在断开连接的环境中安装和卸载 OpenShift AI Self-Managed

流程

1. 打开一个新的终端窗口。

2. 按照以下步骤，以集群管理员身份登录到 OpenShift 集群：

   1. 在 OpenShift Web 控制台右上角，单击您的用户名，然后选择 Copy login command。
   2. 登录后，单击 Display token。

   3. 使用此令牌命令复制登录，并将它粘贴到 OpenShift 命令行界面(CLI)中。

      $ oc login --token=<token> --server=<openshift_cluster_url>

3. 通过执行以下操作为 Operator 安装创建一个命名空间：

   1. 创建名为 rhods-operator-namespace.yaml 的命名空间 YAML 文件。

      apiVersion: v1
      kind: Namespace
      metadata:
        name: redhat-ods-operator 

      1

      1

      定义安装 Operator 所需的 redhat-ods-operator 命名空间。

   2. 在 OpenShift 集群中创建命名空间。

      $ oc create -f rhods-operator-namespace.yaml

      您会看到类似如下的输出：

      namespace/redhat-ods-operator created

4. 通过执行以下操作为 Operator 安装创建一个 operator 组：

   1. 创建一个 OperatorGroup 对象自定义资源 (CR) 文件，如 rhods-operator-group.yaml。

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: rhods-operator
        namespace: redhat-ods-operator 

      1

      1

      定义所需的 redhat-ods-operator 命名空间。

   2. 在 OpenShift 集群中创建 OperatorGroup 对象。

      $ oc create -f rhods-operator-group.yaml

      您会看到类似如下的输出：

      operatorgroup.operators.coreos.com/rhods-operator created

5. 通过执行以下操作为 Operator 安装创建订阅：

   1. 创建一个 Subscription 对象 CR 文件，如 rhods-operator-subscription.yaml。

      apiVersion: operators.coreos.com/v1alpha1
      kind: Subscription
      metadata:
        name: rhods-operator
        namespace: redhat-ods-operator 

      1

      
      spec:
        name: rhods-operator
        channel: <channel> 

      2

      
        source: cs-redhat-operator-index
        sourceNamespace: openshift-marketplace
        startingCSV: rhods-operator.x.y.z 

      3

      1

      定义所需的 redhat-ods-operator 命名空间。

      2

      设置更新频道。您必须指定 fast, stable ,stable -x.y eus-x.y eus-x.y, 或 alpha。如需更多信息，请参阅了解更新频道。

      3

      可选：设置 operator 版本。如果没有指定值，订阅默认为最新的 operator 版本。如需更多信息，请参阅 Red Hat OpenShift AI Self-Managed Life Cycle 知识库文章。

   2. 在 OpenShift 集群中创建 Subscription 对象来安装 Operator。

      $ oc create -f rhods-operator-subscription.yaml

      您会看到类似如下的输出：

      subscription.operators.coreos.com/rhods-operator created

流程

1. 以集群管理员身份登录 OpenShift Web 控制台。
2. 在 Web 控制台中，点 Operators → OperatorHub。
3. 在 OperatorHub 页面中，通过滚动浏览可用的 Operator 或在 Filter by keyword 框中输入 Red Hat OpenShift AI 来找到 Red Hat OpenShift AI。
4. 点 Red Hat OpenShift AI 标题。Red Hat OpenShift AI Information 窗格将打开。
5. 选择一个频道。有关订阅更新频道的详情，请参阅了解更新频道。
6. 选择 版本。
7. 点 Install。此时会打开 Install Operator 页面。
8. 根据需要查看或更改所选频道和版本。
9. 对于 Installation 模式，请注意唯一可用的值为 All namespaces on the cluster (default)。此安装模式使 Operator 可供集群中的所有命名空间使用。
10. 对于 Installed Namespace，选择 Operator recommended Namespace: redhat-ods-operator。

11. 对于 更新批准，请选择以下更新策略之一：

    • 自动 ：您的环境会尝试根据镜像的内容在可用时安装新的更新。

    • 手动 ：集群管理员必须在安装开始前批准任何新更新。

      重要

      默认情况下，Red Hat OpenShift AI Operator 遵循一个后续更新过程。这意味着，如果当前版本和目标版本之间存在多个版本，Operator Lifecycle Manager (OLM)会将 Operator 升级到每个中间版本，然后再将其升级到最终的目标版本。

