在 OpenShift Container Platform 上部署 Red Hat Ansible Automation Platform Operator

流程

1. 进入到 Operators → Installed Operators，然后点 Ansible Automation Platform operator。
2. 找到 Automation controller 选项卡，然后点 Create instance。

1. 按照下面的模板，创建一个 postgres_configuration_secret .yaml 文件：

   apiVersion: v1
   kind: Secret
   metadata:
     name: external-postgres-configuration
     namespace: <target_namespace> 1
   stringData:
     host: "<external_ip_or_url_resolvable_by_the_cluster>" 2
     port: "<external_port>" 3
     database: "<desired_database_name>"
     username: "<username_to_connect_as>"
     password: "<password_to_connect_with>" 4
     sslmode: "prefer" 5
     type: "unmanaged"
   type: Opaque

   1

   要创建 secret 的命名空间。这应该是您要部署到的同一命名空间。

   2

   数据库节点的可解析的主机名。

   3

   外部端口默认为 5432。

   4

   变量 password 的值不应包含单引号或双引号（'、'）或反斜杠(\)，以避免在部署、备份或恢复过程中出现任何问题。

   5

   变量 sslmode 仅适用于外部数据库。允许的值是：prefer, disable, allow, require, verify-ca, 和 verify-full。

2. 使用 oc create 命令将 external-postgres-configuration-secret.yml 应用到您的集群。

   $ oc create -f external-postgres-configuration-secret.yml

3. 在创建 AutomationController 自定义资源对象时，在 spec 中指定 secret，参见以下示例：

   apiVersion: automationcontroller.ansible.com/v1beta1
   kind: AutomationController
   metadata:
     name: controller-dev
   spec:
     postgres_configuration_secret: external-postgres-configuration

流程

1. 编辑数据库服务器上的 /var/lib/pgsql/data/postgres.conf 文件：

   # vi /var/lib/pgsql/data/postgres.conf

2. 查找并注释掉该行：

   #datestyle = 'Redwood, SHOW_TIME'

3. 在新注释行下立即添加以下设置：

   datestyle = 'iso, mdy'

4. 保存并关闭 postgres.conf 文件。

5. 重新载入数据库配置：

   # systemctl reload postgresql

   注意

   运行此命令不会影响数据库操作。

流程

1. 列出部署命名空间中的现有 PVC：

   oc get pvc -n <namespace>

2. 通过比较旧部署名称和 PVC 名称来识别与之前部署关联的 PVC。

3. 删除旧的 PVC：

   oc delete pvc -n <namespace> <pvc-name>

流程

1. 进入到 Operators → Installed Operators。
2. 找到 Automation hub 条目，然后点 Create instance。
3. 点 Form view。
4. 输入新控制器的名称。
5. 可选：添加所需的任何标签。
6. 点 Advanced configuration。

7. 在 PostgreSQL 容器存储要求 下拉菜单中选择 请求 ：

   1. 在 storage 字段中输入 "100Gi"。

8. 在 PostgreSQL 容器资源要求 下拉菜单中选择 请求 ：

   1. 在 cpu 字段中输入 "200"。
   2. 在 memory 字段中输入 "512Mi"。

流程

1. 进入到 Networking → Routes。
2. 在 Location 下，点您的自动化 hub 实例的 URL。

1. 按照下面的模板，创建一个 postgres_configuration_secret .yaml 文件：

   apiVersion: v1
   kind: Secret
   metadata:
     name: external-postgres-configuration
     namespace: <target_namespace> 1
   stringData:
     host: "<external_ip_or_url_resolvable_by_the_cluster>" 2
     port: "<external_port>" 3
     database: "<desired_database_name>"
     username: "<username_to_connect_as>"
     password: "<password_to_connect_with>" 4
     sslmode: "prefer" 5
     type: "unmanaged"
   type: Opaque

   1

   要创建 secret 的命名空间。这应该是您要部署到的同一命名空间。

   2

   数据库节点的可解析的主机名。

   3

   外部端口默认为 5432。

   4

   变量 password 的值不应包含单引号或双引号（'、'）或反斜杠(\)，以避免在部署、备份或恢复过程中出现任何问题。

   5

   变量 sslmode 仅适用于外部数据库。允许的值是：prefer, disable, allow, require, verify-ca, 和 verify-full。

