管理指南

验证

1. 验证配置的属性的值：

   $ oc get configmap che -o jsonpath='{.data.<configured_property>}' \
   -n openshift-devspaces

   Copy to Clipboard

流程

1. 编辑集群中的 CheCluster 自定义资源：

   $ oc edit checluster/devspaces -n openshift-devspaces

   Copy to Clipboard
2. 保存并关闭该文件以应用更改。

验证

1. 验证配置的属性的值：

   $ oc get configmap che -o jsonpath='{.data.<configured_property>}' \
   -n openshift-devspaces

   Copy to Clipboard

流程

1. 获取 OpenShift Dev Spaces 命名空间的名称。默认为 openshift-devspaces。

   $ oc get checluster --all-namespaces \
     -o=jsonpath="{.items[*].metadata.namespace}"

   Copy to Clipboard

2. 配置 CHE_LIMITS_USER_WORKSPACES_COUNT ：

   $ oc patch checluster/devspaces -n openshift-devspaces \

   1

   
   --type='merge' -p \
   '{"spec":{"components":{"cheServer":{"extraProperties":{"CHE_LIMITS_USER_WORKSPACES_COUNT": "<kept_workspaces_limit>"}}}}}' 

   2

   Copy to Clipboard

   1

   您在第 1 步中获得的 OpenShift Dev Spaces 命名空间。

   2

   您选择 < kept_workspaces_limit> 值。

流程

1. 获取 OpenShift Dev Spaces 命名空间的名称。默认为 openshift-devspaces。

   $ oc get checluster --all-namespaces \
     -o=jsonpath="{.items[*].metadata.namespace}"

   Copy to Clipboard

2. 配置 runningLimit ：

   $ oc patch checluster/devspaces -n openshift-devspaces \

   1

   
   --type='merge' -p \
   '{"spec":{"components":{"devWorkspace":{"runningLimit": "<running_workspaces_limit>"}}}}' 

   2

   Copy to Clipboard

   1

   您在第 1 步中获得的 OpenShift Dev Spaces 命名空间。

   2

   您选择 < running_workspaces_limit> 值。

流程

1. 使用 Git 服务器的详情创建新 ConfigMap ：

   $ oc create configmap che-git-self-signed-cert \
     --from-file=ca.crt=<path_to_certificate> \  

   1

   
     --from-literal=githost=<host:port> -n openshift-devspaces  

   2

   Copy to Clipboard

   1

   自签名证书的路径

   2

   Git 服务器上 HTTPS 连接的主机和端口（可选）。

   注意
   • 如果没有指定 githost，则给定证书将用于所有 HTTPS 存储库。
   • 证书文件通常存储为 Base64 ASCII 文件，例如：.pem,.crt,.ca-bundle.此外，它们也可编码为二进制数据，如 .cer。所有保存证书文件的 Secret 应该使用 Base64 ASCII 证书，而不是二进制数据证书。

2. 将所需的标签添加到 ConfigMap 中：

   $ oc label configmap che-git-self-signed-cert \
     app.kubernetes.io/part-of=che.eclipse.org -n openshift-devspaces

   Copy to Clipboard

3. 配置 OpenShift Dev Spaces 操作对象，为 Git 存储库使用自签名证书。请参阅 第 3.1.2 节 “使用 CLI 配置 CheCluster 自定义资源”。

   spec:
     devEnvironments:
       trustedCerts:
         gitTrustedCertsConfigMapName: che-git-self-signed-cert

   Copy to Clipboard

流程

1. 导航到 "https://devspaces-<openshift_deployment_name>.<domain_name>"/plugin-registry/v3/external_images.txt URL，以收集要拉取的相关容器镜像列表。
2. 确定列表中的镜像，以进行预先拉取。为了加快工作空间启动时间，请考虑拉取与工作区相关的镜像，如 generic-developer-image、che-code' 和 che-gateway。

流程

1. 要为 CACHING_MEMORY_REQUEST 或 CACHING_MEMORY_LIMIT 定义最小值，请考虑运行每个容器镜像所需的必要内存量。

2. 要为 CACHING_MEMORY_REQUEST 或 CACHING_MEMORY_LIMIT 定义 maximal 值，请考虑分配给集群中 DaemonSet Pod 的总内存：

