8.5. 在 OpenShift AI 组件中使用自签名证书

流程

1. 在一个终端窗口中，登录到 OpenShift CLI，如下例所示：

   oc login api.<cluster_name>.<cluster_domain>:6443 --web

   Copy to Clipboard Toggle word wrap

2. 检索当前的 OpenShift AI 可信 CA 配置，并将其存储在新文件中：

   oc get dscinitializations.dscinitialization.opendatahub.io default-dsci -o json | jq -r '.spec.trustedCABundle.customCABundle' > /tmp/my-custom-ca-bundles.crt

   Copy to Clipboard Toggle word wrap

3. 将集群的 kube-root-ca.crt ConfigMap 添加到 OpenShift AI 可信 CA 配置中：

   oc get configmap kube-root-ca.crt -o jsonpath="{['data']['ca\.crt']}" >> /tmp/my-custom-ca-bundles.crt

   Copy to Clipboard Toggle word wrap

4. 更新 OpenShift AI 可信 CA 配置，以信任 kube-root-ca.crt 中证书颁发机构发布的证书：

   oc patch dscinitialization default-dsci --type='json' -p='[{"op":"replace","path":"/spec/trustedCABundle/customCABundle","value":"'"$(awk '{printf "%s\\n", $0}' /tmp/my-custom-ca-bundles.crt)"'"}]'

   Copy to Clipboard Toggle word wrap

流程

1. 登录 OpenShift 控制台。

2. 在 Workloads ConfigMaps 中，在与目标数据科学管道相同的数据科学项目中创建带有所需捆绑包的 ConfigMap：

   kind: ConfigMap
   apiVersion: v1
   metadata:
       name: custom-ca-bundle
   data:
       ca-bundle.crt: |
       # contents of ca-bundle.crt

   Copy to Clipboard Toggle word wrap

3. 将以下代码片段添加到底层 Data Science Pipelines Application (DSPA) 的 .spec.apiserver.caBundle 字段中：

   apiVersion: datasciencepipelinesapplications.opendatahub.io/v1
   kind: DataSciencePipelinesApplication
   metadata:
       name: data-science-dspa
   spec:
       ...
       apiServer:
       ...
       cABundle:
           configMapName: custom-ca-bundle
           configMapKey: ca-bundle.crt

   Copy to Clipboard Toggle word wrap
4. 保存 ConfigMap。Pipeline 服务器 pod 使用更新的捆绑包自动重新部署。

1. 登录 OpenShift 控制台。
2. 进入具有目标数据科学管道的数据科学项目。
3. 点 Pods 选项卡。
4. 点带有 ds-pipeline-dspa-<hash > 前缀的管道服务器 pod。
5. 点 Terminal。
6. 输入 cat /dsp-custom-certs/dsp-ca.crt。
7. 验证您的 CA 捆绑包是否存在于此文件中。

流程

1. 登录 OpenShift 控制台。
2. 从项目列表中，打开 openshift-ingress 项目。
3. 点 YAML。
4. 搜索 "cert" 以查找带有 "cert" 的名称的 secret。例如，rhods-internal-primary-cert-bundle-secret。secret 的内容应包含用于所有 OpenShift 路由的两个项目： tls.cert （证书）和 tls.key （密钥）。
5. 复制对 secret 的引用。
6. 从项目列表中，打开 istio-system 项目。
7. 创建 YAML 文件，并粘贴对从 openshift-ingress YAML 文件复制的 secret 的引用。

8. 编辑 YAML 代码，使其仅保留相关内容，如下例所示。将 rhods-internal-primary-cert-bundle-secret 替换为 secret 的名称：

   kind: Secret
   apiVersion: v1
   metadata:
   name: rhods-internal-primary-cert-bundle-secret
   data:
   tls.crt: >-
       LS0tLS1CRUd...
   tls.key: >-
       LS0tLS1CRUd...
   type: kubernetes.io/tls

   Copy to Clipboard Toggle word wrap
9. 将 YAML 文件保存到 istio-system 项目中。
10. 导航到 Operators Installed Operators Red Hat OpenShift AI。
11. 点 Data Science Cluster*，然后点 default-dsc YAML。

12. 编辑 kserve 配置 部分以引用您的 secret，如下例所示。将 rhods-internal-primary-cert-bundle-secret 替换为在第 8 步中创建的 secret 的名称。

    kserve:
    devFlags: {}
    managementState: Managed
    serving:
        ingressGateway:
        certificate:
            secretName: rhods-internal-primary-cert-bundle-secret
            type: Provided
        managementState: Managed
        name: knative-serving

    Copy to Clipboard Toggle word wrap