使用带有托管 control plane 的 Red Hat OpenShift Service on AWS 部署 OpenShift Data Foundation

流程

1. 登录 OpenShift Web 控制台。
2. 点 Operators → OperatorHub。
3. 在 Filter by keyword 框中滚动或键入 OpenShift Data Foundation，以查找 OpenShift Data Foundation Operator。
4. 点 Install。

5. 在 Install Operator 页面中设置以下选项：

   1. 填写 角色 ARN。有关创建 Amazon 资源名称(ARN)的说明，请参阅使用 脚本 创建 AWS 角色。
   2. 将 Channel 更新为 stable-4.17。
   3. 安装模式是 A specific namespace on the cluster。

   4. Installed Namespace 为 Select a Namespace。

      注意

      ROSA 部署不推荐使用 openshift-storage 命名空间。用户定义命名空间用于此部署。避免在命名空间中使用 "redhat" 或 "openshift" 前缀。

      重要

      本指南使用 &lt ;storage_namespace& gt; 作为示例命名空间。在后续步骤中，将 < storage_namespace > 替换为您定义的命名空间。

   5. 将 Approval Strategy 选为 Automatic 或 Manual。

      如果选择 Automatic 更新，Operator Lifecycle Manager(OLM)将自动升级 Operator 的运行实例，而无需任何干预。

      如果选择 手动 更新，则 OLM 会创建一个更新请求。作为集群管理员，您必须手动批准该更新请求，才能将 Operator 更新至更新的版本。对于带有托管的 control plane 的 ROSA，建议使用 手动更新 策略。

   6. 确保为 Console 插件 选择了 Enable 选项。
   7. 点 Install。

流程

1. 在密码库中启用 Key/Value(KV)后端路径。

   对于 vault KV 机密引擎 API，版本 1：

   $ vault secrets enable -path=odf kv

   对于 vault KV 机密引擎 API，版本 2：

   $ vault secrets enable -path=odf kv-v2

2. 创建策略来限制用户在 secret 上执行写入或删除操作：

   echo '
   path "odf/*" {
     capabilities = ["create", "read", "update", "delete", "list"]
   }
   path "sys/mounts" {
   capabilities = ["read"]
   }'| vault policy write odf -

3. 创建与上述策略匹配的令牌：

   $ vault token create -policy=odf -format json

流程

1. 创建服务帐户：

   $ oc -n <storage-namespace> create serviceaccount <serviceaccount_name>

   其中, <serviceaccount_name> 指定服务帐户的名称。

   例如：

   $ oc -n <storage-namespace> create serviceaccount odf-vault-auth

2. 创建 clusterrolebindings 和 clusterroles:

   $ oc -n <storage-namespace> create clusterrolebinding vault-tokenreview-binding --clusterrole=system:auth-delegator --serviceaccount=openshift-storage:_<serviceaccount_name>_

   例如：

   $ oc -n <storage-namespace> create clusterrolebinding vault-tokenreview-binding --clusterrole=system:auth-delegator --serviceaccount=openshift-storage:odf-vault-auth

3. 为 serviceaccount 令牌和 CA 证书创建 secret。

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: Secret
   metadata:
     name: odf-vault-auth-token
     namespace: <storage-namespace>
     annotations:
       kubernetes.io/service-account.name: <serviceaccount_name>
   type: kubernetes.io/service-account-token
   data: {}
   EOF

   其中，<serviceaccount_name > 是上一步中创建的服务帐户，& lt;storage_namespace > 是创建 ODF operator 和 StorageSystem 的命名空间。

4. 从 secret 获取令牌和 CA 证书。

   $ SA_JWT_TOKEN=$(oc -n <storage_namespace> get secret odf-vault-auth-token -o jsonpath="{.data['token']}" | base64 --decode; echo)
   $ SA_CA_CRT=$(oc -n <storage_namespace> get secret odf-vault-auth-token -o jsonpath="{.data['ca\.crt']}" | base64 --decode; echo)