      如果配置自动升级，OLM 会自动将 Operator 升级到 最新的可用版本。如果配置手动升级，集群管理员必须手动批准当前版本和最终目标版本之间的每个后续更新。

      有关支持的版本的详情，请查看 Red Hat OpenShift AI 生命周期 知识库文章。

12. 点 Install。

    此时会出现 Installing Operators 窗格。安装完成后，Operator 名称旁边会出现一个复选标记。

流程

1. 打开一个新的终端窗口。

2. 按照以下步骤，以集群管理员身份登录到 OpenShift 集群：

   1. 在 OpenShift Web 控制台右上角，单击您的用户名，然后选择 Copy login command。
   2. 登录后，单击 Display token。

   3. 使用此令牌命令复制登录，并将它粘贴到 OpenShift 命令行界面(CLI)中。

      $ oc login --token=<token> --server=<openshift_cluster_url>

3. 创建 DataScienceCluster 对象自定义资源 (CR) 文件，如 rhods-operator-dsc.yaml。

   apiVersion: datasciencecluster.opendatahub.io/v1
   kind: DataScienceCluster
   metadata:
     name: default-dsc
   spec:
     components:
       codeflare:
         managementState: Removed
       dashboard:
         managementState: Removed
       datasciencepipelines:
         managementState: Removed
       kserve:
         managementState: Removed 

   1

   2

   
       kueue:
         managementState: Removed
       modelmeshserving:
         managementState: Removed
       ray:
         managementState: Removed
       trainingoperator:
         managementState: Removed
       trustyai:
         managementState: Removed
       workbenches:
         managementState: Removed

   1

   要完全安装 KServe 组件（由单模型服务平台用来提供大型模型），您必须为 Red Hat OpenShift Service Mesh 和 Red Hat OpenShift Serverless 安装 Operator 并执行额外的配置。请参阅 安装单模式服务平台。

   2

   如果您还没有 启用 KServe 组件（即，将 managementState 字段设置为 Removed），还必须禁用依赖 Service Mesh 组件以避免错误。请参阅禁用 KServe 依赖项。

4. 在 CR 的 spec.components 部分中，对于所示的每个 OpenShift AI 组件，将 managementState 字段的值设置为 Managed 或 Removed。这些值定义如下：

   受管

   Operator 会主动管理组件，安装它，并尝试保持其活跃。只有在组件安全时，Operator 才会升级组件。

   删除

   Operator 会主动管理组件，但不安装它。如果组件已安装，Operator 将尝试将其删除。

   重要
   • 要了解如何完全安装 KServe 组件（由 single-model 服务平台用来为大型模型提供服务），请参阅安装单model 服务平台。
   • 如果您还没有 启用 KServe 组件（即，将 managementState 字段设置为 Removed），还必须禁用依赖 Service Mesh 组件以避免错误。请参阅禁用 KServe 依赖项。
   • 要了解如何安装分布式工作负载组件，请参阅安装分布式工作负载组件。
   • 要了解如何在断开连接的环境中运行分布式工作负载，请参阅 在断开连接的环境中运行分布式数据科学工作负载。

5. 在 OpenShift 集群中创建 DataScienceCluster 对象来安装指定的 OpenShift AI 组件。

   $ oc create -f rhods-operator-dsc.yaml

   您会看到类似如下的输出：

   datasciencecluster.datasciencecluster.opendatahub.io/default created

流程

1. 以集群管理员身份登录 OpenShift Web 控制台。
2. 在 Web 控制台中，点 Operators → Installed Operators，然后点 Red Hat OpenShift AI Operator。
3. 点 Data Science Cluster 选项卡。
4. 点 Create DataScienceCluster。

5. 对于 Configure via，选择 YAML view。

   嵌入式 YAML 编辑器会打开 DataScienceCluster 对象的默认自定义资源(CR)，如下例所示：

   apiVersion: datasciencecluster.opendatahub.io/v1
   kind: DataScienceCluster
   metadata:
     name: default-dsc
   spec:
     components:
       codeflare:
         managementState: Removed
       dashboard:
         managementState: Removed
       datasciencepipelines:
         managementState: Removed
       kserve:
         managementState: Removed 

   1

   2

   
       kueue:
         managementState: Removed
       modelmeshserving:
         managementState: Removed
       ray:
         managementState: Removed
       trainingoperator:
         managementState: Removed
       trustyai:
         managementState: Removed
       workbenches:
         managementState: Removed

