4.4. 为 single-model 服务平台添加授权供应商

流程

1. 以集群管理员身份登录 OpenShift Web 控制台。
2. 在 Web 控制台中，点 Operators OperatorHub。
3. 在 OperatorHub 页面上，在 Filter by keyword 字段中键入 Red Hat - Authorino。
4. 点 Red Hat - Authorino Operator。
5. 在 Red Hat - Authorino Operator 页面中，查看 Operator 信息，然后点 Install。

6. 在 Install Operator 页面中，保留 Installation mode、Installed Namespace 和 Update Approval 的默认值。

   1. 对于 更新频道，请选择 Stable。
   2. 对于 Version，请选择 1.2.1 或更高版本。
7. 点 Install。

流程

1. 打开一个新的终端窗口。

2. 登录到 OpenShift 命令行界面(CLI)，如下所示：

   $ oc login <openshift_cluster_url> -u <username> -p <password>

   Copy to Clipboard Toggle word wrap

3. 创建一个命名空间来安装 Authorino 实例。

   $ oc new-project <namespace_for_authorino_instance>

   Copy to Clipboard Toggle word wrap
   注意

   自动安装过程为 Authorino 实例创建一个名为 redhat-ods-applications-auth-provider 的命名空间。考虑在手动安装时使用相同的命名空间名称。

4. 要在现有 OpenShift Service Mesh 实例中为 Authorino 实例注册新命名空间，请创建一个包含以下内容的新 YAML 文件：

   apiVersion: maistra.io/v1
   kind: ServiceMeshMember
   metadata:
     name: default
     namespace: <namespace_for_authorino_instance>
   spec:
     controlPlaneRef:
       namespace: <namespace_for_service_mesh_instance>
       name: <name_of_service_mesh_instance>

   Copy to Clipboard Toggle word wrap
5. 保存 YAML 文件。

6. 在集群中创建 ServiceMeshMember 资源。

   $ oc create -f <file_name>.yaml

   Copy to Clipboard Toggle word wrap

7. 要配置 Authorino 实例，请创建一个新的 YAML 文件，如下例所示：

   apiVersion: operator.authorino.kuadrant.io/v1beta1
   kind: Authorino
   metadata:
     name: authorino
     namespace: <namespace_for_authorino_instance>
   spec:
     authConfigLabelSelectors: security.opendatahub.io/authorization-group=default
     clusterWide: true
     listener:
       tls:
         enabled: false
     oidcServer:
       tls:
         enabled: false

   Copy to Clipboard Toggle word wrap
8. 保存 YAML 文件。

9. 在集群中创建 Authorino 资源。

   $ oc create -f <file_name>.yaml

   Copy to Clipboard Toggle word wrap

10. 对 Authorino 部署进行补丁以注入 Istio sidecar，这会使 OpenShift Service Mesh 实例的 Authorino 实例的一部分。

    $ oc patch deployment <name_of_authorino_instance> -n <namespace_for_authorino_instance> -p '{"spec": {"template":{"metadata":{"labels":{"sidecar.istio.io/inject":"true"}}}} }'

    Copy to Clipboard Toggle word wrap

流程

1. 在一个终端窗口中，如果您还没有以具有更新 OpenShift Service Mesh 实例的用户身份登录 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <username> -p <password>

   Copy to Clipboard Toggle word wrap

2. 创建包含以下内容的新 YAML 文件：

   spec:
    techPreview:
      meshConfig:
        extensionProviders:
        - name: redhat-ods-applications-auth-provider
          envoyExtAuthzGrpc:
            service: <name_of_authorino_instance>-authorino-authorization.<namespace_for_authorino_instance>.svc.cluster.local
            port: 50051

   Copy to Clipboard Toggle word wrap
3. 保存 YAML 文件。

4. 使用 oc patch 命令将 YAML 文件应用到 OpenShift Service Mesh 实例。

   $ oc patch smcp <name_of_service_mesh_instance> --type merge -n <namespace_for_service_mesh_instance> --patch-file <file_name>.yaml

   Copy to Clipboard Toggle word wrap
   重要

   只有在 OpenShift Service Mesh 实例中尚未指定其他扩展供应商时，才能应用显示的配置作为补丁。如果您已经指定了其他扩展供应商，则必须手动编辑 ServiceMeshControlPlane 资源来添加配置。

流程

1. 在一个终端窗口中，如果您还没有以具有更新 KServe 部署权限的用户身份登录 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <username> -p <password>

   Copy to Clipboard Toggle word wrap

2. 创建包含以下内容的新 YAML 文件：

   apiVersion: security.istio.io/v1beta1
   kind: AuthorizationPolicy
   metadata:
     name: kserve-predictor
   spec:
     action: CUSTOM
     provider:
        name: redhat-ods-applications-auth-provider 

   1

   
     rules:
        - to:
             - operation:
                  notPaths:
                     - /healthz
                     - /debug/pprof/
                     - /metrics
                     - /wait-for-drain
     selector:
        matchLabels:
           component: predictor

   Copy to Clipboard Toggle word wrap

   1

   您指定的名称必须与添加到 OpenShift Service Mesh 实例的扩展供应商名称匹配。

3. 保存 YAML 文件。

4. 在命名空间中为 OpenShift Service Mesh 实例创建 AuthorizationPolicy 资源。

   $ oc create -n <namespace_for_service_mesh_instance> -f <file_name>.yaml

   Copy to Clipboard Toggle word wrap

5. 创建包含以下内容的另一个新 YAML 文件：

   apiVersion: networking.istio.io/v1alpha3
   kind: EnvoyFilter
   metadata:
     name: activator-host-header
   spec:
     priority: 20
     workloadSelector:
       labels:
         component: predictor
     configPatches:
     - applyTo: HTTP_FILTER
       match:
         listener:
           filterChain:
             filter:
               name: envoy.filters.network.http_connection_manager
       patch:
         operation: INSERT_BEFORE
         value:
           name: envoy.filters.http.lua
           typed_config:
             '@type': type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua
             inlineCode: |
              function envoy_on_request(request_handle)
                 local headers = request_handle:headers()
                 if not headers then
                   return
                 end
                 local original_host = headers:get("k-original-host")
                 if original_host then
                   port_seperator = string.find(original_host, ":", 7)
                   if port_seperator then
                     original_host = string.sub(original_host, 0, port_seperator-1)
                   end
                   headers:replace('host', original_host)
                 end
               end

   Copy to Clipboard Toggle word wrap

   显示的 EnvoyFilter 资源持续将 HTTP 主机标头重置为最初包含在任何推销请求中的标头。

6. 在命名空间中为您的 OpenShift Service Mesh 实例创建 EnvoyFilter 资源。

   $ oc create -n <namespace_for_service_mesh_instance> -f <file_name>.yaml

   Copy to Clipboard Toggle word wrap