2. 使用 oc create 命令将 external-postgres-configuration-secret.yml 应用到您的集群。

   $ oc create -f external-postgres-configuration-secret.yml

3. 在创建 AutomationHub 自定义资源对象时，在 spec 中指定 secret，如下例所示：

   apiVersion: automationhub.ansible.com/v1beta1
   kind: AutomationHub
   metadata:
     name: hub-dev
   spec:
     postgres_configuration_secret: external-postgres-configuration

流程

1. 列出部署命名空间中的现有 PVC：

   oc get pvc -n <namespace>

2. 通过比较旧部署名称和 PVC 名称来识别与之前部署关联的 PVC。

3. 删除旧的 PVC：

   oc delete pvc -n <namespace> <pvc-name>

流程

1. 为 operator 创建项目

   oc new-project ansible-automation-platform

2. 创建名为 sub.yaml 的文件。

3. 将以下 YAML 代码添加到 sub.yaml 文件中。

   ---
   apiVersion: v1
   kind: Namespace
   metadata:
     labels:
       openshift.io/cluster-monitoring: "true"
     name: ansible-automation-platform
   ---
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: ansible-automation-platform-operator
     namespace: ansible-automation-platform
   spec:
     targetNamespaces:
       - ansible-automation-platform
   ---
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: ansible-automation-platform
     namespace: ansible-automation-platform
   spec:
     channel: 'stable-2.4'
     installPlanApproval: Automatic
     name: ansible-automation-platform-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
   ---
   apiVersion: automationcontroller.ansible.com/v1beta1
   kind: AutomationController
   metadata:
     name: example
     namespace: ansible-automation-platform
   spec:
     replicas: 1

   此文件创建一个名为 ansible-automation-platform 的 Subscription 对象，它将 ansible-automation-platform 命名空间订阅到 ansible-automation-platform-operator operator。

   然后，它会在 ansible-automation-platform 命名空间中创建一个名为 example 的 AutomationController 对象。

   要从 示例 更改自动化控制器名称，请编辑 sub.yaml 的 kind: AutomationController 部分中的 name 字段，并将 & lt;automation_controller_name > 替换为您要使用的名称：

   apiVersion: automationcontroller.ansible.com/v1beta1
   kind: AutomationController
   metadata:
     name: <automation_controller_name>
     namespace: ansible-automation-platform

4. 运行 oc apply 命令来创建 sub.yaml 文件中指定的对象：

   oc apply -f sub.yaml

流程

1. 进入 Operator → Installed Operators。
2. 选择 rh-sso 项目。
3. 选择 Red Hat Single Sign-On Operator。
4. 在 Red Hat Single Sign-On Operator 详情页面中选择 Keycloak。
5. 单击 Create instance。

6. 点 YAML 视图。

   默认 Keycloak 自定义资源如下：

   apiVersion: keycloak.org/v1alpha1
   kind: Keycloak
   metadata:
     name: example-keycloak
     labels:
   	app: sso
     namespace: aap
   spec:
     externalAccess:
   	enabled: true
     instances: 1

7. 点 Create。
8. 部署完成后，您可以使用此凭证登录到管理控制台。
9. 您可以在命名空间中的 credential-<custom-resource> (example keycloak) secret 中找到管理员的凭证。

流程

1. 进入 Operator → Installed Operators。
2. 选择 Red Hat Single Sign-On Operator 项目。
3. 选择 Keycloak Realm 选项卡，再点 Create Keycloak Realm。

4. 在 Keycloak Realm 表单中，选择 YAML 视图。编辑 YAML 文件，如下所示：

   kind: KeycloakRealm
   apiVersion: keycloak.org/v1alpha1
   metadata:
     name: ansible-automation-platform-keycloakrealm
     namespace: rh-sso
     labels:
       app: sso
       realm: ansible-automation-platform
   spec:
     realm:
       id: ansible-automation-platform
       realm: ansible-automation-platform
       enabled: true
       displayName: Ansible Automation Platform
     instanceSelector:
       matchLabels:
         app: sso

