配置

流程

1. 如果您还没有这样做，请在 /etc/microshift/ 目录中生成提供的 config.yaml.default 文件的副本，将它重命名为 config.yaml。

2. 将新的 MicroShift config.yaml 保留在 /etc/microshift/ 目录中。MicroShift 服务每次启动时都会读取 config.yaml 文件。

   注意

   创建后，config.yaml 文件优先于内置设置。

3. 将 MicroShift YAML 的 network 部分中的默认值替换为您的有效值。

   单堆栈 IPv6 网络配置示例

   apiServer:
   # ...
   network:
     clusterNetwork:
     - fd01::/48 

   1

   
     serviceNetwork:
     - fd02::/112 

   2

   
   node:
     nodeIP: 2600:1f14:1c48:ee00:2d76:3190:5bc2:5aef 

   3

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   使用小于 64 的 CIDR 值指定 clusterNetwork。

   2

   指定一个带有 112 前缀的 IPv6 CIDR。Kubernetes 仅使用最低 16 位。对于前缀 112，IP 地址从 112 分配给 128 位。

   3

   示例节点 IP 地址。有效值为 IPv6 地址系列中的 IP 地址。只有存在 IPv4 网络时，才必须指定 IPv6 地址。如果没有 IPv4 网络，MicroShift 服务会在重启时自动填充这个值。

4. 运行以下命令完成任何其他配置，然后启动 MicroShift：

   $ sudo systemctl start microshift

   Copy to Clipboard Toggle word wrap

验证

1. 运行以下命令，检索节点资源中定义的网络：

   $ oc get node -o jsonpath='{.items[].spec.podCIDRs[]}'

   Copy to Clipboard Toggle word wrap

   输出示例

   fd01::/48

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，检索 pod 的状态：

   $ oc get pod -A -o wide

   Copy to Clipboard Toggle word wrap

   输出示例

   NAMESPACE                  NAME                                      READY   STATUS    RESTARTS   AGE   IP                      NODE           NOMINATED NODE   READINESS GATES
   kube-system                csi-snapshot-controller-bb7cb654b-rqrt6   1/1     Running   0          65s   fd01:0:0:1::5           microshift-9   <none>           <none>
   kube-system                csi-snapshot-webhook-95f475949-nbz8x      1/1     Running   0          61s   fd01:0:0:1::6           microshift-9   <none>           <none>
   openshift-dns              dns-default-cjn66                         2/2     Running   0          62s   fd01:0:0:1::9           microshift-9   <none>           <none>
   openshift-dns              node-resolver-ppnjb                       1/1     Running   0          63s   2001:db9:ca7:ff::1db8   microshift-9   <none>           <none>
   openshift-ingress          router-default-6d97d7b8b6-wdtmg           1/1     Running   0          61s   fd01:0:0:1::8           microshift-9   <none>           <none>
   openshift-ovn-kubernetes   ovnkube-master-gfvp5                      4/4     Running   0          63s   2001:db9:ca7:ff::1db8   microshift-9   <none>           <none>
   openshift-ovn-kubernetes   ovnkube-node-bnpjh                        1/1     Running   0          63s   2001:db9:ca7:ff::1db8   microshift-9   <none>           <none>
   openshift-service-ca       service-ca-5d7bd9db6-j25bd                1/1     Running   0          60s   fd01:0:0:1::4           microshift-9   <none>           <none>
   openshift-storage          lvms-operator-656cd9b59b-bwr47            1/1     Running   0          63s   fd01:0:0:1::7           microshift-9   <none>           <none>
   openshift-storage          vg-manager-f7dmk                          1/1     Running   0          27s   fd01:0:0:1::a           microshift-9   <none>           <none>

   Copy to Clipboard Toggle word wrap

3. 运行以下命令来检索服务的状态：

   $ oc get svc -A

   Copy to Clipboard Toggle word wrap

   输出示例

   NAMESPACE           NAME                            TYPE           CLUSTER-IP   EXTERNAL-IP                                             PORT(S)                      AGE
   default             kubernetes                      ClusterIP      fd02::1      <none>                                                  443/TCP                      3m42s
   kube-system         csi-snapshot-webhook            ClusterIP      fd02::4c4f   <none>                                                  443/TCP                      3m20s
   openshift-dns       dns-default                     ClusterIP      fd02::a      <none>                                                  53/UDP,53/TCP,9154/TCP       2m58s
   openshift-ingress   router-default                  LoadBalancer   fd02::f2e6   2001:db9:ca7:ff::1db8,fd01:0:0:1::2,fd02::1:0,fd69::2   80:31133/TCP,443:31996/TCP   2m58s
   openshift-ingress   router-internal-default         ClusterIP      fd02::c55e   <none>                                                  80/TCP,443/TCP,1936/TCP      2m58s
   openshift-storage   lvms-operator-metrics-service   ClusterIP      fd02::7afb   <none>                                                  443/TCP                      2m58s
   openshift-storage   lvms-webhook-service            ClusterIP      fd02::d8dd   <none>                                                  443/TCP                      2m58s
   openshift-storage   vg-manager-metrics-service      ClusterIP      fd02::fc1    <none>                                                  443/TCP                      2m58s

