服务

如果没有使用 Red Hat Advanced Cluster Management 创建受管集群，则必须在包含 AWS 凭证 secret 的受管集群的命名空间中手动在 hub 集群中创建一个 secret。如果使用 Red Hat Advanced Cluster Management 创建集群，则跳至第 2 步。

要创建 secret，输入一个包含类似以下示例和 YAML 的信息的命令：运行命令以应用该文件：

export AWS_ACCESS_KEY_ID=<aws-access-key-id>
export AWS_SECRET_ACCESS_KEY=<aws-secret-access-key>

cat << EOF | oc apply -f -

apiVersion: v1
kind: Secret
metadata:
    name: <managed-cluster-name>-aws-creds
    namespace: <managed-cluster-namespace>
type: Opaque
data:
    aws_access_key_id: $(echo -n ${AWS_ACCESS_KEY_ID} | base64 -w0)
    aws_secret_access_key: $(echo -n ${AWS_SECRET_ACCESS_KEY} | base64 -w0)
EOF

将 managed-cluster-name 替换为受管集群的名称。

将 managed-cluster-namespace 替换为受管集群的命名空间。

使用 AWS 访问密钥 ID 替换 aws-access-key-id。

使用 AWS 访问密钥替换 aws-secret-access-key。

如果您使用 Red Hat Advanced Cluster Management 创建受管集群，或者在上一步中创建 secret 后，输入类似以下示例和 YAML 的命令来准备集群：运行命令以应用该文件：

cat << EOF | oc apply -f -

apiVersion: submarineraddon.open-cluster-management.io/v1alpha1
kind: SubmarinerConfig
metadata:
    name: submariner
    namespace: <managed-cluster-namespace>
spec:
    gatewayConfig:
	    aws:
	        instanceType: c5d.large
    credentialsSecret:
      name: <managed-cluster-name>-aws-creds
EOF

将 managed-cluster-namespace 替换为受管集群的命名空间。

将 managed-cluster-name 替换为受管集群的名称。managed-cluster-name-aws-creds 的值是 AWS 凭证 secret 名称，您可以在 hub 集群的集群命名空间中找到该名称。

注： SubmarinerConfig 的名称必须是 submariner，如示例中所示。

此配置会自动打开 Submariner 所需的端口：网络地址转换 - 遍历 (NATT) 端口 (4500/UDP)、虚拟可扩展 LAN (VXLAN) 端口 (4800/UCP)，以及 AWS 实例上的 Submariner 指标端口 (8080/TCP)。它还创建一个 AWS 实例，作为 AWS 实例类型为 c5d.large 的 Submariner 网关。

apiVersion: submarineraddon.open-cluster-management.io/v1alpha1
kind: SubmarinerConfig
metadata:
   name: submariner
   namespace: <managed-cluster-namespace>
spec:
   credentialsSecret:
     name: <managed-cluster-name>-aws-creds
  gatewayConfig:
      gateways: <gateways>
EOF

+ 将 managed-cluster-namespace 替换为受管集群的命名空间。

+ 将 managed-cluster-name 替换为受管集群的名称。managed-cluster-name-aws-creds 的值是 AWS 凭证 secret 名称，您可以在 hub 集群的集群命名空间中找到该名称。

+ 使用您要使用的网关数量替换 gateway。如果值大于 1，则 Submariner 网关会自动启用高可用性。

+ 注： SubmarinerConfig 的名称必须是 submariner，如示例中所示。

如果没有使用 Red Hat Advanced Cluster Management 创建受管集群，您必须在包含 Google Cloud Platform 凭证 secret 的受管集群的命名空间中手动在 hub 集群中创建一个 secret。如果使用 Red Hat Advanced Cluster Management 创建集群，则跳至第 2 步。

要创建 secret，输入一个包含类似以下示例的信息的命令。运行命令以应用该文件。运行命令以应用该文件：

cat << EOF | oc apply -f -

apiVersion: v1
kind: Secret
metadata:
    name: <managed-cluster-name>-gcp-creds
    namespace: <managed-cluster-namespace>
type: Opaque
data:
    osServiceAccount.json: <gcp-os-service-account-json-file-content>
EOF