   字段	描述
   metadata.name	在元数据中为配置资源 (CR) 的名称设置唯一值。
   metadata.namespace	在元数据中为配置资源 (CR) 的名称设置唯一值。
   metadata.labels.app	将标签设置为唯一值。这在创建客户端 CR 时使用。
   metadata.labels.realm	将标签设置为唯一值。这在创建客户端 CR 时使用。
   spec.realm.id	设置 realm 名称和 id。这些名称必须相同。
   spec.realm.realm	设置 realm 名称和 id。这些名称必须相同。
   spec.realm.displayname	设置显示的名称。

5. 点 Create 并等待进程完成。

流程

1. 进入 Operator → Installed Operators。
2. 选择 Red Hat Single Sign-On Operator 项目。
3. 选择 Keycloak Client 选项卡，然后点 Create Keycloak Client。
4. 在 Keycloak Realm 表单中，选择 YAML 视图。

5. 使用以下内容替换默认 YAML 文件：

   kind: KeycloakClient
   apiVersion: keycloak.org/v1alpha1
   metadata:
     name: automation-hub-client-secret
     labels:
       app: sso
       realm: ansible-automation-platform
     namespace: rh-sso
   spec:
     realmSelector:
       matchLabels:
         app: sso
         realm: ansible-automation-platform
     client:
       name: Automation Hub
       clientId: automation-hub
       secret: <client-secret>                        1
       clientAuthenticatorType: client-secret
       description: Client for automation hub
       attributes:
         user.info.response.signature.alg: RS256
         request.object.signature.alg: RS256
       directAccessGrantsEnabled: true
       publicClient: true
       protocol: openid-connect
       standardFlowEnabled: true
       protocolMappers:
         - config:
             access.token.claim: "true"
             claim.name: "family_name"
             id.token.claim: "true"
             jsonType.label: String
             user.attribute: lastName
             userinfo.token.claim: "true"
           consentRequired: false
           name: family name
           protocol: openid-connect
           protocolMapper: oidc-usermodel-property-mapper
         - config:
             userinfo.token.claim: "true"
             user.attribute: email
             id.token.claim: "true"
             access.token.claim: "true"
             claim.name: email
             jsonType.label: String
           name: email
           protocol: openid-connect
           protocolMapper: oidc-usermodel-property-mapper
           consentRequired: false
         - config:
             multivalued: "true"
             access.token.claim: "true"
             claim.name: "resource_access.${client_id}.roles"
             jsonType.label: String
           name: client roles
           protocol: openid-connect
           protocolMapper: oidc-usermodel-client-role-mapper
           consentRequired: false
         - config:
             userinfo.token.claim: "true"
             user.attribute: firstName
             id.token.claim: "true"
             access.token.claim: "true"
             claim.name: given_name
             jsonType.label: String
           name: given name
           protocol: openid-connect
           protocolMapper: oidc-usermodel-property-mapper
           consentRequired: false
         - config:
             id.token.claim: "true"
             access.token.claim: "true"
             userinfo.token.claim: "true"
           name: full name
           protocol: openid-connect
           protocolMapper: oidc-full-name-mapper
           consentRequired: false
         - config:
             userinfo.token.claim: "true"
             user.attribute: username
             id.token.claim: "true"
             access.token.claim: "true"
             claim.name: preferred_username
             jsonType.label: String
           name: <username>
           protocol: openid-connect
           protocolMapper: oidc-usermodel-property-mapper
           consentRequired: false
         - config:
             access.token.claim: "true"
             claim.name: "group"
             full.path: "true"
             id.token.claim: "true"
             userinfo.token.claim: "true"
           consentRequired: false
           name: group
           protocol: openid-connect
           protocolMapper: oidc-group-membership-mapper
         - config:
             multivalued: 'true'
             id.token.claim: 'true'
             access.token.claim: 'true'
             userinfo.token.claim: 'true'
             usermodel.clientRoleMapping.clientId:  'automation-hub'
             claim.name: client_roles
             jsonType.label: String
           name: client_roles
           protocolMapper: oidc-usermodel-client-role-mapper
           protocol: openid-connect
         - config:
             id.token.claim: "true"
             access.token.claim: "true"
             included.client.audience: 'automation-hub'
           protocol: openid-connect
           name: audience mapper
           protocolMapper: oidc-audience-mapper
     roles:
       - name: "hubadmin"
         description: "An administrator role for automation hub"