5. 检索 OCP 集群端点。

   $ OCP_HOST=$(oc config view --minify --flatten -o jsonpath="{.clusters[0].cluster.server}")

6. 获取服务帐户签发者：

   $ oc proxy &
   $ proxy_pid=$!
   $ issuer="$( curl --silent http://127.0.0.1:8001/.well-known/openid-configuration | jq -r .issuer)"
   $ kill $proxy_pid

7. 使用上一步中收集的信息在 Vault 中设置 Kubernetes 身份验证方法：

   $ vault auth enable kubernetes

   $ vault write auth/kubernetes/config \
             token_reviewer_jwt="$SA_JWT_TOKEN" \
             kubernetes_host="$OCP_HOST" \
             kubernetes_ca_cert="$SA_CA_CRT" \
             issuer="$issuer"

   重要

   当签发者为空时，在 Vault 中配置 Kubernetes 验证方法：

   $ vault write auth/kubernetes/config \
             token_reviewer_jwt="$SA_JWT_TOKEN" \
             kubernetes_host="$OCP_HOST" \
             kubernetes_ca_cert="$SA_CA_CRT"

8. 在 Vault 中启用 Key/Value(KV)后端路径。

   对于 Vault KV secret 引擎 API，版本 1：

   $ vault secrets enable -path=odf kv

   对于 Vault KV secret 引擎 API，版本 2：

   $ vault secrets enable -path=odf kv-v2

9. 创建策略来限制用户在 secret 上执行写入或删除操作：

   echo '
   path "odf/*" {
     capabilities = ["create", "read", "update", "delete", "list"]
   }
   path "sys/mounts" {
   capabilities = ["read"]
   }'| vault policy write odf -

10. 生成角色：

    $ vault write auth/kubernetes/role/odf-rook-ceph-op \
            bound_service_account_names=rook-ceph-system,rook-ceph-osd,noobaa \
            bound_service_account_namespaces=<storage_namespace> \
            policies=odf \
            ttl=1440h

    在创建存储系统期间配置 KMS 连接详情时，会稍后使用角色 odf-rook-ceph-op。

    $ vault write auth/kubernetes/role/odf-rook-ceph-osd \
            bound_service_account_names=rook-ceph-osd \
            bound_service_account_namespaces=<storage_namespace> \
            policies=odf \
            ttl=1440h

流程

1. 在 OpenShift Web 控制台中，点 Operators → Installed Operators 查看所有已安装的 Operator。
2. 从 Project 下拉列表中选择 &lt ;storage-namespace >。
3. 点 OpenShift Data Foundation 操作器，然后单击 Create StorageSystem。

4. 在 Backing storage 页面中，选择以下内容：

   1. 为 Deployment 类型选项选择 Full Deployment。
   2. 选择 Use a existing StorageClass 选项。

   3. 可选： 选择 Use external PostgreSQL 复选框以使用外部 PostgreSQL [技术预览]。

      这为多云对象网关提供了高可用性解决方案，其中 PostgreSQL pod 是单点故障。

      1. 提供以下连接详情：

         • 用户名
         • 密码
         • 服务器 名称和端口
         • 数据库名称
      2. 选中 Enable TLS/SSL 复选框，为 Postgres 服务器启用加密。
   4. 点击 Next。

