使用 Amazon Web Services 部署 OpenShift Data Foundation

流程

1. 登录 OpenShift Web 控制台。
2. 点 Operators → OperatorHub。
3. 在 Filter by keyword 框中滚动或键入 OpenShift Data Foundation，以查找 OpenShift Data Foundation Operator。
4. 单击 Install。

5. 在 Install Operator 页面中设置以下选项：

   1. 将 Channel 更新为 stable-4.17。
   2. Installation Mode 为 A specific namespace on the cluster。
   3. Installed Namespace 为 Operator recommended namespace openshift-storage。如果 Namespace openshift-storage 不存在，它会在 Operator 安装过程中创建。

   4. 将 Approval Strategy 选为 Automatic 或 Manual。

      如果选择 Automatic 更新，Operator Lifecycle Manager (OLM)将自动升级 Operator 的运行实例，而无需任何干预。

      如果选择 手动 更新，则 OLM 会创建一个更新请求。作为集群管理员，您必须手动批准该更新请求，才能将 Operator 更新至更新的版本。

   5. 确保为 Console 插件 选择了 Enable 选项。
   6. 单击 Install。

流程

1. 在密码库中启用 Key/Value (KV)后端路径。

   对于 vault KV secret 引擎 API，版本 1：

   $ vault secrets enable -path=odf kv

   对于 vault KV secret 引擎 API，版本 2：

   $ vault secrets enable -path=odf kv-v2

2. 创建策略来限制用户对 secret 执行写入或删除操作：

   echo '
   path "odf/*" {
     capabilities = ["create", "read", "update", "delete", "list"]
   }
   path "sys/mounts" {
   capabilities = ["read"]
   }'| vault policy write odf -

3. 创建与上述策略匹配的令牌：

   $ vault token create -policy=odf -format json

流程

1. 创建服务帐户：

   $ oc -n openshift-storage create serviceaccount <serviceaccount_name>

   其中，<serviceaccount_name > 指定服务帐户的名称。

   例如：

   $ oc -n openshift-storage create serviceaccount odf-vault-auth

2. 创建 clusterrolebindings 和 clusterroles ：

   $ oc -n openshift-storage create clusterrolebinding vault-tokenreview-binding --clusterrole=system:auth-delegator --serviceaccount=openshift-storage:_<serviceaccount_name>_

   例如：

   $ oc -n openshift-storage create clusterrolebinding vault-tokenreview-binding --clusterrole=system:auth-delegator --serviceaccount=openshift-storage:odf-vault-auth

3. 为 serviceaccount 令牌和 CA 证书创建 secret。

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: Secret
   metadata:
     name: odf-vault-auth-token
     namespace: openshift-storage
     annotations:
       kubernetes.io/service-account.name: <serviceaccount_name>
   type: kubernetes.io/service-account-token
   data: {}
   EOF

   其中，<serviceaccount_name > 是上一步中创建的服务帐户。

4. 从 secret 获取令牌和 CA 证书。

   $ SA_JWT_TOKEN=$(oc -n openshift-storage get secret odf-vault-auth-token -o jsonpath="{.data['token']}" | base64 --decode; echo)
   $ SA_CA_CRT=$(oc -n openshift-storage get secret odf-vault-auth-token -o jsonpath="{.data['ca\.crt']}" | base64 --decode; echo)

5. 检索 OCP 集群端点。

   $ OCP_HOST=$(oc config view --minify --flatten -o jsonpath="{.clusters[0].cluster.server}")

6. 获取服务帐户签发者：

   $ oc proxy &
   $ proxy_pid=$!
   $ issuer="$( curl --silent http://127.0.0.1:8001/.well-known/openid-configuration | jq -r .issuer)"
   $ kill $proxy_pid

7. 使用上一步中收集的信息在 Vault 中设置 Kubernetes 验证方法：

   $ vault auth enable kubernetes

   $ vault write auth/kubernetes/config \
             token_reviewer_jwt="$SA_JWT_TOKEN" \
             kubernetes_host="$OCP_HOST" \
             kubernetes_ca_cert="$SA_CA_CRT" \
             issuer="$issuer"