   (memory limit) * (number of images) * (number of nodes in the cluster)

   Copy to Clipboard

   在 20 个节点上拉取 5 个镜像，容器内存限值为 20Mi 需要 2000Mi 内存。

流程

1. 安装社区支持的 Kubernetes Image Puller Operator。请参阅使用 Web 控制台从 OperatorHub 安装。
2. 从社区支持的 Kubernetes Image Puller Operator 创建一个 kubernetes-image-puller KubernetesImagePuller 操作对象。请参阅 从已安装的 Operator 创建应用程序。

流程

1. 克隆 Image Puller 存储库，并获取到包含 OpenShift 模板的目录中：

   $ git clone https://github.com/che-incubator/kubernetes-image-puller
   $ cd kubernetes-image-puller/deploy/openshift

   Copy to Clipboard

2. 使用以下参数配置 app.yaml、configmap.yaml 和 serviceaccount.yaml OpenShift 模板：

   表 3.17. app.yaml中的镜像 Puller OpenShift 模板参数

   值	使用方法	默认
   DEPLOYMENT_NAME	ConfigMap 中的 DEPLOYMENT_NAME 的值	kubernetes-image-puller
   IMAGE	用于 kubernetes-image-puller 部署的镜像	registry.redhat.io/devspaces/imagepuller-rhel8:3.4
   IMAGE_TAG	要拉取的镜像标签	latest
   SERVICEACCOUNT_NAME	由部署创建的并使用的 ServiceAccount 的名称	kubernetes-image-puller

   表 3.18. configmap.yaml中的镜像 Puller OpenShift 模板参数

   值	使用方法	默认
   CACHING_CPU_LIMIT	ConfigMap 中的 CACHING_CPU_LIMIT 的值	.2
   CACHING_CPU_REQUEST	ConfigMap 中的 CACHING_CPU_REQUEST 的值	.05
   CACHING_INTERVAL_HOURS	ConfigMap 中的 CACHING_INTERVAL_HOURS 的值	"1"
   CACHING_MEMORY_LIMIT	ConfigMap 中的 CACHING_MEMORY_LIMIT 的值	"20Mi"
   CACHING_MEMORY_REQUEST	ConfigMap 中的 CACHING_MEMORY_REQUEST 的值	"10Mi"
   DAEMONSET_NAME	ConfigMap 中的 DAEMONSET_NAME 的值	kubernetes-image-puller
   DEPLOYMENT_NAME	ConfigMap 中的 DEPLOYMENT_NAME 的值	kubernetes-image-puller
   镜像	ConfigMap 中的 IMAGES 值	"undefined"
   NAMESPACE	ConfigMap 中的 NAMESPACE 值	k8s-image-puller
   NODE_SELECTOR	ConfigMap 中的 NODE_SELECTOR 的值	"{}"

   表 3.19. serviceaccount.yaml中的镜像 Puller OpenShift 模板参数

   值	使用方法	默认
   SERVICEACCOUNT_NAME	由部署创建的并使用的 ServiceAccount 的名称	kubernetes-image-puller

3. 创建一个 OpenShift 项目来托管 Image Puller：

   $ oc new-project <k8s-image-puller>

   Copy to Clipboard

4. 处理并应用模板来安装 puller：

   $ oc process -f serviceaccount.yaml | oc apply -f -
   $ oc process -f configmap.yaml | oc apply -f -
   $ oc process -f app.yaml | oc apply -f -

   Copy to Clipboard

验证步骤

1. 验证 < kubernetes-image-puller> 部署和 < kubernetes-image-puller> DaemonSet 是否存在。DaemonSet 需要为集群中的每个节点有一个 Pod：