   Copy to Clipboard Toggle word wrap

流程

1. 如果您还没有这样做，请在 /etc/microshift/ 目录中生成提供的 config.yaml.default 文件的副本，将它重命名为 config.yaml。

2. 将新的 MicroShift config.yaml 保留在 /etc/microshift/ 目录中。MicroShift 服务每次启动时都会读取 config.yaml 文件。

   注意

   创建后，config.yaml 文件优先于内置设置。

3. 如果您还没有启动 MicroShift，请将 MicroShift YAML 的 network 部分中的默认值替换为您的有效值。

   带有网络分配的双栈 IPv6 网络配置示例

   apiServer:
   # ...
   apiServer:
     subjectAltNames:
     - 192.168.113.117
     - 2001:db9:ca7:ff::1db8
   network:
     clusterNetwork:
     - 10.42.0.0/16
     - fd01::/48 

   1

   
     serviceNetwork:
     - 10.43.0.0/16
     - fd02::/112 

   2

   
   node:
     nodeIP: 192.168.113.117 

   3

   
     nodeIPv6: 2001:db9:ca7:ff::1db8 

   4

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   使用小于 64 的 CIDR 值指定 IPv6 clusterNetwork。

   2

   指定一个带有 112 前缀的 IPv6 CIDR。Kubernetes 仅使用最低 16 位。对于前缀 112，IP 地址从 112 分配给 128 位。

   3

   示例节点 IP 地址。必须是 IPv4 地址系列。

   4

   dual-stack 配置的节点 IP 地址示例。必须是 IPv6 地址系列。仅使用双栈网络进行配置。

4. 运行以下命令，完成任何其他 MicroShift 配置，然后启动 MicroShift：

   $ sudo systemctl start microshift

   Copy to Clipboard Toggle word wrap
5. 根据需要重置应用 pod 和服务的 IP 系列策略，然后重新启动这些应用 pod 和服务，以启用双栈网络。如需简单示例，请参阅"为应用程序 pod 和服务重置 IP 系列策略"。

验证

1. 您可以按照以下步骤验证所有系统服务和 pod 是否具有两个 IP 地址，每个系列一个：

   1. 运行以下命令，检索节点资源中定义的网络：

      $ oc get pod -n openshift-ingress router-default-5b75594b4-w7w6s -o jsonpath='{.status.podIPs}'

      Copy to Clipboard Toggle word wrap

      输出示例

      [{"ip":"10.42.0.4"},{"ip":"fd01:0:0:1::4"}]

      Copy to Clipboard Toggle word wrap

   2. 运行以下命令，检索主机网络 pod 定义的网络：

      $ oc get pod -n openshift-ovn-kubernetes ovnkube-master-2fm2k -o jsonpath='{.status.podIPs}'

      Copy to Clipboard Toggle word wrap

      输出示例

      [{"ip":"192.168.113.117"},{"ip":"2001:db9:ca7:ff::1db8"}]

      Copy to Clipboard Toggle word wrap

流程

1. 如果您还没有这样做，请在 /etc/microshift/ 目录中生成提供的 config.yaml.default 文件的副本，将它重命名为 config.yaml。

2. 将新的 MicroShift config.yaml 保留在 /etc/microshift/ 目录中。MicroShift 服务每次启动时都会读取 config.yaml 文件。

   注意

   创建后，config.yaml 文件优先于内置设置。

3. 使用您的有效值在 MicroShift YAML 的 network 部分添加 IPv6 配置：

   警告

   您必须在重启和迁移后保留相同的第一个条目。对于任何迁移而言，这是正确的：单到双堆栈或双到单一堆栈。如果需要更改第一个条目，则需要完全擦除 etcd 数据库。这可能会导致应用程序数据丢失且不受支持。