   重要

   当签发者为空时，在 Vault 中配置 Kubernetes 验证方法：

   $ vault write auth/kubernetes/config \
             token_reviewer_jwt="$SA_JWT_TOKEN" \
             kubernetes_host="$OCP_HOST" \
             kubernetes_ca_cert="$SA_CA_CRT"

8. 在 Vault 中启用 Key/Value (KV)后端路径。

   对于 Vault KV secret 引擎 API，版本 1：

   $ vault secrets enable -path=odf kv

   对于 Vault KV secret 引擎 API，版本 2：

   $ vault secrets enable -path=odf kv-v2

9. 创建策略来限制用户对 secret 执行写入或删除操作 ：

   echo '
   path "odf/*" {
     capabilities = ["create", "read", "update", "delete", "list"]
   }
   path "sys/mounts" {
   capabilities = ["read"]
   }'| vault policy write odf -

10. 生成角色：

    $ vault write auth/kubernetes/role/odf-rook-ceph-op \
            bound_service_account_names=rook-ceph-system,rook-ceph-osd,noobaa \
            bound_service_account_namespaces=openshift-storage \
            policies=odf \
            ttl=1440h

    在创建存储系统期间配置 KMS 连接详情时，稍后使用角色 odf-rook-ceph-op。

    $ vault write auth/kubernetes/role/odf-rook-ceph-osd \
            bound_service_account_names=rook-ceph-osd \
            bound_service_account_namespaces=openshift-storage \
            policies=odf \
            ttl=1440h

流程

1. 在 OpenShift Web 控制台中，点 Operators → Installed Operators 查看所有已安装的 Operator。

   确保所选 项目为 openshift-storage。

2. 单击 OpenShift Data Foundation 操作器，然后单击 Create StorageSystem。

3. 在 Backing storage 页面中，选择以下内容：

   1. 为 Deployment 类型选项选择 Full Deployment 。
   2. 选择 Use a existing StorageClass 选项。

   3. 选择 Storage Class。

      从 OpenShift Data Foundation 版本 4.12 开始，您可以选择 gp2-csi 或 gp3-csi 作为存储类。

   4. 可选： 选择 Use external PostgreSQL 复选框以使用外部 PostgreSQL [技术预览]。

      这为多云对象网关提供了高可用性解决方案，其中 PostgreSQL pod 是单点故障。

      1. 提供以下连接详情：

         • userName
         • 密码
         • 服务器 名称和端口
         • 数据库名称
      2. 选中 Enable TLS/SSL 复选框，为 Postgres 服务器启用加密。
   5. 单击下一步。

4. 在 Capacity and nodes 页面中，提供必要的信息：

   1. 从下拉列表中选择 Requested Capacity 的值。默认设置为 2 TiB。

      注意

      选择初始存储容量后，集群扩展将使用所选的可用容量（原始存储的三倍）执行。

   2. 在 Select Nodes 部分中，选择至少三个可用的节点。

   3. 在 Configure performance 部分中，选择以下性能配置集之一：

      • Swant

        在资源受限环境中使用它，其最少资源低于建议。此配置集通过分配较少的 CPU 和较少的内存来最小化资源消耗。

      • balanced （默认）

        当有建议的资源可用时，请使用此选项。此配置集提供不同工作负载的资源消耗和性能之间的平衡。

      • 性能

        在具有足够资源的环境中使用此方法获得最佳性能。通过分配 ample 内存和 CPU 来确保最佳执行要求的工作负载，以此为高性能量身定制此配置集。

        注意

        即使使用 StorageSystems 选项卡的选项菜单中的 Configure performance 选项，您也可以在部署后配置性能配置集。

        重要

        在选择资源配置集前，请确保检查集群中资源的当前可用性。在资源不足的集群中选择更高的资源配置集可能会导致安装失败。

        有关资源要求的更多信息，请参阅 性能配置集的资源要求。

   4. 可选：选择 Taint nodes 复选框，将所选节点专用于 OpenShift Data Foundation。

      对于具有多个可用区的云平台，请确保节点分散到不同的位置/可用性区域。

      如果选择的节点与聚合的 30 个 CPU 和 72 GiB RAM 的 OpenShift Data Foundation 集群要求不匹配，则会部署一个最小的集群。如需最低起始节点要求，请参阅规划指南中的 资源要求部分。

