使用 Red Hat Edge Manager 管理设备团队

流程

1. 在 Ansible Automation Platform 中生成 OAuth 令牌：

   1. 在导航面板中，选择 Access Management → Users。
   2. 选择对 Default 机构（建议 admin 用户）具有写入权限的用户。
   3. 单击该用户的 Tokens 选项卡。

   4. 点 Create token 并输入相关详情。

      1. Scope ：选择 Write。
2. 前往 Integrating with Ansible Automation Platform 部分，以了解编辑 service-config.yaml 文件的步骤，并自动完成 OAuth 应用程序设置。

流程

1. 在 Ansible Automation Platform 实例的导航面板中，前往 Access Management → OAuth Applications。
2. 单击 Create OAuth application。

3. 输入以下详情：

   • 名称 ：输入名称，如 "Red Hat Edge Manager"。这是 Ansible Automation Platform UI 中可见的名称。
   • URL: 使用 https:// 的 Ansible Automation Platform UI 的 baseDomain。
   • Organization: 选择 默认。
   • 授权授权类型 ：选择 授权代码。
   • 客户端 ：选择 Public。

   • 重定向 URI ：

     • 为 UI 配置的重定向是您的 baseDomain，并附加了 /callback 路由，如 https://your-edge-manager-ip-or-domain:443/callback。如果您有多个 URI，请在此字段中输入它们，用空格分开，而不是逗号或其他分隔符。
     • 要为 CLI 使用提供重定向(flightctl login)，请配置一个重定向 URI，如 http://127.0.0.1/callback。
4. 单击 Create OAuth application。现在，在导航面板中可以看到 Application Links 部分。
5. 根据需要复制 客户端 ID，以使用此值更新 service-config.yaml 文件中的 oAuthApplicationClientId。
6. 前往 Integrating with Ansible Automation Platform 部分，以了解编辑 service-config.yaml 文件的步骤，并手动完成 OAuth 应用程序设置。

流程

1. 在编辑 service-config.yaml 文件前停止 flightctl 服务：

   sudo systemctl stop flightctl.target

   Copy to Clipboard

2. 通过编辑配置文件来配置集成设置：

   sudo vi /etc/flightctl/service-config.yaml

   Copy to Clipboard

3. 更新配置文件，以便与 Ansible Automation Platform 集成：

   global:
     baseDomain: <your-edge-manager-ip-or-domain> 

   1

   
     auth:
       type: aap 

   2

   
       insecureSkipTlsVerify: false 

   3

   
       aap:
         apiUrl: https://your-aap-instance.example.com 

   4

   
         externalApiUrl: https://your-aap-instance.example.com 

   5

   
         oAuthApplicationClientId: <client-id-from-oauth-app> 

   6

   
         oAuthToken: <your-oauth-token> 

   7

   Copy to Clipboard

   1

   主机的域名或 IP，它会在安装 RPM 时自动设置，但您可以覆盖它。它是必需的唯一字段。

   2

   把它设置为 aap 以启用 Ansible Automation Platform 身份验证。

   3

   设置为 false。仅将其设置为 true，以跳过 Ansible Automation Platform URL 的 TLS 证书验证。对于生产环境，请考虑配置 CA 证书（请参阅自签名证书部分）。

   4

   正在运行的 Ansible Automation Platform 实例的面向内部的 API URL，用于发出请求。您可以将此 URL 配置为正在运行的 Ansible Automation Platform 实例的内部可访问的 URL。例如，如果存在单独的内部或外部入口。

   5

   运行 Ansible Automation Platform 实例的外部访问 URL。

   6

   如果您使用自动方法，则不需要此字段。这是在 Red Hat Edge Manager 的 Ansible Automation Platform 中配置的 OAuth 应用程序的客户端 ID。如果您还没有此空，则可以将此留空，并提供一个 oAuthToken 以允许设置创建它。