   1. 使用您的有效值，在 MicroShift YAML 的 network 部分为第二个网络添加 IPv6 配置。

   2. 将网络分配添加到 MicroShift config.yaml 的 network 部分，以启用将 IPv6 作为二级网络的双堆栈。

      带有网络分配的双栈 IPv6 配置示例

      # ...
      apiServer:
        subjectAltNames:
        - 192.168.113.117
        - 2001:db9:ca7:ff::1db8 

      1

      
      network:
        clusterNetwork:
        - 10.42.0.0/16 

      2

      
        - fd01::/48 

      3

      
        serviceNetwork:
        - 10.43.0.0/16
        - fd02::/112 

      4

      
      node:
        nodeIP: 192.168.113.117 

      5

      
        nodeIPv6: 2001:db9:ca7:ff::1db8 

      6

      
      # ...

      Copy to Clipboard Toggle word wrap

      1

      IPv6 节点地址。

      2

      IPv4 网络。使用小于 24 的 CIDR 值指定 clusterNetwork。

      3

      IPv6 网络。使用小于 64 的 CIDR 值指定 clusterNetwork。

      4

      指定一个带有 112 前缀的 IPv6 CIDR。Kubernetes 仅使用最低 16 位。对于前缀 112，IP 地址从 112 分配给 128 位。

      5

      示例节点 IP 地址。维护前面的 IPv4 IP 地址。

      6

      示例节点 IP 地址。必须是 IPv6 地址系列。

4. 运行以下命令完成任何其他配置，然后重启 MicroShift：

   $ sudo systemctl restart microshift

   Copy to Clipboard Toggle word wrap
5. 根据需要重置应用 pod 和服务的 IP 系列策略，然后重新启动这些应用 pod 和服务，以启用双栈网络。如需简单示例，请参阅"为应用程序 pod 和服务重置 IP 系列策略"。

1. 运行以下命令，检索 pod 的状态：

   $ oc get pod -A -o wide

   Copy to Clipboard Toggle word wrap

   输出示例

   NAMESPACE                  NAME                                      READY   STATUS    RESTARTS        AGE     IP                NODE           NOMINATED NODE   READINESS GATES
   kube-system                csi-snapshot-controller-bb7cb654b-7s5ql   1/1     Running   0               46m     10.42.0.6         microshift-9   <none>           <none>
   kube-system                csi-snapshot-webhook-95f475949-jrqv8      1/1     Running   0               46m     10.42.0.4         microshift-9   <none>           <none>
   openshift-dns              dns-default-zxkqn                         2/2     Running   0               46m     10.42.0.5         microshift-9   <none>           <none>
   openshift-dns              node-resolver-r2h5z                       1/1     Running   0               46m     192.168.113.117   microshift-9   <none>           <none>
   openshift-ingress          router-default-5b75594b4-228z7            1/1     Running   0               2m5s    10.42.0.3         microshift-9   <none>           <none>
   openshift-ovn-kubernetes   ovnkube-master-bltk7                      4/4     Running   2 (2m32s ago)   2m36s   192.168.113.117   microshift-9   <none>           <none>
   openshift-ovn-kubernetes   ovnkube-node-9ghgs                        1/1     Running   2 (2m32s ago)   46m     192.168.113.117   microshift-9   <none>           <none>
   openshift-service-ca       service-ca-5d7bd9db6-qgwgw                1/1     Running   0               46m     10.42.0.7         microshift-9   <none>           <none>
   openshift-storage          lvms-operator-656cd9b59b-8rpf4            1/1     Running   0               46m     10.42.0.8         microshift-9   <none>           <none>
   openshift-storage          vg-manager-wqmh4                          1/1     Running   2 (2m39s ago)   46m     10.42.0.10        microshift-9   <none>           <none>

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，检索 OVN-K 网络插件定义的网络：

   $ oc get pod -n openshift-ovn-kubernetes ovnkube-master-bltk7 -o jsonpath='{.status.podIPs}'

   Copy to Clipboard Toggle word wrap

   输出示例

   [{"ip":"192.168.113.117"},{"ip":"2001:db9:ca7:ff::1db8"}]

   Copy to Clipboard Toggle word wrap

3. 运行以下命令，检索节点资源中定义的网络：

   $ oc get pod -n openshift-ingress router-default-5b75594b4-228z7 -o jsonpath='{.status.podIPs}'

   Copy to Clipboard Toggle word wrap

   输出示例

   [{"ip":"10.42.0.3"},{"ip":"fd01:0:0:1::3"}]

   Copy to Clipboard Toggle word wrap

流程

1. 使用以下示例，将 spec.ipFamilyPolicy 字段设置为服务或 pod 中双栈网络的有效值：

   服务的双栈网络配置示例

   kind: Service
   apiVersion: v1
   metadata:
     name: microshift-new-service
     labels: app: microshift-application
   spec:
     type: NodePort
     ipFamilyPolicy: `PreferDualStack` 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   必需。双栈网络的有效值为 PreferDualStack 和 RequireDualStack。设定的值取决于您应用程序的要求。PreferSingleStack 是 ipFamilyPolicy 字段的默认值。

