4.8. 配置网络

流程

1. 为 OpenShift Dev Spaces 预创建项目：

   $ oc create project openshift-devspaces

   Copy to Clipboard

2. 创建 TLS secret：

   $ oc create secret tls <tls_secret_name> \ 

   1

   
   --key <key_file> \ 

   2

   
   --cert <cert_file> \ 

   3

   
   -n openshift-devspaces

   Copy to Clipboard

   1

   TLS secret 名称

   2

   具有私钥的文件

   3

   具有证书的文件

3. 在 secret 中添加所需的标签：

   $ oc label secret <tls_secret_name> \ 

   1

   
   app.kubernetes.io/part-of=che.eclipse.org -n openshift-devspaces

   Copy to Clipboard

   1

   TLS secret 名称

4. 配置 CheCluster 自定义资源。请参阅 第 4.1.2 节 “使用 CLI 配置 CheCluster 自定义资源”。

   spec:
     networking:
       hostname: <hostname>     

   1

   
       tlsSecretName: <secret>  

   2

   Copy to Clipboard

   1

   自定义 Red Hat OpenShift Dev Spaces 服务器主机名

   2

   TLS secret 名称

5. 如果 OpenShift Dev Spaces 已部署，请等待所有 OpenShift Dev Spaces 组件的推出完成。

流程

1. 将所有 CA 链 PEM 文件链到 custom-ca-certificates.pem 文件中，并删除与 Java 信任存储不兼容的返回字符。

   $ cat ca-cert-for-devspaces-*.pem | tr -d '\r' > custom-ca-certificates.pem

   Copy to Clipboard

2. 使用所需的 TLS 证书创建 custom-ca-certificates ConfigMap：

   $ oc create configmap custom-ca-certificates \
       --from-file=custom-ca-certificates.pem \
       --namespace=openshift-devspaces

   Copy to Clipboard

3. 标记 custom-ca-certificates ConfigMap：

   $ oc label configmap custom-ca-certificates \
       app.kubernetes.io/component=ca-bundle \
       app.kubernetes.io/part-of=che.eclipse.org \
       --namespace=openshift-devspaces

   Copy to Clipboard
4. 如果之前尚未部署，部署 OpenShift Dev Spaces。否则，请等待 OpenShift Dev Spaces 组件的推出完成。
5. 重启正在运行的工作区以使更改生效。

验证步骤

1. 验证 ConfigMap 是否包含您的自定义 CA 证书。此命令返回 PEM 格式的 CA 捆绑包证书：

   oc get configmap \
       --namespace=openshift-devspaces \
       --output='jsonpath={.items[0:].data.custom-ca-certificates\.pem}' \
       --selector=app.kubernetes.io/component=ca-bundle,app.kubernetes.io/part-of=che.eclipse.org

   Copy to Clipboard

2. 在 OpenShift Dev Spaces 服务器日志中验证导入的证书计数是否不是 null ：

   oc logs deploy/devspaces --namespace=openshift-devspaces \
       | grep tls-ca-bundle.pem

   Copy to Clipboard
3. 启动一个工作区，获取创建它的项目名称：< workspace_namespace > 并等待工作区启动。

4. 验证 ca-certs-merged ConfigMap 是否包含您的自定义 CA 证书。此命令以 PEM 格式返回 OpenShift Dev Spaces CA 捆绑包证书：

   oc get configmap che-trusted-ca-certs \
       --namespace=<workspace_namespace> \
       --output='jsonpath={.data.tls-ca-bundle\.pem}'

   Copy to Clipboard

5. 验证工作区 pod 是否挂载 ca-certs-merged ConfigMap:

   oc get pod \
       --namespace=<workspace_namespace> \
       --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
       --output='jsonpath={.items[0:].spec.volumes[0:].configMap.name}' \
       | grep ca-certs-merged

   Copy to Clipboard

6. 获取工作区 pod 名称 < workspace_pod_name>:

   oc get pod \
       --namespace=<workspace_namespace> \
       --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
       --output='jsonpath={.items[0:].metadata.name}' \

   Copy to Clipboard

7. 验证工作区容器是否具有您的自定义 CA 证书。此命令以 PEM 格式返回 OpenShift Dev Spaces CA 捆绑包证书：

   oc exec <workspace_pod_name> \
       --namespace=<workspace_namespace> \
       -- cat /etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem

   Copy to Clipboard

流程

1. 配置工作区端点基域：

   oc patch checluster/devspaces \
       --namespace openshift-devspaces \
       --type='merge' -p \
   '{"spec":
       {"components":
           {"cheServer":
               {"extraProperties":
                   {"CHE_INFRA_OPENSHIFT_ROUTE_HOST_DOMAIN__SUFFIX": "my-devspaces.example.com"}}}}}'

   Copy to Clipboard

流程

1. （可选）在 openshift-devspaces 命名空间中创建 Secret，其中包含代理服务器的用户和密码。secret 必须具有 app.kubernetes.io/part-of=che.eclipse.org 标签。如果代理服务器不需要身份验证，请跳过这一步。

   oc apply -f - <<EOF
   kind: Secret
   apiVersion: v1
   metadata:
     name: devspaces-proxy-credentials
     namespace: openshift-devspaces
     labels:
       app.kubernetes.io/part-of: che.eclipse.org
   type: Opaque
   stringData:
     user: <user>          

   1

   
     password: <password>  

   2

   
   EOF

   Copy to Clipboard

   1

   代理服务器的用户名。

   2

   代理服务器的密码。

2. 通过在 CheCluster 自定义资源中设置以下属性，为 OpenShift 集群配置代理或覆盖集群范围的代理配置：

   oc patch checluster/devspaces \
       --namespace openshift-devspaces \
       --type='merge' -p \
   '{"spec":
       {"components":
           {"cheServer":
               {"proxy":
                   {"credentialsSecretName" : "<secretName>",                      

   1

   
                    "nonProxyHosts"         : ["<host_1>"],                        

   2

   
                    "port"                  : "<port>",                            

   3

   
                    "url"                   : "<protocol>://<domain>"}}}}}'    

   4

   Copy to Clipboard

   1

   上一步中创建的凭据 secret 名称。

   2

   可以直接访问的主机列表，无需使用代理。使用以下格式，.<DOMAIN > 指定一个通配符域。OpenShift Dev Spaces Operator 会自动将 .svc 和 Kubernetes 服务主机添加到非代理主机列表中。在 OpenShift 中，OpenShift Dev Spaces Operator 将集群范围的代理配置中的非代理主机列表与自定义资源合并。

   重要

   在一些代理配置中，localhost 可能不会转换为 127.0.0.1。在这种情况下，应该同时指定 localhost 和 127.0.0.1。

   代理服务器的端口。

   代理服务器的协议和域。

验证步骤

1. 启动工作区
2. 验证工作区 pod 是否包含 HTTP_PROXY、HTTPS_PROXY、http_proxy 和 https_proxy 环境变量，每个变量都设置为 < protocol> ://<user& gt;:<password@<domain>:<port>。
3. 验证工作区 pod 是否包含 NO_PROXY 和 no_proxy 环境变量，每个变量都设置为用逗号分开的非代理主机列表。