5.3. 在 Red Hat OpenShift Container Platform Web 控制台中配置自动化中心

流程

1. 登录到 Red Hat OpenShift Container Platform。
2. 进入到 Networking Routes。
3. 在 Location 下，点您的自动化 hub 实例的 URL。

流程

1. 按照以下模板创建一个 postgres_configuration_secret YAML 文件：

   apiVersion: v1
   kind: Secret
   metadata:
     name: external-postgres-configuration
     namespace: <target_namespace> 

   1

   
   stringData:
     host: "<external_ip_or_url_resolvable_by_the_cluster>" 

   2

   
     port: "<external_port>" 

   3

   
     database: "<desired_database_name>"
     username: "<username_to_connect_as>"
     password: "<password_to_connect_with>" 

   4

   
     sslmode: "prefer" 

   5

   
     type: "unmanaged"
   type: Opaque

   Copy to Clipboard Toggle word wrap
   1. 要创建 secret 的命名空间。这应该是您要部署到的同一命名空间。
   2. 数据库节点的可解析的主机名。
   3. 外部端口默认为 5432。
   4. 变量 password 的值不应包含单引号或双引号（'、'）或反斜杠(\)，以避免在部署、备份或恢复过程中出现任何问题。
   5. 变量 sslmode 仅适用于外部数据库。允许的值是：prefer, disable, allow, require, verify-ca, 和 verify-full。

2. 使用 oc create 命令将 external-postgres-configuration-secret.yml 应用到您的集群。

   $ oc create -f external-postgres-configuration-secret.yml

   Copy to Clipboard Toggle word wrap

3. 在创建 AutomationHub 自定义资源对象时，在 spec 中指定 secret，如下例所示：

   apiVersion: automationhub.ansible.com/v1beta1
   kind: AutomationHub
   metadata:
     name: hub-dev
   spec:
     postgres_configuration_secret: external-postgres-configuration

   Copy to Clipboard Toggle word wrap

流程

1. 列出部署命名空间中的现有 PVC：

   oc get pvc -n <namespace>

   Copy to Clipboard Toggle word wrap
2. 通过比较旧部署名称和 PVC 名称来识别与之前部署关联的 PVC。

3. 删除旧的 PVC：

   oc delete pvc -n <namespace> <pvc-name>

   Copy to Clipboard Toggle word wrap

流程

1. 登录到 Red Hat OpenShift Container Platform。
2. 导航到 Home Search。
3. 选择 Resources 下拉列表，并键入 "Image"。
4. 选择 Image (config,openshift.io/v1)。
5. 在 Name 标题下点 Cluster。
6. 选择 YAML 选项卡。

7. 粘贴 spec 值下的以下内容：

   spec:
     registrySources:
       allowedRegistries:
       - quay.io
       - registry.redhat.io
       - image-registry.openshift-image-registry.svc:5000
       - <OCP route for your automation hub>

   Copy to Clipboard Toggle word wrap
8. 点击 Save。

流程

1. 创建用于签名脚本的 ConfigMap。您创建的 ConfigMap 包含签名服务用于集合和容器镜像的脚本。

   注意

   此脚本用作签名服务的一部分，必须使用通过 PULP_SIGNING_KEY_FINGERPRINT 环境变量指定的密钥为该文件生成 ascii-armored 分离的 gpg 签名。

   该脚本打印一个 JSON 结构，其格式如下：

   {"file": "filename", "signature": "filename.asc"}

   Copy to Clipboard Toggle word wrap

   所有文件名都是当前工作目录中的相对路径。对于分离的签名，文件名必须保持相同。

   示例： 以下脚本为内容生成签名：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: signing-scripts
   data:
     collection_sign.sh: |-
         #!/usr/bin/env bash
   
         FILE_PATH=$1
         SIGNATURE_PATH=$1.asc
   
         ADMIN_ID="$PULP_SIGNING_KEY_FINGERPRINT"
         PASSWORD="password"
   
         # Create a detached signature
         gpg --quiet --batch --pinentry-mode loopback --yes --passphrase \
           $PASSWORD --homedir /var/lib/pulp/.gnupg --detach-sign --default-key $ADMIN_ID \
           --armor --output $SIGNATURE_PATH $FILE_PATH
   
         # Check the exit status
         STATUS=$?
         if [ $STATUS -eq 0 ]; then
           echo {\"file\": \"$FILE_PATH\", \"signature\": \"$SIGNATURE_PATH\"}
         else
           exit $STATUS
         fi
     container_sign.sh: |-
       #!/usr/bin/env bash
   
       # galaxy_container SigningService will pass the next 4 variables to the script.
       MANIFEST_PATH=$1
       FINGERPRINT="$PULP_SIGNING_KEY_FINGERPRINT"
       IMAGE_REFERENCE="$REFERENCE"
       SIGNATURE_PATH="$SIG_PATH"
   
       # Create container signature using skopeo
       skopeo standalone-sign \
         $MANIFEST_PATH \
         $IMAGE_REFERENCE \
         $FINGERPRINT \
         --output $SIGNATURE_PATH
   
       # Optionally pass the passphrase to the key if password protected.
       # --passphrase-file /path/to/key_password.txt
   
       # Check the exit status
       STATUS=$?
       if [ $STATUS -eq 0 ]; then
         echo {\"signature_path\": \"$SIGNATURE_PATH\"}
       else
         exit $STATUS
       fi

   Copy to Clipboard Toggle word wrap

2. 为您的 GnuPG 私钥创建 secret。此 secret 安全地存储您用于签名的 GnuPG 私钥。

   gpg --export --armor <your-gpg-key-id> > signing_service.gpg
   
   oc create secret generic signing-galaxy --from-file=signing_service.gpg

   Copy to Clipboard Toggle word wrap

   该机密必须具有名为 signing_service.gpg 的密钥。

3. 配置 AnsibleAutomationPlatform CR。

   apiVersion: aap.ansible.com/v1alpha1
   kind: AnsibleAutomationPlatform
   metadata:
     name: aap-hub-signing-sample
   spec:
     hub:
       signing_secret: "signing-galaxy"
       signing_scripts_configmap: "signing-scripts"

   Copy to Clipboard Toggle word wrap