2. 重启没有定义 hostNetwork 的任何应用 pod。定义了 hostNetwork 的 Pod 不需要重启来更新 ipFamilyPolicy 值。

流程

1. 使用以下两种方式之一应用入口控制设置：

   1. 通过在 /etc/microshift/ 目录中生成提供的 config.yaml.default 文件的副本，将其命名为 config.yaml 并将其保留在源目录中，来更新 MicroShift config.yaml 配置文件。

      • 创建后，config.yaml 文件优先于内置设置。每次 MicroShift 服务启动时都会读取配置文件。

   2. 使用配置片段应用您想要的 ingress 控制设置。要做到这一点，创建一个配置片断 YAML 文件，并将其放在 /etc/microshift/config.d/ 配置中。

      • 配置片断 YAML 优先于内置设置和 config.yaml 配置文件。如需更多信息，请参阅附加资源链接。

2. 将 MicroShift YAML 的 network 部分中的默认值替换为您的有效值，或将配置片断文件替换为您需要的部分。

   带有默认值的 Ingress 控制器配置字段

   apiServer:
   # ...
   ingress:
       defaultHTTPVersion: 1
       forwardedHeaderPolicy: Append
       httpCompression:
           mimeTypes:
               - ""
       httpEmptyRequestsPolicy: Respond
   # ...
       logEmptyRequests: Log
   # ...
       tuningOptions:
           clientFinTimeout: 1s
           clientTimeout: 30s
           headerBufferBytes: 0
           headerBufferMaxRewriteBytes: 0
           healthCheckInterval: 5s
           maxConnections: 0
           serverFinTimeout: 1s
           serverTimeout: 30s
           threadCount: 4
           tlsInspectDelay: 5s
           tunnelTimeout: 1h
   # ...