   7

   如果您使用手动方法，则不需要此字段。这是一个 OAuth 令牌，具有 Ansible Automation Platform 实例中"Default"机构的写入权限。只有在您希望设置过程自动创建 OAuth 应用程序时才需要。创建后，不再需要此令牌。

4. 启动服务：

   sudo systemctl start flightctl.target

   Copy to Clipboard

流程

1. 运行以下命令，为适合您的系统的软件仓库启用订阅管理器：

   sudo subscription-manager repos --enable ansible-automation-platform-2.5-for-rhel-9-x86_64-rpms

   Copy to Clipboard

   有关 Red Hat Edge Manager 可用存储库的完整列表，请参阅附加资源部分。

2. 运行以下命令，使用软件包管理器安装 flightctl CLI：

   sudo dnf install flightctl

   Copy to Clipboard

流程

1. 按照通过 CLI 登录到 Red Hat Edge Manager 中的步骤登录到 flightctl CLI。

   注意

   CLI 使用主机的证书颁发机构池来验证 Red Hat Edge Manager 服务的身份。如果您不将证书颁发机构证书添加到池中，则验证可能会导致 TLS 验证错误。您可以通过在命令中添加 --insecure-skip-tls-verify 标志来绕过服务器验证。

2. 运行以下命令，以代理配置文件的格式获取注册凭证：

   flightctl certificate request --signer=enrollment --expiration=365d --output=embedded > config.yaml

   Copy to Clipboard
   注意
   • --expiration=365d 选项指定凭据有效期为一年。
   • --output=embedded 选项指定输出是一个带有嵌入注册凭证的代理配置文件。

   返回的 config.yaml 包含 Red Hat Edge Manager 服务、证书颁发机构捆绑包以及代理注册客户端证书和密钥的 URL。请参见以下示例：

   enrollment-service:
     authentication:
       client-certificate-data: LS0tLS1CRUdJTiBD...
       client-key-data: LS0tLS1CRUdJTiBF...
     service:
       certificate-authority-data: LS0tLS1CRUdJTiBD...
       server: https://agent-api.flightctl.127.0.0.1.nip.io:7443
     enrollment-ui-endpoint: https://ui.flightctl.127.0.0.1.nip.io:8081

   Copy to Clipboard

流程

1. 根据您使用的容器镜像类型，将 pull secret 放在该设备中的以下一个或多个系统路径中：

   • 操作系统镜像使用 /etc/ostree/auth.json 路径。

   • 应用程序容器镜像使用 /root/.config/containers/auth.json 路径。

     重要

     在 secret 可以被消耗前，该设备中必须存在 pull secret。

2. 确保 pull secret 使用以下格式：

   {
     "auths": {
       "registry.example.com": {
         "auth": "base64-encoded-credentials"
       }
     }
   }

   Copy to Clipboard

流程

1. 创建包含以下内容的 Containerfile 文件来构建基于 RHEL 9 的操作系统镜像，其中包含 Red Hat Edge Manager 代理和配置：

   FROM registry.redhat.io/rhel9/rhel-bootc:<required_os_version> 

   1

   
   RUN subscription-manager repos --enable rhacm-2.13-for-rhel-9-$(uname -m)-rpms && \
       dnf -y install flightctl-agent && \
       dnf -y clean all && \
       systemctl enable flightctl-agent.service && \
       systemctl mask bootc-fetch-apply-updates.timer 

   2

   Copy to Clipboard

   1

   FROM 中引用的基础镜像是一个可引导容器(bootc)镜像，该镜像已有 Linux 内核，它允许您重复使用现有的标准容器构建工具和工作流。

   2

   禁用默认的自动更新。更新由 Red Hat Edge Manager 管理。

   重要

   如果您的设备依赖于私有软件仓库的容器，您必须将设备 pull secret 放在 /etc/ostree/auth.json 路径中。在 secret 可以被消耗前，该设备中必须存在 pull secret。