   1

   要完全安装 KServe 组件（由单模型服务平台用来提供大型模型），您必须为 Red Hat OpenShift Service Mesh 和 Red Hat OpenShift Serverless 安装 Operator 并执行额外的配置。请参阅 安装单模式服务平台。

   2

   如果您还没有 启用 KServe 组件（即，将 managementState 字段设置为 Removed），还必须禁用依赖 Service Mesh 组件以避免错误。请参阅禁用 KServe 依赖项。

6. 在 CR 的 spec.components 部分中，对于所示的每个 OpenShift AI 组件，将 managementState 字段的值设置为 Managed 或 Removed。这些值定义如下：

   受管

   Operator 会主动管理组件，安装它，并尝试保持其活跃。只有在组件安全时，Operator 才会升级组件。

   删除

   Operator 会主动管理组件，但不安装它。如果组件已安装，Operator 将尝试将其删除。

   重要
   • 要了解如何完全安装 KServe 组件（由 single-model 服务平台用来为大型模型提供服务），请参阅安装单model 服务平台。
   • 如果您还没有 启用 KServe 组件（即，将 managementState 字段设置为 Removed），还必须禁用依赖 Service Mesh 组件以避免错误。请参阅禁用 KServe 依赖项。
   • 要了解如何安装分布式工作负载组件，请参阅安装分布式工作负载组件。
   • 要了解如何在断开连接的环境中运行分布式工作负载，请参阅 在断开连接的环境中运行分布式数据科学工作负载。
7. 点 Create。

流程

1. 以集群管理员身份登录 OpenShift Web 控制台。
2. 在 Web 控制台中，点 Operators → Installed Operators，然后点 Red Hat OpenShift AI Operator。
3. 点 Data Science Cluster 选项卡。
4. 在 DataScienceClusters 页面中，点 default 对象。

5. 点 YAML 标签。

   嵌入式 YAML 编辑器会打开显示 DataScienceCluster 对象的默认自定义资源(CR)，如下例所示：

   apiVersion: datasciencecluster.opendatahub.io/v1
   kind: DataScienceCluster
   metadata:
     name: default-dsc
   spec:
     components:
       codeflare:
         managementState: Removed
       dashboard:
         managementState: Removed
       datasciencepipelines:
         managementState: Removed
       kserve:
         managementState: Removed
       kueue:
         managementState: Removed
       modelmeshserving:
         managementState: Removed
       ray:
         managementState: Removed
       trainingoperator:
         managementState: Removed
       trustyai:
         managementState: Removed
       workbenches:
         managementState: Removed

6. 在 CR 的 spec.components 部分中，对于所示的每个 OpenShift AI 组件，将 managementState 字段的值设置为 Managed 或 Removed。这些值定义如下：

   受管

   Operator 会主动管理组件，安装它，并尝试保持其活跃。只有在组件安全时，Operator 才会升级组件。

   删除

   Operator 会主动管理组件，但不安装它。如果组件已安装，Operator 将尝试将其删除。

   重要
   • 要了解如何安装 KServe 组件（由单模式服务平台用来为大型模型提供服务），请参阅安装单model服务平台。
   • 如果您还没有 启用 KServe 组件（即，将 managementState 字段设置为 Removed），还必须禁用依赖 Service Mesh 组件以避免错误。请参阅禁用 KServe 依赖项。
   • 要了解如何安装分布式工作负载功能，请参阅安装分布式工作负载组件。
   • 要了解如何在断开连接的环境中运行分布式工作负载，请参阅 在断开连接的环境中运行分布式数据科学工作负载。

7. 点击 Save。

   对于您更新的任何组件，OpenShift AI 会启动一个推出影响所有 Pod 来使用更新的镜像。

流程

1. 在一个终端窗口中，如果您还没有以集群管理员登录到 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