   Copy to Clipboard Toggle word wrap

   Expand

   表 3.1. Ingress 控制器配置字段定义表

   参数	描述
   defaultHTTPVersion	为入口控制器设置 HTTP 版本。HTTP 1.1 的默认值为 1。
   forwardedHeaderPolicy	指定入口控制器何时和如何设置 Forwarded ,X- Forwarded -For,X-Forwarded-Host,X-Forwarded-Port,X-Forwarded-Proto, 和 X-Forwarded-Proto-Version HTTP 标头。以下值有效： 附加，通过指定入口控制器附加它们来保留任何现有的标头。 替换，通过指定入口控制器设置标头来删除任何现有标头。 IfNone 通过指定入口控制器设置标头（如果未设置标头）来设置标头。 永不，通过指定 ingress 控制器永远不会设置标头来保留任何现有的标头。
   httpCompression	定义 HTTP 流量压缩的策略。 httpCompression.mimeTypes 定义压缩应用到的单个 MIME 类型列表。例如，text/css; charset=utf-8, text/html, text/*, image/svg+xml, application/octet-stream, X-custom/customsub，格式为 type/subtype; [;attribute=value]。类型 包括：application, image, message, multipart, text, video, 或一个自定义类型，前是 X-。要查看 MIME 类型和子类型的完整表示法，请参阅 RFC1341 (IETF Datatracker 文档)。
   httpEmptyRequestsPolicy	描述在收到请求前连接超时时如何处理 HTTP 连接。此字段允许的值是 Respond 和 Ignore。默认值为 Respond。以下是有效值： 响应，会导致入口控制器发送 HTTP 400 或 408 响应，在启用了访问日志时记录连接，并在适当的指标中统计连接。 忽略，在 HAproxy 配置中添加 http-ignore-probes 参数。如果字段设置为 Ignore，则入口控制器在不发送响应的情况下关闭连接，然后记录连接或递增指标。 通常，空请求连接来自负载均衡器健康探测或 Web 浏览器预先连接，可以安全地忽略。但是，网络错误和端口扫描也可以创建这些空请求，因此将此字段设置为 Ignore 可能会妨碍检测或诊断问题，并妨碍入侵尝试检测。
   logEmptyRequests	指定没有接收和记录请求的连接。通常，这些空请求来自负载均衡器健康探测或 Web 浏览器规范连接，如 preconnects。记录这些类型的空请求是不正常的。但是，网络错误和端口扫描也可以创建空请求，因此将此字段设置为 Ignore 可能会妨碍检测或诊断问题，并妨碍入侵尝试检测。 以下是有效值： 日志，表示应记录事件。 忽略，该选项在 HAproxy 配置中设置 dontlognull 选项。
   tuningOptions	指定用于调整入口控制器 pod 性能的选项。 tuningOptions.clientFinTimeout 参数指定连接在等待客户端响应关闭连接时保持打开的时长。默认超时为 1s。 tuningOptions.clientTimeout 参数指定连接在等待客户端响应时保持打开的时长。默认超时为 30s。 tuningOptions.headerBufferBytes 参数指定为 Ingress Controller 连接会话保留多少内存（以字节为单位）。如果为 Ingress Controller 启用了 HTTP/2，则必须至少为 16384。如果没有设置，则默认值为 32768 字节。 重要 不建议设置此字段，因为 headerBufferMaxRewriteBytes 参数值太小可能会破坏入口控制器。相反，headerBufferMaxRewriteBytes 的值太大可能会导致入口控制器使用比必要更多的内存。 tuningOptions.headerBufferMaxRewriteBytes 参数指定从 headerBufferBytes 为 HTTP 标头重写和附加 Ingress Controller 连接会话应保留多少内存（以字节为单位）。headerBufferMaxRewriteBytes 的最小值是 4096。headerBufferBytes 值必须大于传入的 HTTP 请求的 headerBufferMaxRewriteBytes 值。 如果没有设置，则默认值为 8192 字节。 重要 不建议设置此字段，因为 headerBufferMaxRewriteBytes 参数值太小可能会破坏入口控制器。相反，headerBufferMaxRewriteBytes 的值太大可能会导致入口控制器使用比必要更多的内存。 tuningOptions.healthCheckInterval 参数指定路由器在健康检查之间等待的时间。默认值为 5s。 tuningOptions.serverFinTimeout 参数指定连接在等待服务器响应关闭连接时保持打开的时长。默认超时为 1s。 tuningOptions.serverTimeout 参数指定连接在等待服务器响应时保持打开的时长。默认超时为 30s。 tuningOptions.threadCount 参数指定每个 HAProxy 进程创建的线程数量。创建更多线程可让每个入口控制器 pod 处理更多连接，而代价会增加所使用的系统资源。HAProxy 支持最多 64 个线程。如果此字段为空，则默认值为 4 个线程。 重要 不建议设置此字段，因为增加 HAProxy 线程数量允许入口控制器 pod 在负载下使用更多 CPU 时间，并防止其他 pod 接收需要执行的 CPU 资源。 tuningOptions.tlsInspectDelay 参数指定路由器可以保存数据以查找匹配的路由的时间。将此值设置为太短可能会导致路由器回退到边缘终止、重新加密或透传路由的默认证书，即使在使用更好匹配的证书时也是如此。默认检查延迟为 5s。 tuningOptions.tunnelTimeout 参数指定隧道连接（包括 websocket）在隧道闲置时保持打开的时长。默认超时为 1h。

   Show more

3. 运行以下命令完成任何其他配置，然后启动或重启 MicroShift：

   $ sudo systemctl start microshift

   Copy to Clipboard Toggle word wrap

   $ sudo systemctl restart microshift

   Copy to Clipboard Toggle word wrap

流程

1. 可选：您可以显示 config.yaml 的内容。运行以下命令:

   $ cat /etc/microshift/config.yaml

   Copy to Clipboard Toggle word wrap

2. 可选：您可以显示远程访问 kubeconfig 文件的内容。运行以下命令:

   $ cat /var/lib/microshift/resources/kubeadmin/<hostname>/kubeconfig

   Copy to Clipboard Toggle word wrap
   重要

   其他远程访问 kubeconfig 文件必须包含 MicroShift config.yaml 文件中列出的服务器名称之一。其他 kubeconfig 文件还必须使用相同的 CA 进行验证。

3. 要为其他 DNS 名称 SAN 或外部 IP 地址生成额外的 kubeconfig 文件，请将您需要的条目添加到 apiServer.subjectAltNames 字段。在以下示例中，使用的 DNS 名称为 alt-name-1，IP 地址为 1.2.3.4。

   带有额外身份验证值的 config.yaml 示例

   dns:
     baseDomain: example.com
   node:
     hostnameOverride: "microshift-rhel9" 

   1

   
     nodeIP: 10.0.0.1
   apiServer:
     subjectAltNames:
     - alt-name-1 

   2

   
     - 1.2.3.4 

   3

   Copy to Clipboard Toggle word wrap

   1

   主机名

   2

   DNS 名称

   3

   IP 地址或范围

4. 运行以下命令，重启 MicroShift 以应用配置更改并自动生成您需要的 kubeconfig 文件：

   $ sudo systemctl restart microshift

   Copy to Clipboard Toggle word wrap

5. 要检查其他远程访问 kubeconfig 文件的内容，请将 config.yaml 中列出的名称或 IP 地址插入到 cat 命令中。例如，以下示例命令中使用 alt-name-1 ：

