第 7 章 配置受管和 hub 集群

步骤

1. 提取主受管集群的入口证书，并将输出保存到 primary.crt。

   $ oc get cm default-ingress-cert -n openshift-config-managed -o jsonpath="{['data']['ca-bundle\.crt']}" > primary.crt

2. 提取二级受管集群的入口证书，并将输出保存到 secondary.crt。

   $ oc get cm default-ingress-cert -n openshift-config-managed -o jsonpath="{['data']['ca-bundle\.crt']}" > secondary.crt

3. 在主受管集群, 二级受管集群, 和 Hub cluster 上创建一个新的 ConfigMap 用于保存远程集群的证书捆绑，其文件名为 cm-clusters-crt.yaml。

   注意

   如本示例文件所示，每个集群可能有超过三个证书。另外，请确保在从之前创建的 primary.crt 和 secondary.crt 文件中复制并粘贴后，证书内容会被正确缩进。

   apiVersion: v1
   data:
     ca-bundle.crt: |
       -----BEGIN CERTIFICATE-----
       <copy contents of cert1 from primary.crt here>
       -----END CERTIFICATE-----
   
       -----BEGIN CERTIFICATE-----
       <copy contents of cert2 from primary.crt here>
       -----END CERTIFICATE-----
   
       -----BEGIN CERTIFICATE-----
       <copy contents of cert3 primary.crt here>
       -----END CERTIFICATE----
   
       -----BEGIN CERTIFICATE-----
       <copy contents of cert1 from secondary.crt here>
       -----END CERTIFICATE-----
   
       -----BEGIN CERTIFICATE-----
       <copy contents of cert2 from secondary.crt here>
       -----END CERTIFICATE-----
   
       -----BEGIN CERTIFICATE-----
       <copy contents of cert3 from secondary.crt here>
       -----END CERTIFICATE-----
   kind: ConfigMap
   metadata:
     name: user-ca-bundle
     namespace: openshift-config

4. 在主受管集群、二级受管集群和 Hub 集群上创建 ConfigMap 文件。

   $ oc create -f cm-clusters-crt.yaml

   输出示例：

   configmap/user-ca-bundle created

   重要

   对于 Hub 集群，使用 DRPolicy 资源验证对象存储桶的访问权限，必须在 Hub 集群上创建相同的 ConfigMap cm-clusters-crt.yaml。

5. 对主受管集群、二级受管集群和 Hub 集群上的默认代理资源进行补丁。

   $ oc patch proxy cluster --type=merge  --patch='{"spec":{"trustedCA":{"name":"user-ca-bundle"}}}'

   输出示例：

   proxy.config.openshift.io/cluster patched