   5. 单击下一步。

5. 可选：在 Security and network 页面中，根据您的要求进行配置：

   1. 要启用加密，可选择 为块和文件存储启用数据加密。

      1. 选择一个或多个加密级别：

         • 集群范围的加密

           加密整个集群（块和文件）。

         • StorageClass 加密

           使用启用加密的存储类创建加密的持久性卷（仅限块）。

      2. 可选： 选择 Connect to an external key management service 复选框。对于集群范围的加密，这是可选的。

         1. 在 Key Management Service Provider 下拉列表中选择以下供应商之一并提供所需的详情：

            • Vault

              1. 选择 身份验证方法。

                 • 使用令牌验证方法

                   • 输入唯一的连接名称，即 Vault 服务器的主机地址 ('https://<hostname 或 ip>')、端口号和 Token。

                   • 展开 Advanced Settings，以根据您的 Vault 配置输入额外的设置和证书详情：

                     • 在 后端路径中输入为 OpenShift Data Foundation 专用 且唯一的 Key Value secret 路径。
                   • 可选：输入 TLS Server Name 和 Vault Enterprise Namespace。
                   • 上传对应的 PEM 编码证书文件，以提供 CA 证书、客户端证书和客户端 私钥。
                   • 点 Save。

                 • 使用 Kubernetes 验证方法

                   • 输入唯一的 Vault Connection Name、Vault 服务器的主机地址 ('https://<hostname 或 ip>')、端口号和 角色名称。

                   • 展开 Advanced Settings，以根据您的 Vault 配置输入额外的设置和证书详情：

                     • 在 后端路径中输入为 OpenShift Data Foundation 专用 且唯一的 Key Value secret 路径。
                     • 可选： 如果需要，输入 TLS Server Name 和 Authentication Path。
                     • 上传对应的 PEM 编码证书文件，以提供 CA 证书、客户端证书和客户端 私钥。
                   • 点 Save。

            • Thales CipherTrust Manager (using KMIP)

              1. 在项目中输入密钥管理服务的唯一 连接名称。

              2. 在 Address 和 Port 部分中，输入 Thales CipherTrust Manager 的 IP 以及启用了 KMIP 接口的端口。例如：

                 • 地址: 123.34.3.2
                 • 端口: 5696
              3. 上传 客户端证书、CA 证书 和 客户端私钥。
              4. 如果启用了 StorageClass 加密，请输入用于加密和解密的唯一标识符。
              5. TLS Server 字段是可选的，并在没有 KMIP 端点的 DNS 条目时使用。例如： kmip_all_<port>.ciphertrustmanager.local。

   2. 要启用 in-transit 加密，请选择 In-transit encryption。

      1. 选择 Network。
      2. 单击下一步。
6. 在 Data Protection 页面中，如果您要为 Openshift Data Foundation 配置 Regional-DR 解决方案，然后选择 Prepare cluster for disaster recovery (Regional-DR only) 复选框，否则点 Next。

7. 在 Review and create 页面中，查看配置详情。

   要修改任何配置设置，请单击 Back。

8. 单击 Create StorageSystem。

1. 验证容器集的状态。
2. 验证 OpenShift Data Foundation 集群是否健康。
3. 验证 Multicloud 对象网关是否健康。
4. 验证 OpenShift Data Foundation 特定的存储类是否存在。

流程

1. 登录 OpenShift Web 控制台。
2. 点 Operators → OperatorHub。
3. 在 Filter by keyword 框中滚动或键入 OpenShift Data Foundation，以查找 OpenShift Data Foundation Operator。
4. 单击 Install。