将 managed-cluster-name 替换为受管集群的名称。managed-cluster-name-aws-creds 的值是 Google Cloud Platform 凭证 secret 名称，您可以在 hub 集群的集群命名空间中找到该 secret。

将 managed-cluster-namespace 替换为受管集群的命名空间。

将 gcp-os-service-account-json-file-content 替换为您编码的 Google Cloud Platform osServiceAccount.json: $(base64 -w0) 文件的内容。

如果您使用 Red Hat Advanced Cluster Management 创建受管集群，或者已在上一步中创建了 secret，请输入类似以下示例的命令来准备集群。运行命令以应用该文件。运行命令以应用该文件：

cat << EOF | oc apply -f -

apiVersion: submarineraddon.open-cluster-management.io/v1alpha1
kind: SubmarinerConfig
metadata:
    name: submariner
    namespace: <managed-cluster-namespace>
spec:
    credentialsSecret:
      name: <managed-cluster-name>-gcp-creds
EOF

将 managed-cluster-namespace 替换为受管集群的命名空间。

将 managed-cluster-name 替换为受管集群的名称。managed-cluster-name-gcp-creds 的值是 Google Cloud Platform 凭证 secret 名称，您可以在 hub 集群的集群命名空间中找到该 secret。

注： SubmarinerConfig 的名称必须是 submariner，如示例中所示。

此配置会自动打开 Submariner 所需的端口：网络地址转换 - 遍历 (NATT) 端口 (4500/UDP)、虚拟可扩展 LAN (VXLAN) 端口 (4800/UCP)，以及 Google Cloud Platform 实例上的 Submariner 指标端口 (8080/TCP)。它还将一个 worker 节点标记为 Submariner 网关，并在 Google Cloud Platform 集群中启用此节点的公共 IP 地址。

cat << EOF | oc apply -f -

+

apiVersion: submarineraddon.open-cluster-management.io/v1alpha1
kind: SubmarinerConfig
metadata:
   name: submariner
   namespace: <managed-cluster-namespace>
spec:
   credentialsSecret:
     name: <managed-cluster-name>-gcp-creds
  gatewayConfig:
      gateways: <gateways>
EOF

+ 将 managed-cluster-namespace 替换为受管集群的命名空间。

+ 将 managed-cluster-name 替换为受管集群的名称。managed-cluster-name-aws-creds 的值是 Google Cloud Platform 凭证 secret 名称，您可以在 hub 集群的集群命名空间中找到该 secret。

+ 使用您要使用的网关数量替换 gateway。如果值大于 1，则 Submariner 网关会自动启用高可用性。

输入一个包含类似以下示例信息的命令，以应用 YAML 示例。运行命令以应用该文件：

cat << EOF | oc apply -f -

apiVersion: submarineraddon.open-cluster-management.io/v1alpha1
kind: SubmarinerConfig
metadata:
    name: submariner
    namespace: <managed-cluster-namespace>
spec:{}
EOF

将 managed-cluster-namespace 替换为受管集群的命名空间。

注： SubmarinerConfig 的名称必须是 submariner，如示例中所示。

此配置对 Submariner 使用默认的网络地址转换 - 遍历 (NATT) 端口 (4500/UDP)，并在 vSphere 集群中使用一个 worker 节点作为 Submariner 网关。

Submariner 使用 IP 安全 (IPsec) 在网关节点上的集群之间建立安全隧道。您可以使用默认 IPsec NATT 端口，或者指定您配置的不同端口。当您运行这个步骤时，没有指定 IPsec NATT 端口 4500/UDP，将自动用于通信。

apiVersion: submarineraddon.open-cluster-management.io/v1alpha1
kind: SubmarinerConfig
metadata:
    name: submariner
    namespace: <managed-cluster-namespace>
spec:
    IPSecNATTPort: <NATTPort>
EOF

+ 将 managed-cluster-namespace 替换为受管集群的命名空间。

+ 将 NATTPort 替换为您要使用的 NATT 端口。

+ 注： SubmarinerConfig 的名称必须是 submariner，如示例中所示。