5. 在 Capacity and nodes 页面中，提供必要的信息：

   1. 从下拉列表中选择 Requested Capacity 的值。默认设置为 2 TiB。

      注意

      选择初始存储容量后，集群扩展将使用所选的可用容量（原始存储的三倍）执行。

   2. 在 Select Nodes 部分中，选择至少三个可用节点。

   3. 在 Configure performance 部分中，选择以下性能配置集之一：

      • Swant

        在资源受限环境中使用它，其最少资源低于建议。此配置集通过分配较少的 CPU 和较少的内存来最小化资源消耗。

      • balanced （默认）

        当有建议的资源可用时，请使用此选项。此配置集提供不同工作负载的资源消耗和性能之间的平衡。

      • 性能

        在具有足够资源的环境中使用此方法获得最佳性能。通过分配 ample 内存和 CPU 来确保最佳执行要求的工作负载，以此为高性能量身定制此配置集。

        注意

        即使使用 StorageSystems 选项卡的选项菜单中的 Configure performance 选项，您也可以在部署后配置性能配置集。

        重要

        在选择资源配置集前，请确保检查集群中资源的当前可用性。在资源不足的集群中选择更高的资源配置集可能会导致安装失败。

        有关资源要求的更多信息，请参阅 性能配置集的资源要求。

   4. 可选：选中 Taint nodes 复选框，以将所选节点专用于 OpenShift Data Foundation。
   5. 点击 Next。

6. 可选：在 Security and network 页面中，根据您的要求进行配置：

   1. 若要启用加密，可选择为块存储和文件存储启用数据加密。

      1. 选择其中一个加密级别或两个都选：

         • 集群范围的加密

           加密整个集群（块和文件）。

         • StorageClass 加密

           使用启用加密的存储类创建加密的持久性卷（仅块）。

      2. 可选：选择 Connect to an external key management service 复选框。这是集群范围加密的可选选项。

         1. 在 Key Management Service Provider 下拉列表中选择以下供应商之一并提供所需的详情：

            • Vault

              1. 选择身份验证方法。

                 • 使用令牌验证方法

                   • 输入唯一的连接名称 , Vault 服务器的主机地址（'https://<hostname 或 ip>'），端口号和令牌。

                   • 展开 Advanced Settings，以根据您的 Vault 配置输入其他设置和证书详情：

                     • 在 后端路径中输入为 OpenShift Data Foundation 专用且唯一的 Key Value secret 路径。
                   • （可选）输入 TLS 服务器名称和 Vault Enterprise 命名空间。
                   • 上传对应的 PEM 编码证书文件，以提供 CA 证书、客户端证书和客户端私钥。
                   • 点击 Save。

                 • 使用 Kubernetes 验证方法

                   • 输入唯一的 Vault Connection Name, Vault 服务器的主机地址（'https://<hostname 或 ip>'）、端口号和角色名称。

                   • 展开 Advanced Settings，以根据您的 Vault 配置输入其他设置和证书详情：

                     • 在 后端路径中输入为 OpenShift Data Foundation 专用且唯一的 Key Value secret 路径。
                     • 可选：输入 TLS Server Name 和 Authentication Path （如果适用）。
                     • 上传对应的 PEM 编码证书文件，以提供 CA 证书、客户端证书和客户端私钥。
                   • 点击 Save。

            • Thales CipherTrust Manager (using KMIP)

              1. 在项目中输入密钥管理服务的唯一连接名称。

              2. 在 Address 和 Port 部分中，输入 Thales CipherTrust Manager 的 IP 以及在其中启用了 KMIP 接口的端口。例如：

                 • 地址: 123.34.3.2
                 • 端口 ：5696
              3. 上传 客户端证书、CA 证书和 客户端私钥。
              4. 如果启用了 StorageClass 加密，请输入用于加密和解密的唯一标识符。
              5. TLS Server 字段是可选的，并在没有 KMIP 端点的 DNS 条目时使用。例如，kmip_all_<port>.ciphertrustmanager.local。

   2. 要启用 in-transit 加密，请选择 In-transit encryption。

      1. 选择 网络。
      2. 点击 Next。
7. 在 Data Protection 页面中，如果您要为 Openshift Data Foundation 配置 Regional-DR 解决方案，然后选择 Prepare cluster for disaster recovery (Regional-DR only) 复选框，否则点 Next。

8. 在 Review and create 页面中，检查配置详情。

   若要修改任何配置设置，请单击 Back。

9. 单击 Create StorageSystem。

1. 验证容器集的状态。
2. 验证 OpenShift Data Foundation 集群是否健康。
3. 验证 OpenShift Data Foundation 特定的存储类是否存在。