATE-----
    ...
    -----END CERTIFICATE-----

编辑 image.config.openshift.io API 中的 cluster 资源，将 additionalTrustedCA 字段设置为您创建的 ConfigMap 的名称。

oc patch image.config.openshift.io cluster -p '{"spec":{"additionalTrustedCA":{"name":"trusted-ca"}}}' --type merge

将 trusted-ca 替换为新 ConfigMap 的路径。

如果您不想使用 Operator 的默认命名空间（openshift-cincinnati）， 为 OpenShift Update Service 实例创建一个命名空间：

粘贴 OpenShift Update Service 实例中的内容。您的 YAML 实例可能类似以下清单：

apiVersion: cincinnati.openshift.io/v1beta2
kind: Cincinnati
metadata:
  name: openshift-update-service-instance
  namespace: openshift-cincinnati
spec:
  registry: <registry_host_name>:<port>
  replicas: 1
  repository: ${LOCAL_REGISTRY}/ocp4/release
  graphDataImage: '<host_name>:<port>/cincinnati-graph-data-container'

将 spec.registry 值替换为镜像的本地断开连接 registry 的路径。

将 spec.graphDataImage 值替换为图形数据 init 容器的路径。提示： 这与运行 podman push 命令来推送图形数据 init 容器时使用的值相同。

将以下 YAML 内容粘贴到窗口以创建自定义策略：

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-pod
  namespace: default
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  disabled: false
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name: policy-pod-sample-nginx-pod
        spec:
          object-templates:
            - complianceType: musthave
              objectDefinition:
                apiVersion: v1
                kind: Pod
                metadata:
                  name: sample-nginx-pod
                  namespace: default
                status:
                  phase: Running
          remediationAction: inform
          severity: low
  remediationAction: enforce
---
apiVersion: policy.open-cluster-management.io/v1
kind: PlacementBinding
metadata:
  name: binding-policy-pod
  namespace: default
placementRef:
  name: placement-policy-pod
  kind: PlacementRule
  apiGroup: apps.open-cluster-management.io
subjects:
- name: policy-pod
  kind: Policy
  apiGroup: policy.open-cluster-management.io
---
apiVersion: apps.open-cluster-management.io/v1
kind: PlacementRule
metadata:
  name: placement-policy-pod
  namespace: default
spec:
  clusterConditions:
  - status: "True"
    type: ManagedClusterConditionAvailable
  clusterSelector:
    matchExpressions:
      []  # selects all clusters if not specified

将模板 objectDefinition 部分中的内容替换为类似以下内容的内容，以添加 ImageContentSourcePolicy 的设置：

apiVersion: operator.openshift.io/v1alpha1
kind: ImageContentSourcePolicy
metadata:
  name: ImageContentSourcePolicy
spec:
  repositoryDigestMirrors:
  - mirrors:
    - <path-to-local-mirror>
    source: registry.redhat.io

将以下 YAML 内容粘贴到窗口以创建自定义策略：

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-pod
  namespace: default
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  disabled: false
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name: policy-pod-sample-nginx-pod
        spec:
          object-templates:
            - complianceType: musthave
              objectDefinition:
                apiVersion: v1
                kind: Pod
                metadata:
                  name: sample-nginx-pod
                  namespace: default
                status:
                  phase: Running
          remediationAction: inform
          severity: low
  remediationAction: enforce
---
apiVersion: policy.open-cluster-management.io/v1
kind: PlacementBinding
metadata:
  name: binding-policy-pod
  namespace: default
placementRef:
  name: placement-policy-pod
  kind: PlacementRule
  apiGroup: apps.open-cluster-management.io
subjects:
- name: policy-pod
  kind: Policy
  apiGroup: policy.open-cluster-management.io
---
apiVersion: apps.open-cluster-management.io/v1
kind: PlacementRule
metadata:
  name: placement-policy-pod
  namespace: default
spec:
  clusterConditions:
  - status: "True"
    type: ManagedClusterConditionAvailable
  clusterSelector:
    matchExpressions:
      []  # selects all clusters if not specified

在策略中添加以下内容：

apiVersion: config.openshift.io/vi
kind: OperatorHub
metadata:
 name: cluster
spec:
 disableAllDefaultSources: true

添加以下内容：

apiVersion: operators.coreos.com/v1alpha1
kind: CatalogSource
metadata:
  name: my-operator-catalog
  namespace: openshift-marketplace
spec:
  sourceType: grpc
  image: <registry_host_name>:<port>/olm/redhat-operators:v1
  displayName: My Operator Catalog
  publisher: grpc

将 spec.image 值替换为本地受限目录源镜像的路径。

在受管集群中，输入以下命令确认 ClusterVersion upstream 参数目前是默认公共 OpenShift Update Service 操作对象：

oc get clusterversion -o yaml

返回的内容可能类似以下内容：

apiVersion: v1
items:
- apiVersion: config.openshift.io/v1
  kind: ClusterVersion
[..]
  spec:
    channel: stable-4.4
    upstream: https://api.openshift.com/api/upgrades_info/v1/graph

在 hub 集群中，输入以下命令来识别到 OpenShift Update Service 操作对象：oc get routes。

提示： 记录这个值以便在以后的步骤中使用。

将以下 YAML 内容粘贴到窗口以创建自定义策略：

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-pod
  namespace: default
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  disabled: false
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name: policy-pod-sample-nginx-pod
        spec:
          object-templates:
            - complianceType: musthave
              objectDefinition:
                apiVersion: v1
                kind: Pod
                metadata:
                  name: sample-nginx-pod
                  namespace: default
                status:
                  phase: Running
          remediationAction: inform
          severity: low
  remediationAction: enforce
---
apiVersion: policy.open-cluster-management.io/v1
kind: PlacementBinding
metadata:
  name: binding-policy-pod
  namespace: default
placementRef:
  name: placement-policy-pod
  kind: PlacementRule
  apiGroup: apps.open-cluster-management.io
subjects:
- name: policy-pod
  kind: Policy
  apiGroup: policy.open-cluster-management.io
---
apiVersion: apps.open-cluster-management.io/v1
kind: PlacementRule
metadata:
  name: placement-policy-pod
  namespace: default
spec:
  clusterConditions:
  - status: "True"
    type: ManagedClusterConditionAvailable
  clusterSelector:
    matchExpressions:
      []  # selects all clusters if not specified

将以下内容添加到 policy 项中的 policy.spec 部分：

apiVersion: config.openshift.io/v1
  kind: ClusterVersion
  metadata:
    name: version
  spec:
    channel: stable-4.4
    upstream: https://example-cincinnati-policy-engine-uri/api/upgrades_info/v1/graph

将 spec.upstream 值替换为 hub 集群 OpenShift Update Service 操作对象的路径。

提示： 您可以完成以下步骤以确定操作对象的路径：

在受管集群 CLI 中，使用以下命令确认 ClusterVersion 中的上游参数已使用本地 hub 集群 OpenShift Update Service URL 更新：

oc get clusterversion -o yaml

结果应该类似以下内容：

apiVersion: v1
items:
- apiVersion: config.openshift.io/v1
  kind: ClusterVersion
[..]
  spec:
    channel: stable-4.4
    upstream: https://<hub-cincinnati-uri>/api/upgrades_info/v1/graph

验证可选的升级路径是否可用。

注： 如果当前版本没有镜像到本地镜像存储库，则不会显示可用的升级版本。

压缩 etcd 历史记录。