   1

   使用唯一值替换它。

6. 点 Create 并等待进程完成。

流程

1. 进入 Operator → Installed Operators。
2. 选择 Red Hat Single Sign-On Operator 项目。
3. 选择 Keycloak Realm 选项卡，再点 Create Keycloak User。
4. 在 Keycloak User 表单中，选择 YAML 视图。

5. 使用以下内容替换默认 YAML 文件：

   apiVersion: keycloak.org/v1alpha1
   kind: KeycloakUser
   metadata:
     name: hubadmin-user
     labels:
       app: sso
       realm: ansible-automation-platform
     namespace: rh-sso
   spec:
     realmSelector:
       matchLabels:
         app: sso
         realm: ansible-automation-platform
     user:
       username: hub_admin
       firstName: Hub
       lastName: Admin
       email: hub_admin@example.com
       enabled: true
       emailVerified: false
       credentials:
         - type: password
           value: <ch8ngeme>
       clientRoles:
         automation-hub:
           - hubadmin

6. 点 Create 并等待进程完成。

流程

1. 进入 https://<sso_host>/auth/realms/ansible-automation-platform。
2. 复制 public_key 值。
3. 在 OpenShift Web UI 中，进入到 Workloads → Secrets。
4. 选择 ansible-automation-platform 项目。
5. 点 Create，然后选择 From YAML。

6. 编辑以下 YAML 以创建 secret

   apiVersion: v1
   kind: Secret
   metadata:
     name: automation-hub-sso                       1
     namespace: ansible-automation-platform
   type: Opaque
   stringData:
     keycloak_host: "keycloak-rh-sso.apps-crc.testing"
     keycloak_port: "443"
     keycloak_protocol: "https"
     keycloak_realm: "ansible-automation-platform"
     keycloak_admin_role: "hubadmin"
     social_auth_keycloak_key: "automation-hub"
     social_auth_keycloak_secret: "client-secret"   2
     social_auth_keycloak_public_key: >-            3

   1

   创建自动化中心实例时使用此名称。

   2

   如果在为自动化中心创建 Keycloak 客户端时更改 secret，请务必更改此值以匹配。

   3

   为 Ansible Automation Platform Operator 部署输入 public_key 的值。

7. 点 Create 并等待进程完成。

流程

1. 进入 Operator → Installed Operators。
2. 选择 Ansible Automation Platform Operator 部署。
3. 选择 Automation hub 选项卡。
4. 点 Create Automation hub。

5. 选择 YAML 视图。YAML 应该类似于：

   apiVersion: automationhub.ansible.com/v1beta1
   kind: AutomationHub
   metadata:
     name: private-ah                              1
     namespace: aap
   spec:
     sso_secret: automation-hub-sso                2
     pulp_settings:
       verify_ssl: false
     route_tls_termination_mechanism: Edge
     ingress_type: Route
     loadbalancer_port: 80
     file_storage_size: 100Gi
     image_pull_policy: IfNotPresent
     replicas: 1                                   3
     web_replicas: N
     task_replicas: N
     file_storage_access_mode: ReadWriteMany
     content:
       log_level: INFO
       replicas: 2
     postgres_storage_requirements:
       limits:
         storage: 50Gi
       requests:
         storage: 8Gi
     api:
       log_level: INFO
       replicas: 1
     postgres_resource_requirements:
       limits:
         cpu: 1000m
         memory: 8Gi
       requests:
         cpu: 500m
         memory: 2Gi
     loadbalancer_protocol: http
     resource_manager:
       replicas: 1
     worker:
       replicas: 2

   1

   将 metadata.name 设置为要用于实例的名称。

   2

   将 spec.sso_secret 设置为创建一个 Secret 来保存 Red Hat Single Sign On 连接详情过程中创建的 secret 名称。

   3

   分别使用 web_replicas 或 task_replicas 来扩展副本或缩减副本，其中 N 代表您要创建的副本数。或者，您也可以使用 副本 在这两个部署中扩展所有容器集。详情请参阅 独立扩展 Web 和任务 Pod。

   注意

   此 YAML 关闭 SSL 验证 (ssl_verify: false)。如果对于 OpenShift 没有使用自签名的证书，则这个设置可以被忽略。

6. 点 Create 并等待进程完成。

流程

1. 登录到 Red Hat OpenShift Container Platform。
2. 导航到 Home → Search。
3. 选择 Resources 下拉列表，并键入 "Image"。
4. 选择 Image (config,openshift.io/v1)。
5. 在 Name 标题下点 Cluster。
6. 选择 YAML 选项卡。