   $ cat /var/lib/microshift/resources/kubeadmin/alt-name-1/kubeconfig

   Copy to Clipboard Toggle word wrap

6. 选择 kubeconfig 文件，其中包含您要用来连接集群的 SAN 或 IP 地址。在本例中，cluster.server 字段中包含'alt-name-1' 的 kubeconfig 是正确的文件。

   额外 kubeconfig 文件的内容

   clusters:
   - cluster:
       certificate-authority-data: <base64 CA>
       server: https://alt-name-1:6443 

   1

   Copy to Clipboard Toggle word wrap

   1

   /var/lib/microshift/resources/kubeadmin/alt-name-1/kubeconfig 文件值来自 apiServer.subjectAltNames 配置值。

1. 将证书和密钥复制到主机操作系统中的首选目录中。确保只有 root 用户可以访问这些文件。

2. 通过在 MicroShift /etc/microshift/config.yaml 配置文件中指定证书名称和新的完全限定域名(FQDN)来更新每个自定义 CA 的 MicroShift 配置。

   每个证书配置都可以包含以下值：

   • 证书文件位置是一个必需的值。

   • 包含 API 服务器 DNS 和 IP 地址或 IP 地址范围的一个通用名称。

     提示

     在大多数情况下，MicroShift 为自定义 CA 生成新的 kubeconfig，其中包含您指定的 IP 地址或范围。例外是在为 IP 地址指定通配符时。在这种情况下，MicroShift 会生成一个 kubeconfig，其中包含服务器的公共 IP 地址。要使用通配符，您必须使用特定详情更新 kubeconfig 文件。

   • 多个主题备用名称(SAN)，其中包含 API 服务器 DNS 和 IP 地址或通配符证书。
   • 您可以为每个证书提供额外的 DNS 名称。
3. MicroShift 服务重启后，您必须将生成的 kubeconfig 文件复制到客户端。
4. 在客户端系统上配置额外的 CA。例如，您可以更新 Red Hat Enterprise Linux (RHEL)信任存储中的 CA 捆绑包。
5. 证书和密钥从主机上的指定文件位置读取。配置测试和验证通过客户端完成。
6. 外部服务器证书不会自动续订。您必须手动轮转外部证书。

流程

1. 复制您要添加到 MicroShift 主机的信任根中的自定义证书。确保证书和私钥只能被 MicroShift 访问。

2. 对于您需要的每个自定义 CA，使用以下示例 将名为Certificates 的 apiServer 部分添加到 /etc/microshift/config.yaml MicroShift 配置文件中：

   apiServer:
     namedCertificates:
      - certPath: ~/certs/api_fqdn_1.crt 

   1

   
        keyPath:  ~/certs/api_fqdn_1.key 

   2

   
      - certPath: ~/certs/api_fqdn_2.crt
        keyPath:  ~/certs/api_fqdn_2.key
        names: 

   3

   
        - api_fqdn_1
        - *.apps.external.com

   Copy to Clipboard Toggle word wrap

   1

   添加证书的完整路径。

   2

   添加证书密钥的完整路径。

   3

   可选。添加显式 DNS 名称列表。允许前导通配符。如果没有提供名称，则会从证书中提取隐式名称。

3. 运行以下命令，重启 {microshift-service} 以应用证书：

   $ systemctl microshift restart

   Copy to Clipboard Toggle word wrap
4. 等待几分钟，让系统重新启动并应用自定义服务器。新的 kubeconfig 文件在 /var/lib/microshift/resources/kubeadmin/ 目录中生成。
5. 将 kubeconfig 文件复制到客户端。如果您为 IP 地址指定了通配符，请更新 kubeconfig 以删除服务器的公共 IP 地址，并使用您要使用的特定通配符范围替换该 IP 地址。

6. 在客户端中，执行以下步骤：

   1. 运行以下命令指定要使用的 kubeconfig ：

      $ export KUBECONFIG=~/custom-kubeconfigs/kubeconfig 

      1

      Copy to Clipboard Toggle word wrap

      1

      使用复制的 kubeconfig 文件的位置作为路径。

   2. 使用以下命令检查是否应用了证书：

      $ oc --certificate-authority ~/certs/ca.ca get node

      Copy to Clipboard Toggle word wrap

      输出示例

      oc get node
      NAME                             STATUS   ROLES                         AGE   VERSION
      dhcp-1-235-195.arm.example.com   Ready    control-plane,master,worker   76m   v1.30.3