   • 可选： 要启用 podman-compose 应用程序支持，请在 Containerfile 文件中添加以下部分：

     RUN dnf install https://dl.fedoraproject.org/pub/epel/epel-release-latest-9.noarch.rpm && \
         dnf -y install podman-compose && \
         dnf -y clean all && \
         systemctl enable podman.service

     Copy to Clipboard

   • 可选： 如果您为早期绑定创建了 config.yaml，请在 Containerfile 中添加以下部分：

     ADD config.yaml /etc/flightctl/

     Copy to Clipboard

   如需更多信息，请参阅 可选：为早期绑定请求注册证书。

2. 运行以下命令定义开放容器项目(OCI) registry：

   OCI_REGISTRY=registry.redhat.io

   Copy to Clipboard

3. 运行以下命令，定义您具有写入权限的镜像存储库：

   OCI_IMAGE_REPO=${OCI_REGISTRY}/<your_org>/<your_image>

   Copy to Clipboard

4. 运行以下命令来定义镜像标签：

   OCI_IMAGE_TAG=v1

   Copy to Clipboard

5. 为您的目标平台构建操作系统镜像：

   sudo podman build -t ${OCI_IMAGE_REPO}:${OCI_IMAGE_TAG}

   Copy to Clipboard

流程

1. 生成名为 signingkey.pub 和 signingkey.private 的 Sigstore 密钥对：

   skopeo generate-sigstore-key --output-prefix signingkey

   Copy to Clipboard

2. 配置 Podman 和 Skopeo 等容器工具，将 Sigstore 签名与您的签名镜像一起上传到 OCI registry：

   sudo tee "/etc/containers/registries.d/${OCI_REGISTRY}.yaml" > /dev/null <<EOF
   docker:
       ${OCI_REGISTRY}:
           use-sigstore-attachments: true
   EOF

   Copy to Clipboard

3. 运行以下命令登录到您的 OCI registry：

   sudo podman login ${OCI_REGISTRY}

   Copy to Clipboard

4. 运行以下命令签名并发布操作系统镜像：

   sudo podman push \
       --sign-by-sigstore-private-key ./signingkey.private \
       ${OCI_IMAGE_REPO}:${OCI_IMAGE_TAG}

   Copy to Clipboard

流程

1. 运行以下命令，创建一个名为 output 的目录：

   mkdir -p output

   Copy to Clipboard

2. 运行以下命令，使用 bootc-image-builder 从操作系统镜像生成类型为 iso 的操作系统磁盘镜像：

   sudo podman run --rm -it --privileged --pull=newer \
       --security-opt label=type:unconfined_t \
       -v "${PWD}/output":/output \
       -v /var/lib/containers/storage:/var/lib/containers/storage \
       registry.redhat.io/rhel9/bootc-image-builder:latest \
       --type iso \
       ${OCI_IMAGE_REPO}:${OCI_IMAGE_TAG}

   Copy to Clipboard

流程

1. 运行以下命令，将 ISO 磁盘镜像所在的目录的所有者从 root 更改为您的当前用户：

   sudo chown -R $(whoami):$(whoami) "${PWD}/output"

   Copy to Clipboard

2. 运行以下命令，定义 OCI_DISK_IMAGE_REPO 环境变量与 bootc 镜像相同的存储库，并附加 /diskimage-iso ：

   OCI_DISK_IMAGE_REPO=${OCI_IMAGE_REPO}/diskimage-iso

   Copy to Clipboard

3. 运行以下命令来创建清单列表：

   sudo podman manifest create \
       ${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG}

   Copy to Clipboard

4. 运行以下命令，将 ISO 磁盘镜像作为 OCI 工件添加到清单列表中：

   sudo podman manifest add \
       --artifact --artifact-type application/vnd.diskimage.iso \
       --arch=amd64 --os=linux \
       ${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG} \
       "${PWD}/output/bootiso/install.iso"