2. 为 Red Hat OpenShift Service Mesh 创建所需的命名空间。

   $ oc create ns istio-system

   您会看到以下输出：

   namespace/istio-system created

3. 在名为 smcp.yaml 的 YAML 文件中定义一个 ServiceMeshControlPlane 对象，其内容如下：

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   metadata:
     name: minimal
     namespace: istio-system
   spec:
     tracing:
       type: None
     addons:
       grafana:
         enabled: false
       kiali:
         name: kiali
         enabled: false
       prometheus:
         enabled: false
       jaeger:
         name: jaeger
     security:
       dataPlane:
         mtls: true
       identity:
         type: ThirdParty
     techPreview:
       meshConfig:
         defaultConfig:
           terminationDrainDuration: 35s
     gateways:
       ingress:
         service:
           metadata:
             labels:
               knative: ingressgateway
     proxy:
       networking:
         trafficControl:
           inbound:
             excludedPorts:
               - 8444
               - 8022

   如需有关 YAML 文件中的值的更多信息，请参阅 Service Mesh control plane 配置参考。

4. 创建服务网格 control plane。

   $ oc apply -f smcp.yaml

流程

1. 在一个终端窗口中，如果您还没有以集群管理员登录到 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

2. 检查 Knative Serving 所需的项目（即 命名空间）是否已存在。

   $ oc get ns knative-serving

   如果项目存在，您会看到类似以下示例的输出：

   NAME              STATUS   AGE
   knative-serving   Active   4d20h

3. 如果 knative-serving 项目不存在，请创建它。

   $ oc create ns knative-serving

   您会看到以下输出：

   namespace/knative-serving created

4. 在名为 default-smm.yaml 的 YAML 文件中定义 ServiceMeshMember 对象，其内容如下：

   apiVersion: maistra.io/v1
   kind: ServiceMeshMember
   metadata:
     name: default
     namespace: knative-serving
   spec:
     controlPlaneRef:
       namespace: istio-system
       name: minimal

5. 在 istio-system 命名空间中创建 ServiceMeshMember 对象。

   $ oc apply -f default-smm.yaml

   您会看到以下输出：

   servicemeshmember.maistra.io/default created

6. 在名为 knativeserving-istio.yaml 的 YAML 文件中定义 KnativeServing 对象，其内容如下：

   apiVersion: operator.knative.dev/v1beta1
   kind: KnativeServing
   metadata:
     name: knative-serving
     namespace: knative-serving
     annotations:
       serverless.openshift.io/default-enable-http2: "true"
   spec:
     workloads:
       - name: net-istio-controller
         env:
           - container: controller
             envVars:
               - name: ENABLE_SECRET_INFORMER_FILTERING_BY_CERT_UID
                 value: 'true'
       - annotations:
           sidecar.istio.io/inject: "true" 

   1

   
           sidecar.istio.io/rewriteAppHTTPProbers: "true" 

   2

   
         name: activator
       - annotations:
           sidecar.istio.io/inject: "true"
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
         name: autoscaler
     ingress:
       istio:
         enabled: true
     config:
       features:
         kubernetes.podspec-affinity: enabled
         kubernetes.podspec-nodeselector: enabled
         kubernetes.podspec-tolerations: enabled

   前面的文件为 KnativeServing 对象定义自定义资源(CR)。CR 还为每个激活器和自动扩展 pod 添加以下操作：

   1

   将 Istio sidecar 注入 pod。这使得 pod 成为服务网格的一部分。

   2

   启用 Istio sidecar 为 pod 重写 HTTP 存活度和就绪度探测。

   注意

   如果为 Knative 服务配置自定义域，您可以使用 TLS 证书来保护映射的服务。要做到这一点，您必须创建一个 TLS secret，然后更新 DomainMapping CR 以使用您创建的 TLS secret。如需更多信息，请参阅 Red Hat OpenShift Serverless 文档中的使用 TLS 证书保护映射的服务。

7. 在指定的 knative-serving 命名空间中创建 KnativeServing 对象。

   $ oc apply -f knativeserving-istio.yaml

   您会看到以下输出：

   knativeserving.operator.knative.dev/knative-serving created

流程

1. 在一个终端窗口中，如果您还没有以集群管理员登录到 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

   重要

   如果您有自己的通配符证书和密钥在配置网关时指定，请跳至此步骤的第 11 步。

2. 设置环境变量，以定义为网关生成通配符证书和密钥的基础目录。

   $ export BASE_DIR=/tmp/kserve
   $ export BASE_CERT_DIR=${BASE_DIR}/certs

3. 设置环境变量以定义 OpenShift 集群的入口控制器使用的通用名称。

   $ export COMMON_NAME=$(oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}' | awk -F'.' '{print $(NF-1)"."$NF}')