7. 粘贴 spec 值下的以下内容：

   spec:
     registrySources:
       allowedRegistries:
       - quay.io
       - registry.redhat.io
       - image-registry.openshift-image-registry.svc:5000
       - <OCP route for your automation hub>

8. 点击 Save。

流程

1. 进入到 Networking → Routes。
2. 选择您用于安装的项目。
3. 复制 private-ah-web-svc 服务的位置。如果您在创建自动化中心实例时使用不同的名称，则服务名称会有所不同。这用于在以后更新 Red Hat Single Sign-On 客户端。

流程

1. 进入 Operator → Installed Operators。
2. 选择 RH-SSO 项目。
3. 点 Red Hat Single Sign-On Operator。
4. 选择 Keycloak Client。
5. 点 automation-hub-client-secret 客户端。
6. 选择 YAML。

7. 更新 Client YAML 以添加 Valid Redirect URI 和 Web Origins 设置。

   redirectUris:
     - 'https://private-ah-ansible-automation-platform.apps-crc.testing/*'
   webOrigins:
     - 'https://private-ah-ansible-automation-platform.apps-crc.testing'

   字段	描述
   redirectURIs	这是确定 Automation Hub Route 中确定的位置。确定在 redirectUris 设置的末尾添加了 /*。
   webOrigins	这是确定 Automation Hub Route 中确定的位置。

   注意

   在输入这些设置时，确保缩进正确。

8. 点击 Save。

验证连接

1. 进入自动化中心路由。
2. 输入 hub_admin 用户凭证并登录。
3. Red Hat Single Sign-On 处理身份验证并重定向到自动化中心。

操作过程

1. 登录 OpenShift Container Platform。
2. 进入到 Operators → Installed Operators。
3. 选择 Subscriptions 选项卡。
4. 在 Upgrade status 下，点 Upgrade Available。
5. 点 Preview InstallPlan。
6. 点 Approve。

1. 在导航面板中，选择 Access → Users。
2. 选择您要为其创建令牌的用户名。
3. 单击 Tokens，然后单击 Add。
4. 您可以将 应用程序 留空。添加描述，并为 Scope 选择 Read 或 Write。

流程

1. 以下是连接 secret 的 YAML 示例。将以下示例保存到文件中，如 automation-controller-connection-secret.yml。

   apiVersion: v1
   kind: Secret
   metadata:
     name: controller-access
     type: Opaque
   stringData:
     token: <generated-token>
     host: https://my-controller-host.example.com/

2. 使用您的主机和令牌值编辑该文件。
3. 运行 kubectl create 命令将其应用到集群：

流程

1. 指定您要启动的连接 secret 和作业模板。

   apiVersion: tower.ansible.com/v1alpha1
   kind: AnsibleJob
   metadata:
     generateName: demo-job-1 # generate a unique suffix per 'kubectl create'
   spec:
     connection_secret: controller-access
     job_template_name: Demo Job Template

2. 配置作业的实时功能，如清单、额外变量和时间。

   spec:
     connection_secret: controller-access
     job_template_name: Demo Job Template
     inventory: Demo Inventory                    # Inventory prompt on launch needs to be enabled
     runner_image: quay.io/ansible/controller-resource-runner
     runner_version: latest
     job_ttl: 100
     extra_vars:                                  # Extra variables prompt on launch needs to be enabled
        test_var: test
     job_tags: "provision,install,configuration"  # Specify tags to run
     skip_tags: "configuration,restart"           # Skip tasks with a given tag

   注意

   如果要配置它们，您必须在启动时启用清单和额外变量的提示。要启用 启动时提示，在 自动化控制器 UI 中：从 Resources → Templates 页面中，选择模板并选择 Inventory 和 Variables 部分旁边的 Prompt on launch 复选框。

3. 通过指定 workflow_template_name 而不是 job_template_name，使用 AnsibleJob 对象启动工作流作业模板：

   apiVersion: tower.ansible.com/v1alpha1
   kind: AnsibleJob
   metadata:
     generateName: demo-job-1 # generate a unique suffix per 'kubectl create'
   spec:
     connection_secret: controller-access
     workflow_template_name: Demo Workflow Template