   Copy to Clipboard

5. 运行以下命令，使用私有 Sigstore 密钥为清单列表签名：

   sudo podman manifest push --all \
        --sign-by-sigstore-private-key ./signingkey.private \
       ${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG} \
       docker://${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG}

   Copy to Clipboard

流程

1. 运行以下命令，请求新的 Red Hat Edge Manager 代理注册配置并将其存储在名为 config.yaml 的文件中：

   flightctl certificate request --signer=enrollment --expiration=365d --output=embedded > config.yaml

   Copy to Clipboard

2. 运行以下命令，创建一个名为 cloud-config.yaml 的云配置用户数据文件，该文件将代理配置放在第一次引导的正确位置：

   cat <<EOF > cloud-config.yaml
   #cloud-config
   write_files:
   - path: /etc/flightctl/config.yaml
     content: $(cat config.yaml | base64 -w0)
     encoding: b64
   EOF

   Copy to Clipboard

3. 创建包含云配置用户数据文件的 Kubernetes Secret ：

   oc create secret generic enrollment-secret --from-file=userdata=cloud-config.yaml

   Copy to Clipboard

流程

1. 运行以下命令，创建具有 VirtualMachine 资源清单的文件：

   cat <<EOF > my-bootc-vm.yaml
   apiVersion: kubevirt.io/v1
   kind: VirtualMachine
   metadata:
     name: my-bootc-vm
   spec:
     runStrategy: RerunOnFailure
     template:
       spec:
         domain:
           cpu:
             cores: 1
           memory:
             guest: 1024M
           devices:
             disks:
               - name: containerdisk
                 disk:
                   bus: virtio
               - name: cloudinitdisk
                 disk:
                   bus: virtio
         volumes:
           - name: containerdisk
             containerDisk:
               image: ${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG}
           - name: cloudinitdisk
             cloudInitConfigDrive:
               secretRef:
                 name: enrollment-secret
   EOF

   Copy to Clipboard

2. 运行以下命令，将资源清单应用到集群：

   oc apply -f my-bootc-vm.yaml

   Copy to Clipboard

流程

1. 运行以下命令，列出当前等待批准的所有设备：

   flightctl get enrollmentrequests --field-selector="status.approval.approved != true"

   Copy to Clipboard

   请参见以下示例：

   NAME           APPROVAL  APPROVER  APPROVED LABELS
   <device_name>  Pending   <none>    <none>

   Copy to Clipboard
   注意

   唯一的设备名称由代理生成，您无法更改它。代理选择其公钥的 base32 编码的哈希作为设备名称。

2. 通过指定注册请求的名称来批准注册请求。另外，您可以使用- label or -l 标志向设备添加标签。请参见以下示例：

   flightctl approve -l region=eu-west-1 -l site=factory-berlin enrollmentrequest/54shovu028bvj6stkovjcvovjgo0r48618khdd5huhdjfn6raskg

   Copy to Clipboard

   请参见以下示例输出：

   NAME           APPROVAL  APPROVER  APPROVED LABELS
   <device_name>  Approved  user      region=eu-west-1,site=factory-berlin

   Copy to Clipboard

流程

1. 在导航面板中，选择 Application Links → Edge Manager。这会打开 external Edge Manager 实例。
2. 在导航面板中，选择" 设备 "，您可以在其中查看设备清单、详情和停用设备。

流程

1. 运行以下命令，查看设备清单中的设备：

   flightctl get devices

   Copy to Clipboard

   请参见以下示例输出：

   NAME           ALIAS    OWNER   SYSTEM  UPDATED     APPLICATIONS  LAST SEEN
   <device_name>  <none>   <none>  Online  Up-to-date  <none>        3 seconds ago

   Copy to Clipboard

2. 运行以下命令，以 YAML 格式查看该设备的详情：

   flightctl get device/<device_name> -o yaml

   Copy to Clipboard

   请参见以下示例输出：

   apiVersion: flightctl.io/v1alpha1
   kind: Device
   metadata:
     name: <device_name>
     labels: 