4. 设置环境变量以定义 OpenShift 集群的入口控制器使用的域名。

   $ export DOMAIN_NAME=$(oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}')

5. 根据之前设置的环境变量，为证书生成创建所需的基础目录。

   $ mkdir ${BASE_DIR}
   $ mkdir ${BASE_CERT_DIR}

6. 为生成通配符证书创建 OpenSSL 配置。

   $ cat <<EOF> ${BASE_DIR}/openssl-san.config
   [ req ]
   distinguished_name = req
   [ san ]
   subjectAltName = DNS:*.${DOMAIN_NAME}
   EOF

7. 生成 root 证书。

   $ openssl req -x509 -sha256 -nodes -days 3650 -newkey rsa:2048 \
   -subj "/O=Example Inc./CN=${COMMON_NAME}" \
   -keyout ${BASE_CERT_DIR}/root.key \
   -out ${BASE_CERT_DIR}/root.crt

8. 生成由 root 证书签名的通配符证书。

   $ openssl req -x509 -newkey rsa:2048 \
   -sha256 -days 3560 -nodes \
   -subj "/CN=${COMMON_NAME}/O=Example Inc." \
   -extensions san -config ${BASE_DIR}/openssl-san.config \
   -CA ${BASE_CERT_DIR}/root.crt \
   -CAkey ${BASE_CERT_DIR}/root.key \
   -keyout ${BASE_CERT_DIR}/wildcard.key  \
   -out ${BASE_CERT_DIR}/wildcard.crt
   
   $ openssl x509 -in ${BASE_CERT_DIR}/wildcard.crt -text

9. 验证通配符证书。

   $ openssl verify -CAfile ${BASE_CERT_DIR}/root.crt ${BASE_CERT_DIR}/wildcard.crt

10. 将脚本创建的通配符密钥和证书导出到新的环境变量。

    $ export TARGET_CUSTOM_CERT=${BASE_CERT_DIR}/wildcard.crt
    $ export TARGET_CUSTOM_KEY=${BASE_CERT_DIR}/wildcard.key

11. 可选： 要将 您自己的 通配符密钥和证书导出到新环境变量，请输入以下命令：

    $ export TARGET_CUSTOM_CERT=<path_to_certificate>
    $ export TARGET_CUSTOM_KEY=<path_to_key>

    注意

    在您提供的证书中，您必须指定 OpenShift 集群的入口控制器使用的域名。您可以运行以下命令来检查这个值：

    $ oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}'

12. 使用您为通配符证书和密钥设置的环境变量，在 istio-system 命名空间中创建 TLS secret。

    $ oc create secret tls wildcard-certs --cert=${TARGET_CUSTOM_CERT} --key=${TARGET_CUSTOM_KEY} -n istio-system

13. 使用以下内容创建 gateways.yaml YAML 文件：

    apiVersion: v1
    kind: Service 

    1

    
    metadata:
      labels:
        experimental.istio.io/disable-gateway-port-translation: "true"
      name: knative-local-gateway
      namespace: istio-system
    spec:
      ports:
        - name: http2
          port: 80
          protocol: TCP
          targetPort: 8081
      selector:
        knative: ingressgateway
      type: ClusterIP
    ---
    apiVersion: networking.istio.io/v1beta1
    kind: Gateway
    metadata:
      name: knative-ingress-gateway 

    2

    
      namespace: knative-serving
    spec:
      selector:
        knative: ingressgateway
      servers:
        - hosts:
            - '*'
          port:
            name: https
            number: 443
            protocol: HTTPS
          tls:
            credentialName: wildcard-certs
            mode: SIMPLE
    ---
    apiVersion: networking.istio.io/v1beta1
    kind: Gateway
    metadata:
     name: knative-local-gateway 

    3

    
     namespace: knative-serving
    spec:
     selector:
       knative: ingressgateway
     servers:
       - port:
           number: 8081
           name: https
           protocol: HTTPS
         tls:
           mode: ISTIO_MUTUAL
         hosts:
           - "*"

    1

    在 istio-system 命名空间中为 Knative 本地网关定义服务。

    2

    在 knative-serving 命名空间中 定义一个入口网关。网关使用您在此流程前面创建的 TLS secret。入口网关处理 Knative 的外部流量。

    3

    在 knative-serving 命名空间中为 Knative 定义本地网关。

14. 应用 gateways.yaml 文件来创建定义的资源。

    $ oc apply -f gateways.yaml

    您会看到以下输出：

    service/knative-local-gateway created
    gateway.networking.istio.io/knative-ingress-gateway created
    gateway.networking.istio.io/knative-local-gateway created

