3.3. 手动安装 KServe

步骤

1. 在终端窗口中，如果您还没有以集群管理员身份登录到 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

   Copy to Clipboard Toggle word wrap

2. 为 Red Hat OpenShift Service Mesh 创建所需的命名空间。

   $ oc create ns istio-system

   Copy to Clipboard Toggle word wrap

   您会看到以下输出：

   namespace/istio-system created

   Copy to Clipboard Toggle word wrap

3. 在名为 smcp.yaml 的 YAML 文件中定义 ServiceMeshControlPlane 对象，其内容如下：

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   metadata:
     name: minimal
     namespace: istio-system
   spec:
     tracing:
       type: None
     addons:
       grafana:
         enabled: false
       kiali:
         name: kiali
         enabled: false
       prometheus:
         enabled: false
       jaeger:
         name: jaeger
     security:
       dataPlane:
         mtls: true
       identity:
         type: ThirdParty
     techPreview:
       meshConfig:
         defaultConfig:
           terminationDrainDuration: 35s
     gateways:
       ingress:
         service:
           metadata:
             labels:
               knative: ingressgateway
     proxy:
       networking:
         trafficControl:
           inbound:
             excludedPorts:
               - 8444
               - 8022

   Copy to Clipboard Toggle word wrap

   如需有关 YAML 文件中值的更多信息，请参阅 Service Mesh control plane 配置参考。

4. 创建服务网格 control plane。

   $ oc apply -f smcp.yaml

   Copy to Clipboard Toggle word wrap

步骤

1. 在终端窗口中，如果您还没有以集群管理员身份登录到 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

   Copy to Clipboard Toggle word wrap

2. 检查 Knative Serving 所需的项目（即 命名空间）是否已存在。

   $ oc get ns knative-serving

   Copy to Clipboard Toggle word wrap

   如果项目存在，您会看到类似以下示例的输出：

   NAME              STATUS   AGE
   knative-serving   Active   4d20h

   Copy to Clipboard Toggle word wrap

3. 如果 knative-serving 项目不存在，请创建它。

   $ oc create ns knative-serving

   Copy to Clipboard Toggle word wrap

   您会看到以下输出：

   namespace/knative-serving created

   Copy to Clipboard Toggle word wrap

4. 在名为 default-smm.yaml 的 YAML 文件中定义 ServiceMeshMember 对象，其内容如下：

   apiVersion: maistra.io/v1
   kind: ServiceMeshMember
   metadata:
     name: default
     namespace: knative-serving
   spec:
     controlPlaneRef:
       namespace: istio-system
       name: minimal

   Copy to Clipboard Toggle word wrap

5. 在 istio-system 命名空间中创建 ServiceMeshMember 对象。

   $ oc apply -f default-smm.yaml

   Copy to Clipboard Toggle word wrap

   您会看到以下输出：

   servicemeshmember.maistra.io/default created

   Copy to Clipboard Toggle word wrap

6. 在名为 knativeserving-istio.yaml 的 YAML 文件中定义 KnativeServing 对象，其内容如下：

   apiVersion: operator.knative.dev/v1beta1
   kind: KnativeServing
   metadata:
     name: knative-serving
     namespace: knative-serving
     annotations:
       serverless.openshift.io/default-enable-http2: "true"
   spec:
     workloads:
       - name: net-istio-controller
         env:
           - container: controller
             envVars:
               - name: ENABLE_SECRET_INFORMER_FILTERING_BY_CERT_UID
                 value: 'true'
       - annotations:
           sidecar.istio.io/inject: "true" 

   1

   
           sidecar.istio.io/rewriteAppHTTPProbers: "true" 

   2

   
         name: activator
       - annotations:
           sidecar.istio.io/inject: "true"
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
         name: autoscaler
     ingress:
       istio:
         enabled: true
     config:
       features:
         kubernetes.podspec-affinity: enabled
         kubernetes.podspec-nodeselector: enabled
         kubernetes.podspec-tolerations: enabled

   Copy to Clipboard Toggle word wrap

   前面的文件为 KnativeServing 对象定义自定义资源(CR)。CR 还为每个激活器和自动扩展 pod 添加以下操作：

   1

   将 Istio sidecar 注入 pod。这使得 pod 成为服务网格的一部分。

   2

   启用 Istio sidecar 为 pod 重写 HTTP 存活度和就绪度探测。

   注意

   如果为 Knative 服务配置自定义域，您可以使用 TLS 证书来保护映射的服务。要做到这一点，您必须创建一个 TLS secret，然后更新 DomainMapping CR 以使用您创建的 TLS secret。如需更多信息，请参阅 Red Hat OpenShift Serverless 文档中的使用 TLS 证书保护映射的服务。

7. 在指定的 knative-serving 命名空间中创建 KnativeServing 对象。

   $ oc apply -f knativeserving-istio.yaml

   Copy to Clipboard Toggle word wrap

   您会看到以下输出：

   knativeserving.operator.knative.dev/knative-serving created

   Copy to Clipboard Toggle word wrap

步骤

1. 在终端窗口中，如果您还没有以集群管理员身份登录到 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

   Copy to Clipboard Toggle word wrap
   重要

   如果您有自己的通配符证书和密钥在配置网关时指定，请跳至此流程的第 11 步。

2. 设置环境变量，以定义用于为网关生成通配符证书和密钥的基础目录。

   $ export BASE_DIR=/tmp/kserve
   $ export BASE_CERT_DIR=${BASE_DIR}/certs

   Copy to Clipboard Toggle word wrap

3. 设置环境变量，以定义 OpenShift 集群的入口控制器使用的通用名称。

   $ export COMMON_NAME=$(oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}' | awk -F'.' '{print $(NF-1)"."$NF}')