   1

   
       region: eu-west-1
       site: factory-berlin
   spec:
     os:
       image: quay.io/flightctl/rhel:9.5 

   2

   
     config:
     - name: my-os-configuration 

   3

   
       configType: GitConfigProviderSpec
       gitRef:
         path: /configuration
         repository: my-configuration-repo
         targetRevision: production
   status:
     os:
       image: quay.io/flightctl/rhel:9.5 

   4

   
     config:
       renderedVersion: "1" 

   5

   
     applications:
       data: {} 

   6

   
       summary:
         status: Unknown 

   7

   
     resources: 

   8

   
       cpu: Healthy
       disk: Healthy
       memory: Healthy
     systemInfo: 

   9

   
       architecture: amd64
       bootID: 037750f7-f293-4c5b-b06e-481eef4e883f
       operatingSystem: linux
     summary:
       info: ""
       status: Online 

   10

   
     updated:
       status: UpToDate 

   11

   
     lastSeen: "2024-08-28T11:45:34.812851905Z" 

   12

   
   [...]

   Copy to Clipboard

   1

   分配给该设备的用户定义标签。

   2

   设备的目标 OS 镜像版本。

   3

   设备的目标操作系统配置。

   4

   设备的当前 OS 镜像版本

   5

   设备的当前操作系统配置版本。

   6

   设备部署的应用程序的当前列表。

   7

   该设备中应用程序的健康状况。

   8

   CPU、磁盘和内存资源的可用性。

   9

   基本系统信息。

   10

   设备的健康状况。

   11

   设备的更新状态。

   12

   设备的最后检查时间和日期。

流程

1. 运行以下命令，获取设备的当前资源清单：

   flightctl get device/<device_name> -o yaml > my_device.yaml

   Copy to Clipboard

2. 编辑 Device 资源，以指定新的操作系统名称和版本目标。

   apiVersion: flightctl.io/v1alpha1
   kind: Device
   metadata:
     name: <device_name>
   spec:
   [...]
     os:
       image: quay.io/flightctl/rhel:9.5
   [...]

   Copy to Clipboard

3. 运行以下命令来应用更新的 Device 资源：

   flightctl apply -f <device_name>.yaml

   Copy to Clipboard

流程

1. 创建一个文件，如 site-settings-repo.yaml，其中包含名为 site-settings 的 Repository 资源的以下定义：

   apiVersion: flightctl.io/v1alpha1
   kind: Repository
   metadata:
     name: site-settings
   spec:
     type: git
     url: https://github.com/<your_org>/<your_repo>.git

   Copy to Clipboard

2. 运行以下命令来创建 Repository 资源：

   flightctl apply -f site-settings-repo.yaml

   Copy to Clipboard

3. 运行以下命令，验证资源是否已正确创建，并可以被 Red Hat Edge Manager 访问：

   flightctl get repository/site-settings

   Copy to Clipboard

   请参见以下示例输出：

   NAME           TYPE  REPOSITORY URL                                 ACCESSIBLE
   site-settings  git   https://github.com/<your_org>/<your_repo>.git  True

   Copy to Clipboard

4. 通过更新设备规格将 example-site 配置应用到设备：

   apiVersion: flightctl.io/v1alpha1
   kind: Device
   metadata:
     name: <device_name>
   spec:
   [...]
     config: 

   1

   
     - name: example-site
       configType: GitConfigProviderSpec
       gitRef:
         repository: site-settings
         targetRevision: production
         path: /etc/example-site 

   2

   
   [...]

   Copy to Clipboard

   1

   示例配置从 site-settings 存储库的 production 分支中获取 example-site 目录中的所有文件，并将文件放置在根目录(/)中。

   2

   通过创建目录结构来确保目标路径可写入。根目录(/)在 bootc 系统中不可写入。