      Copy to Clipboard Toggle word wrap

   3. 运行以下命令，将新 CA 文件添加到 $KUBECONFIG 环境变量中：

      $ oc config set clusters.microshift.certificate-authority /tmp/certificate-authority-data-new.crt

      Copy to Clipboard Toggle word wrap

   4. 运行以下命令，验证新的 kubeconfig 文件是否包含新的 CA：

      $ oc config view --flatten

      Copy to Clipboard Toggle word wrap

      外部生成的 kubeconfig 文件示例

      apiVersion: v1
      clusters:
      - cluster:
          certificate-authority: /tmp/certificate-authority-data-new.crt 

      1

      
          server: https://api.ci-ln-k0gim2b-76ef8.aws-2.ci.openshift.org:6443
        name: ci-ln-k0gim2b-76ef8
      contexts:
      - context:
          cluster: ci-ln-k0gim2b-76ef8
          user:
        name:
      current-context:
      kind: Config
      preferences: {}

      Copy to Clipboard Toggle word wrap

      1

      外部生成的 kubeconfig 文件中不存在 certificate-authority-data 部分。它通过之前使用的 oc config set 命令添加。

   5. 运行以下命令，验证自定义 API 服务器证书颁发机构的 主题和签发者 ：

      $ curl --cacert /tmp/caCert.pem https://${fqdn_name}:6443/healthz -v

      Copy to Clipboard Toggle word wrap

      输出示例

      Server certificate:
        subject: CN=kas-test-cert_server
        start date: Mar 12 11:39:46 2024 GMT
        expire date: Mar 12 11:39:46 2025 GMT
        subjectAltName: host "dhcp-1-235-3.arm.eng.rdu2.redhat.com" matched cert's "dhcp-1-235-3.arm.eng.rdu2.redhat.com"
        issuer: CN=kas-test-cert_ca
        SSL certificate verify ok.

      Copy to Clipboard Toggle word wrap

      重要

      将生成的 kubeconfig 文件中的 certificate-authority-data 替换为新的 rootCA，或者将 certificate-authority-data 添加到操作系统的信任根中。不要同时使用这两种方法。

   6. 在操作系统的信任根中配置额外的 CA。例如，在客户端系统上的 RHEL 客户端信任存储中。详情请查看 系统范围的信任存储。

      • 建议使用包含 CA 的配置更新证书捆绑包。
      • 如果您不想配置证书捆绑包，也可以使用 oc login localhost:8443 --certificate-authority=/path/to/cert.crt 命令，但这不是首选的方法。

流程

1. 在 MicroShift 中，确保证书由 kube-apiserver 提供，并通过运行以下命令来验证证书路径是否已附加到 the -tls-sni-cert-key FLAG 中：

   $ journalctl -u microshift -b0 | grep tls-sni-cert-key

   Copy to Clipboard Toggle word wrap

   输出示例

   Jan 24 14:53:00 localhost.localdomain microshift[45313]: kube-apiserver I0124 14:53:00.649099   45313 flags.go:64] FLAG: --tls-sni-cert-key="[/home/eslutsky/dev/certs/server.crt,/home/eslutsky/dev/certs/server.key;/var/lib/microshift/certs/kube-apiserver-external-signer/kube-external-serving/server.crt,/var/lib/microshift/certs/kube-apiserver-external-signer/kube-external-serving/server.key;/var/lib/microshift/certs/kube-apiserver-localhost-signer/kube-apiserver-localhost-serving/server.crt,/var/lib/microshift/certs/kube-apiserver-localhost-signer/kube-apiserver-localhost-serving/server.key;/var/lib/microshift/certs/kube-apiserver-service-network-signer/kube-apiserver-service-network-serving/server.crt,/var/lib/microshift/certs/kube-apiserver-service-network-signer/kube-apiserver-service-network-serving/server.key

   Copy to Clipboard Toggle word wrap

2. 在客户端中，运行以下命令来确保 kube-apiserver 提供正确的证书：

   $ openssl s_client -connect <SNI_ADDRESS>:6443 -showcerts | openssl x509 -text -noout -in - | grep -C 1 "Alternative\|CN"

   Copy to Clipboard Toggle word wrap

流程

1. 运行以下命令，停止 MicroShift 服务并清理自定义证书：

   $ sudo microshift-cleanup-data --cert

   Copy to Clipboard Toggle word wrap

   输出示例

   Stopping MicroShift services
   Removing MicroShift certificates
   MicroShift service was stopped
   Cleanup succeeded