   Copy to Clipboard Toggle word wrap

4. 设置环境变量，以定义 OpenShift 集群的入口控制器使用的域名。

   $ export DOMAIN_NAME=$(oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}')

   Copy to Clipboard Toggle word wrap

5. 根据之前设置的环境变量，为证书生成创建所需的基础目录。

   $ mkdir ${BASE_DIR}
   $ mkdir ${BASE_CERT_DIR}

   Copy to Clipboard Toggle word wrap

6. 创建用于生成通配符证书的 OpenSSL 配置。

   $ cat <<EOF> ${BASE_DIR}/openssl-san.config
   [ req ]
   distinguished_name = req
   [ san ]
   subjectAltName = DNS:*.${DOMAIN_NAME}
   EOF

   Copy to Clipboard Toggle word wrap

7. 生成 root 证书。

   $ openssl req -x509 -sha256 -nodes -days 3650 -newkey rsa:2048 \
   -subj "/O=Example Inc./CN=${COMMON_NAME}" \
   -keyout $BASE_DIR/root.key \
   -out $BASE_DIR/root.crt

   Copy to Clipboard Toggle word wrap

8. 生成由 root 证书签名的通配符证书。

   $ openssl req -x509 -newkey rsa:2048 \
   -sha256 -days 3560 -nodes \
   -subj "/CN=${COMMON_NAME}/O=Example Inc." \
   -extensions san -config ${BASE_DIR}/openssl-san.config \
   -CA $BASE_DIR/root.crt \
   -CAkey $BASE_DIR/root.key \
   -keyout $BASE_DIR/wildcard.key  \
   -out $BASE_DIR/wildcard.crt
   
   $ openssl x509 -in ${BASE_DIR}/wildcard.crt -text

   Copy to Clipboard Toggle word wrap

9. 验证通配符证书。

   $ openssl verify -CAfile ${BASE_DIR}/root.crt ${BASE_DIR}/wildcard.crt

   Copy to Clipboard Toggle word wrap

10. 将脚本创建的通配符密钥和证书导出到新环境变量。

    $ export TARGET_CUSTOM_CERT=${BASE_CERT_DIR}/wildcard.crt
    $ export TARGET_CUSTOM_KEY=${BASE_CERT_DIR}/wildcard.key

    Copy to Clipboard Toggle word wrap

11. 可选： 要将 自己的 通配符密钥和证书导出到新环境变量，请输入以下命令：

    $ export TARGET_CUSTOM_CERT=<path_to_certificate>
    $ export TARGET_CUSTOM_KEY=<path_to_key>

    Copy to Clipboard Toggle word wrap
    注意

    在您提供的证书中，您必须指定 OpenShift 集群的 ingress 控制器使用的域名。您可以运行以下命令来检查这个值：

    $ oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}'

12. 使用您为通配符证书和密钥设置的环境变量在 istio-system 命名空间中创建 TLS secret。

    $ oc create secret tls wildcard-certs --cert=${TARGET_CUSTOM_CERT} --key=${TARGET_CUSTOM_KEY} -n istio-system

    Copy to Clipboard Toggle word wrap

13. 使用以下内容创建一个 gateways.yaml YAML 文件：

    apiVersion: v1
    kind: Service 

    1

    
    metadata:
      labels:
        experimental.istio.io/disable-gateway-port-translation: "true"
      name: knative-local-gateway
      namespace: istio-system
    spec:
      ports:
        - name: http2
          port: 80
          protocol: TCP
          targetPort: 8081
      selector:
        knative: ingressgateway
      type: ClusterIP
    ---
    apiVersion: networking.istio.io/v1beta1
    kind: Gateway
    metadata:
      name: knative-ingress-gateway 

    2

    
      namespace: knative-serving
    spec:
      selector:
        knative: ingressgateway
      servers:
        - hosts:
            - '*'
          port:
            name: https
            number: 443
            protocol: HTTPS
          tls:
            credentialName: wildcard-certs
            mode: SIMPLE
    ---
    apiVersion: networking.istio.io/v1beta1
    kind: Gateway
    metadata:
     name: knative-local-gateway 

    3

    
     namespace: knative-serving
    spec:
     selector:
       knative: ingressgateway
     servers:
       - port:
           number: 8081
           name: https
           protocol: HTTPS
         tls:
           mode: ISTIO_MUTUAL
         hosts:
           - "*"

    Copy to Clipboard Toggle word wrap

    1

    为 Knative 本地网关在 istio-system 命名空间中定义一个服务。

    2

    在 knative-serving 命名空间中 定义一个入口网关。网关使用您此流程前面创建的 TLS secret。入口网关处理到 Knative 的外部流量。

    3

    在 knative-serving 命名空间中为 Knative 定义本地网关。

14. 应用 gateways.yaml 文件以创建定义的资源。

    $ oc apply -f gateways.yaml

    Copy to Clipboard Toggle word wrap

    您会看到以下输出：

    service/knative-local-gateway created
    gateway.networking.istio.io/knative-ingress-gateway created
    gateway.networking.istio.io/knative-local-gateway created

    Copy to Clipboard Toggle word wrap