流程

1. 以集群管理员身份登录 OpenShift Web 控制台。
2. 在 Web 控制台中，点 Operators → Installed Operators，然后点 Red Hat OpenShift AI Operator。

3. 要安装 KServe，请按如下所示配置 OpenShift Service Mesh 组件：

   1. 点 DSC 初始化选项卡。
   2. 点 default-dsci 对象。
   3. 点 YAML 标签。

   4. 在 spec 部分，添加和配置 serviceMesh 组件，如下所示：

      spec:
       serviceMesh:
         managementState: Unmanaged

   5. 点击 Save。

4. 要安装 KServe，请配置 KServe 和 OpenShift Serverless 组件，如下所示：

   1. 在 Web 控制台中，点 Operators → Installed Operators，然后点 Red Hat OpenShift AI Operator。
   2. 点 Data Science Cluster 选项卡。
   3. 单击 default-dsc DSC 对象。
   4. 点 YAML 标签。

   5. 在 spec.components 部分中，配置 kserve 组件，如下所示：

      spec:
       components:
         kserve:
           managementState: Managed

   6. 在 kserve 组件中，添加 服务组件 并配置它，如下所示：

      spec:
       components:
         kserve:
           managementState: Managed
           serving:
             managementState: Unmanaged

   7. 点击 Save。

流程

1. 以集群管理员身份登录 OpenShift Web 控制台。
2. 在 Web 控制台中，点 Operators → Installed Operators，然后点 Red Hat OpenShift AI Operator。

3. 禁用 OpenShift Service Mesh 组件，如下所示：

   1. 点 DSC 初始化选项卡。
   2. 点 default-dsci 对象。
   3. 点 YAML 标签。

   4. 在 spec 部分中，添加 serviceMesh 组件（如果还没有存在），并配置 managementState 字段，如下所示：

      spec:
       serviceMesh:
         managementState: Removed

   5. 点击 Save。

验证

1. 在 Web 控制台中，点 Operators → Installed Operators，然后点 Red Hat OpenShift AI Operator。

   Operator 详情页面将打开。

2. 在 Conditions 部分中，确认没有 ReconcileComplete 条件，状态为 Unknown。

流程

1. 以集群管理员身份登录 OpenShift Web 控制台。
2. 在 Web 控制台中，点 Operators → OperatorHub。
3. 在 OperatorHub 页面上，在 Filter by keyword 字段中键入 Red Hat - Authorino。
4. 点 Red Hat - Authorino Operator。
5. 在 Red Hat - Authorino Operator 页面中，查看 Operator 信息，然后点 Install。
6. 在 Install Operator 页面中，保留 Update channel,Version,Installation mode,Installed Namespace 和 Update Approval 的默认值。
7. 点 Install。

流程

1. 打开一个新的终端窗口。

2. 登录到 OpenShift 命令行界面(CLI)，如下所示：

   $ oc login <openshift_cluster_url> -u <username> -p <password>

3. 创建一个命名空间来安装 Authorino 实例。

   $ oc new-project <namespace_for_authorino_instance>

   注意

   自动安装过程为 Authorino 实例创建一个名为 redhat-ods-applications-auth-provider 的命名空间。考虑在手动安装时使用相同的命名空间名称。

4. 要在现有 OpenShift Service Mesh 实例中为 Authorino 实例注册新命名空间，请创建一个包含以下内容的新 YAML 文件：

     apiVersion: maistra.io/v1
     kind: ServiceMeshMember
     metadata:
       name: default
       namespace: <namespace_for_authorino_instance>
     spec:
       controlPlaneRef:
         namespace: <namespace_for_service_mesh_instance>
         name: <name_of_service_mesh_instance>

5. 保存 YAML 文件。

6. 在集群中创建 ServiceMeshMember 资源。

   $ oc create -f <file_name>.yaml

7. 要配置 Authorino 实例，请创建一个新的 YAML 文件，如下例所示：

     apiVersion: operator.authorino.kuadrant.io/v1beta1
     kind: Authorino
     metadata:
       name: authorino
       namespace: <namespace_for_authorino_instance>
     spec:
       authConfigLabelSelectors: security.opendatahub.io/authorization-group=default
       clusterWide: true
       listener:
         tls:
           enabled: false
       oidcServer:
         tls:
           enabled: false

