4.4. 为 single-model 服务平台添加授权供应商

流程

1. 以集群管理员身份登录 OpenShift Web 控制台。
2. 在 Web 控制台中，点 Operators OperatorHub。
3. 在 OperatorHub 页面上，在 Filter by keyword 字段中键入 Red Hat - Authorino。
4. 点 Red Hat - Authorino Operator。
5. 在 Red Hat - Authorino Operator 页面中，查看 Operator 信息，然后点 Install。
6. 在 Install Operator 页面中，保留 Update channel,Version,Installation mode,Installed Namespace 和 Update Approval 的默认值。
7. 点 Install。

流程

1. 打开一个新的终端窗口。

2. 登录到 OpenShift 命令行界面(CLI)，如下所示：

   $ oc login <openshift_cluster_url> -u <username> -p <password>

3. 创建一个命名空间来安装 Authorino 实例。

   $ oc new-project <namespace_for_authorino_instance>

   注意

   自动安装过程为 Authorino 实例创建一个名为 redhat-ods-applications-auth-provider 的命名空间。考虑在手动安装时使用相同的命名空间名称。

4. 要在现有 OpenShift Service Mesh 实例中为 Authorino 实例注册新命名空间，请创建一个包含以下内容的新 YAML 文件：

     apiVersion: maistra.io/v1
     kind: ServiceMeshMember
     metadata:
       name: default
       namespace: <namespace_for_authorino_instance>
     spec:
       controlPlaneRef:
         namespace: <namespace_for_service_mesh_instance>
         name: <name_of_service_mesh_instance>

5. 保存 YAML 文件。

6. 在集群中创建 ServiceMeshMember 资源。

   $ oc create -f <file_name>.yaml

7. 要配置 Authorino 实例，请创建一个新的 YAML 文件，如下例所示：

     apiVersion: operator.authorino.kuadrant.io/v1beta1
     kind: Authorino
     metadata:
       name: authorino
       namespace: <namespace_for_authorino_instance>
     spec:
       authConfigLabelSelectors: security.opendatahub.io/authorization-group=default
       clusterWide: true
       listener:
         tls:
           enabled: false
       oidcServer:
         tls:
           enabled: false

8. 保存 YAML 文件。

9. 在集群中创建 Authorino 资源。

   $ oc create -f <file_name>.yaml

10. 对 Authorino 部署进行补丁以注入 Istio sidecar，这会使 OpenShift Service Mesh 实例的 Authorino 实例的一部分。

    $ oc patch deployment <name_of_authorino_instance> -n <namespace_for_authorino_instance> -p '{"spec": {"template":{"metadata":{"labels":{"sidecar.istio.io/inject":"true"}}}} }'

流程

1. 在一个终端窗口中，如果您还没有以具有更新 OpenShift Service Mesh 实例的用户身份登录 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <username> -p <password>

2. 创建包含以下内容的新 YAML 文件：

   spec:
    techPreview:
      meshConfig:
        extensionProviders:
        - name: redhat-ods-applications-auth-provider
          envoyExtAuthzGrpc:
            service: <name_of_authorino_instance>-authorino-authorization.<namespace_for_authorino_instance>.svc.cluster.local
            port: 50051

3. 保存 YAML 文件。

4. 使用 oc patch 命令将 YAML 文件应用到 OpenShift Service Mesh 实例。

   $ oc patch smcp <name_of_service_mesh_instance> --type merge -n <namespace_for_service_mesh_instance> --patch-file <file_name>.yaml

   重要

   只有在 OpenShift Service Mesh 实例中尚未指定其他扩展供应商时，才能应用显示的配置作为补丁。如果您已经指定了其他扩展供应商，则必须手动编辑 ServiceMeshControlPlane 资源来添加配置。

流程

1. 在一个终端窗口中，如果您还没有以具有更新 KServe 部署权限的用户身份登录 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <username> -p <password>

2. 创建包含以下内容的新 YAML 文件：

   apiVersion: security.istio.io/v1beta1
   kind: AuthorizationPolicy
   metadata:
     name: kserve-predictor
   spec:
     action: CUSTOM
     provider:
        name: redhat-ods-applications-auth-provider 1
     rules:
        - to:
             - operation:
                  notPaths:
                     - /healthz
                     - /debug/pprof/
                     - /metrics
                     - /wait-for-drain
     selector:
        matchLabels:
           component: predictor

   1

   您指定的名称必须与添加到 OpenShift Service Mesh 实例的扩展供应商名称匹配。

3. 保存 YAML 文件。

4. 在命名空间中为 OpenShift Service Mesh 实例创建 AuthorizationPolicy 资源。

   $ oc create -n <namespace_for_service_mesh_instance> -f <file_name>.yaml

5. 创建包含以下内容的另一个新 YAML 文件：

   apiVersion: networking.istio.io/v1alpha3
   kind: EnvoyFilter
   metadata:
     name: activator-host-header
   spec:
     priority: 20
     workloadSelector:
       labels:
         component: predictor
     configPatches:
     - applyTo: HTTP_FILTER
       match:
         listener:
           filterChain:
             filter:
               name: envoy.filters.network.http_connection_manager
       patch:
         operation: INSERT_BEFORE
         value:
           name: envoy.filters.http.lua
           typed_config:
             '@type': type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua
             inlineCode: |
              function envoy_on_request(request_handle)
                 local headers = request_handle:headers()
                 if not headers then
                   return
                 end
                 local original_host = headers:get("k-original-host")
                 if original_host then
                   port_seperator = string.find(original_host, ":", 7)
                   if port_seperator then
                     original_host = string.sub(original_host, 0, port_seperator-1)
                   end
                   headers:replace('host', original_host)
                 end
               end

   显示的 EnvoyFilter 资源持续将 HTTP 主机标头重置为最初包含在任何推销请求中的标头。

6. 在命名空间中为您的 OpenShift Service Mesh 实例创建 EnvoyFilter 资源。

   $ oc create -n <namespace_for_service_mesh_instance> -f <file_name>.yaml