   Copy to Clipboard Toggle word wrap

2. 运行以下命令重启 MicroShift 服务以重新创建自定义证书：

   $ sudo systemctl start microshift

   Copy to Clipboard Toggle word wrap

1. 敏感资源（如 Secret、Route 和 OAuthClient 对象）仅记录在元数据级别上。

流程

1. 在 /etc/microshift/ 目录中生成提供的 config.yaml.default 文件的副本，将它重命名为 config.yaml。在 /etc/microshift/ 目录中保留您创建的新的 MicroShift config.yaml。每当 MicroShift 服务启动时，会读取新的 config.yaml。创建后，config.yaml 文件优先于内置设置。

2. 将 YAML 的 auditLog 部分中的默认值替换为您所需的有效值。

   默认 auditLog 配置示例

   apiServer:
   # ....
     auditLog:
       maxFileAge: 7 

   1

   
       maxFileSize: 200 

   2

   
       maxFiles: 1 

   3

   
       profile: Default 

   4

   
   # ....

   Copy to Clipboard Toggle word wrap

   1

   指定日志文件要保留的最大时间（以天为单位）。超过这个限制的文件会被删除。在本例中，日志文件超过 7 天后，将被删除。无论实时日志是否达到 maxFileSize 字段中指定的最大文件大小，都会删除这些文件。文件年龄由使用轮转日志文件名称写入的时间戳决定，例如 audit-2024-05-16T17-03-59.994.log。当值为 0 时，会禁用限制。

   2

   最大审计日志文件大小（以 MB 为单位）。在本例中，文件会在实时日志达到 200 MB 限制时进行轮转。当值设为 0 时，会禁用限制。

   3

   保留的最大轮转审计日志文件数。达到限制后，日志文件将从最旧的到最新的顺序删除。在本例中，除了当前活跃日志外，值 1 会导致只保留 1 个 size maxFileSize 的文件。当值设为 0 时，会禁用限制。

   4

   仅记录读取和写入请求的日志元数据 ；除了 OAuth 访问令牌请求外，不记录请求正文。如果没有指定此字段，则使用 Default 配置集。

3. 可选： 要为日志指定新目录，您可以停止 MicroShift，然后将 /var/log/kube-apiserver 目录移到所需的位置：

   1. 运行以下命令来停止 MicroShift：

      $ sudo systemctl stop microshift

      Copy to Clipboard Toggle word wrap

   2. 运行以下命令，将 /var/log/kube-apiserver 目录移到所需位置：

      $ sudo mv /var/log/kube-apiserver <~/kube-apiserver> 

      1

      Copy to Clipboard Toggle word wrap

      1

      将 < ~/kube-apiserver > 替换为您要使用的目录的路径。

   3. 如果为日志指定新目录，请运行以下命令到位于 /var/log/kube-apiserver 的自定义目录：

      $ sudo ln -s <~/kube-apiserver> /var/log/kube-apiserver 

      1

      Copy to Clipboard Toggle word wrap

      1

      将 < ~/kube-apiserver > 替换为您要使用的目录的路径。这启用了 sos 报告中的日志集合。

4. 如果要在运行的实例上配置审计日志策略，请输入以下命令重启 MicroShift：

   $ sudo systemctl restart microshift

   Copy to Clipboard Toggle word wrap

流程

1. 通过在 /etc/microshift/config.yaml 中的 MicroShift 配置文件的 storage 部分下输入 optionalCsiComponents 值来禁用 CSI 快照控制器的安装：

   # ...
     storage: {} 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   接受的值是：

   • 没有定义 可选CsiComponents。
   • 使用空值([])或单个空字符串元素([""])指定 optionalCsiComponents 字段。

   • 使用 snapshot-controller、snapshot-webhook 或 none 值之一指定 可选CsiComponents。none 与所有其他值相互排斥。

     注意

     如果 optionalCsiComponents 值为空或 null，MicroShift 默认为部署 snapshot-controller 和 snapshot-webhook。

2. 使用 config.yaml 中的支持值指定 optionalCsiComponents 字段后，运行以下命令启动 MicroShift：

   $ sudo systemctl start microshift

   Copy to Clipboard Toggle word wrap
   注意

   MicroShift 重启后不会重新部署禁用的组件。

流程

1. 通过在 /etc/microshift/config.yaml 中的 MicroShift 配置文件的 storage 部分输入 驱动程序 值来禁用 CSI 驱动程序的安装：

   # ...
     storage
      driver:
      - "none" 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   有效值为 none 或 lvms。

   注意

   默认情况下，驱动程序 值为空或 null，其中 LVMS 被部署。

2. 运行以下命令，在 driver 字段指定了 /etc/microshift/config.yaml 文件中的支持值后启动 MicroShift：

   $ sudo systemctl enable --now microshift

   Copy to Clipboard Toggle word wrap
   注意

   MicroShift 在重启操作后不会重新部署禁用的组件。