5. 在 Install Operator 页面中设置以下选项：

   1. 将 Channel 更新为 stable-4.17。
   2. Installation Mode 为 A specific namespace on the cluster。
   3. Installed Namespace 为 Operator recommended namespace openshift-storage。如果 Namespace openshift-storage 不存在，它会在 Operator 安装过程中创建。

   4. 将 Approval Strategy 选为 Automatic 或 Manual。

      如果选择 Automatic 更新，Operator Lifecycle Manager (OLM)将自动升级 Operator 的运行实例，而无需任何干预。

      如果选择 手动 更新，则 OLM 会创建一个更新请求。作为集群管理员，您必须手动批准该更新请求，才能将 Operator 更新至更新的版本。

   5. 确保为 Console 插件 选择了 Enable 选项。
   6. 单击 Install。

流程

1. 在 OpenShift Web 控制台中，点 Operators → Installed Operators 查看所有已安装的 Operator。

   确保所选 项目为 openshift-storage。

2. 单击 OpenShift Data Foundation operator，然后单击 Create StorageSystem。

3. 在 Backing storage 页面中，选择以下内容：

   1. 为 Deployment 类型 选择 Multicloud Object Gateway。
   2. 选择 Use a existing StorageClass 选项。
   3. 单击下一步。

4. 可选： 选择 Connect to an external key management service 复选框。对于集群范围的加密，这是可选的。

   1. 从 Key Management Service Provider 下拉列表中，选择 Vault 或 Thales CipherTrust Manager (using KMIP)。如果选择了 Vault，请进入下一步。如果您选择了 Thales CipherTrust Manager (using KMIP)，请转至 iii 步骤。

   2. 选择 身份验证方法。

      使用令牌验证方法

      • 输入唯一的连接名称，即 Vault 服务器的主机地址 ('https://<hostname 或 ip>')、端口号和 Token。

      • 展开 Advanced Settings，以根据您的 Vault 配置输入额外的设置和证书详情：

        • 在 后端路径中输入为 OpenShift Data Foundation 专用 且唯一的 Key Value secret 路径。
        • 可选：输入 TLS Server Name 和 Vault Enterprise Namespace。
        • 上传对应的 PEM 编码证书文件，以提供 CA 证书、客户端证书和客户端 私钥。
        • 点 Save 并跳过步骤 iv。

      使用 Kubernetes 验证方法

      • 输入唯一的 Vault Connection Name、Vault 服务器的主机地址 ('https://<hostname 或 ip>')、端口号和 角色名称。

      • 展开 Advanced Settings，以根据您的 Vault 配置输入额外的设置和证书详情：

        • 在 后端路径中输入为 OpenShift Data Foundation 专用 且唯一的 Key Value secret 路径。
        • 可选： 如果需要，输入 TLS Server Name 和 Authentication Path。
        • 上传对应的 PEM 编码证书文件，以提供 CA 证书、客户端证书和客户端 私钥。
        • 点 Save 并跳过步骤 iv。

   3. 要使用 Thales CipherTrust Manager (using KMIP) 作为 KMS 供应商，请按照以下步骤执行：

      1. 在项目中输入密钥管理服务的唯一 连接名称。

      2. 在 Address 和 Port 部分中，输入 Thales CipherTrust Manager 的 IP 以及启用了 KMIP 接口的端口。例如：

         • 地址: 123.34.3.2
         • 端口: 5696
      3. 上传 客户端证书、CA 证书 和 客户端私钥。
      4. 如果启用了 StorageClass 加密，请输入用于加密和解密的唯一标识符。
      5. TLS Server 字段是可选的，并在没有 KMIP 端点的 DNS 条目时使用。例如： kmip_all_<port>.ciphertrustmanager.local。
   4. 选择 Network。
   5. 单击下一步。

5. 在 Review and create 页面中，查看配置详情：

   要修改任何配置设置，请单击 Back。

6. 单击 Create StorageSystem。