8. 保存 YAML 文件。

9. 在集群中创建 Authorino 资源。

   $ oc create -f <file_name>.yaml

10. 对 Authorino 部署进行补丁以注入 Istio sidecar，这会使 OpenShift Service Mesh 实例的 Authorino 实例的一部分。

    $ oc patch deployment <name_of_authorino_instance> -n <namespace_for_authorino_instance> -p '{"spec": {"template":{"metadata":{"labels":{"sidecar.istio.io/inject":"true"}}}} }'

流程

1. 在一个终端窗口中，如果您还没有以具有更新 OpenShift Service Mesh 实例的用户身份登录 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <username> -p <password>

2. 创建包含以下内容的新 YAML 文件：

   spec:
    techPreview:
      meshConfig:
        extensionProviders:
        - name: redhat-ods-applications-auth-provider
          envoyExtAuthzGrpc:
            service: <name_of_authorino_instance>-authorino-authorization.<namespace_for_authorino_instance>.svc.cluster.local
            port: 50051

3. 保存 YAML 文件。

4. 使用 oc patch 命令将 YAML 文件应用到 OpenShift Service Mesh 实例。

   $ oc patch smcp <name_of_service_mesh_instance> --type merge -n <namespace_for_service_mesh_instance> --patch-file <file_name>.yaml

   重要

   只有在 OpenShift Service Mesh 实例中尚未指定其他扩展供应商时，才能应用显示的配置作为补丁。如果您已经指定了其他扩展供应商，则必须手动编辑 ServiceMeshControlPlane 资源来添加配置。

流程

1. 在一个终端窗口中，如果您还没有以具有更新 KServe 部署权限的用户身份登录 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <username> -p <password>

2. 创建包含以下内容的新 YAML 文件：

   apiVersion: security.istio.io/v1beta1
   kind: AuthorizationPolicy
   metadata:
     name: kserve-predictor
   spec:
     action: CUSTOM
     provider:
        name: redhat-ods-applications-auth-provider 

   1

   
     rules:
        - to:
             - operation:
                  notPaths:
                     - /healthz
                     - /debug/pprof/
                     - /metrics
                     - /wait-for-drain
     selector:
        matchLabels:
           component: predictor

   1

   您指定的名称必须与添加到 OpenShift Service Mesh 实例的扩展供应商名称匹配。

3. 保存 YAML 文件。

4. 在命名空间中为 OpenShift Service Mesh 实例创建 AuthorizationPolicy 资源。

   $ oc create -n <namespace_for_service_mesh_instance> -f <file_name>.yaml

5. 创建包含以下内容的另一个新 YAML 文件：

   apiVersion: networking.istio.io/v1alpha3
   kind: EnvoyFilter
   metadata:
     name: activator-host-header
   spec:
     priority: 20
     workloadSelector:
       labels:
         component: predictor
     configPatches:
     - applyTo: HTTP_FILTER
       match:
         listener:
           filterChain:
             filter:
               name: envoy.filters.network.http_connection_manager
       patch:
         operation: INSERT_BEFORE
         value:
           name: envoy.filters.http.lua
           typed_config:
             '@type': type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua
             inlineCode: |
              function envoy_on_request(request_handle)
                 local headers = request_handle:headers()
                 if not headers then
                   return
                 end
                 local original_host = headers:get("k-original-host")
                 if original_host then
                   port_seperator = string.find(original_host, ":", 7)
                   if port_seperator then
                     original_host = string.sub(original_host, 0, port_seperator-1)
                   end
                   headers:replace('host', original_host)
                 end
               end

   显示的 EnvoyFilter 资源持续将 HTTP 主机标头重置为最初包含在任何推销请求中的标头。

6. 在命名空间中为您的 OpenShift Service Mesh 实例创建 EnvoyFilter 资源。

   $ oc create -n <namespace_for_service_mesh_instance> -f <file_name>.yaml

1. 登录到 OpenShift CLI。

2. 运行以下命令:

   oc get pods -l name=rhods-operator -o name -n redhat-ods-operator |  xargs -I {} oc logs -f {} -n redhat-ods-operator

   Operator pod 日志将打开。