   $ oc get deployment,daemonset,pod --namespace <k8s-image-puller>

   Copy to Clipboard

2. 验证 < kubernetes-image-puller > ConfigMap 的值。

   $ oc get configmap <kubernetes-image-puller> --output yaml

   Copy to Clipboard

流程

1. 为 OpenShift Dev Spaces 预先创建项目：

   $ oc create project openshift-devspaces

   Copy to Clipboard

2. 创建 TLS secret：

   $ oc create secret TLS <tls_secret_name> \ 

   1

   
   --key <key_file> \ 

   2

   
   --cert <cert_file> \ 

   3

   
   -n openshift-devspaces

   Copy to Clipboard

   1

   TLS secret 名称

   2

   带有私钥的文件

   3

   包含证书的文件

3. 将所需的标签添加到 secret 中：

   $ oc label secret <tls_secret_name> \ 

   1

   
   app.kubernetes.io/part-of=che.eclipse.org -n openshift-devspaces

   Copy to Clipboard

   1

   TLS secret 名称

4. 配置 CheCluster 自定义资源。请参阅 第 3.1.2 节 “使用 CLI 配置 CheCluster 自定义资源”。

   spec:
     networking:
       hostname: <hostname>     

   1

   
       tlsSecretName: <secret>  

   2

   Copy to Clipboard

   1

   Custom Red Hat OpenShift Dev Spaces server hostname

   2

   TLS secret 名称

5. 如果 OpenShift Dev Spaces 已部署，请等待所有 OpenShift Dev Spaces 组件的推出完成。

流程

1. 将要导入的所有 CA 链 PEM 文件串联到 custom-ca-certificates.pem 文件中，并删除与 Java 信任存储不兼容的返回字符。

   $ cat ca-cert-for-{prod-id-short}-*.pem | tr -d '\r' > custom-ca-certificates.pem

   Copy to Clipboard

2. 使用所需 TLS 证书创建 custom-ca-certificates 配置映射：

   $ oc create configmap custom-ca-certificates \
       --from-file=custom-ca-certificates.pem \
       --namespace=openshift-devspaces

   Copy to Clipboard

3. 标记 custom-ca-certificates 配置映射：

   $ oc label configmap custom-ca-certificates \
       app.kubernetes.io/component=ca-bundle \
       app.kubernetes.io/part-of=che.eclipse.org \
       --namespace=openshift-devspaces

   Copy to Clipboard
4. 如果之前尚未部署，部署 OpenShift Dev Spaces。否则，请等待 OpenShift Dev Spaces 组件的推出完成。
5. 重启正在运行的工作区以使更改生效。

验证步骤

1. 验证配置映射是否包含自定义 CA 证书。这个命令以 PEM 格式返回您的自定义 CA 证书：

   $ oc get configmap \
       --namespace=openshift-devspaces \
       --output='jsonpath={.items[0:].data.custom-ca-certificates\.pem}' \
       --selector=app.kubernetes.io/component=ca-bundle,app.kubernetes.io/part-of=che.eclipse.org

   Copy to Clipboard

2. 验证 OpenShift Dev Spaces pod 包含挂载 ca-certs-merged 配置映射的卷：

   $ oc get pod \
       --selector=app.kubernetes.io/component=devspaces \
       --output='jsonpath={.items[0].spec.volumes[0:].configMap.name}' \
       --namespace=openshift-devspaces \
       | grep ca-certs-merged

   Copy to Clipboard

3. 验证 OpenShift Dev Spaces 服务器容器是否有自定义 CA 证书。这个命令以 PEM 格式返回您的自定义 CA 证书：

   $ oc exec -t deploy/devspaces \
       --namespace=openshift-devspaces \
       -- cat /public-certs/custom-ca-certificates.pem

   Copy to Clipboard

4. 在 OpenShift Dev Spaces 服务器中验证导入的证书计数是否不为空：

   $ oc logs deploy/devspaces --namespace=openshift-devspaces \
       | grep custom-ca-certificates.pem

   Copy to Clipboard

5. 列出证书的 SHA256 指纹：

   $ for certificate in ca-cert*.pem ;
     do openssl x509 -in $certificate -digest -sha256 -fingerprint -noout | cut -d= -f2;
     done

   Copy to Clipboard

6. 验证 OpenShift Dev Spaces 服务器 Java 信任存储是否包含具有相同指纹的证书：

   $ oc exec -t deploy/devspaces --namespace=openshift-devspaces -- \
       keytool -list -keystore /home/user/cacerts \
       | grep --after-context=1 custom-ca-certificates.pem

   Copy to Clipboard
7. 启动工作区，获取其创建的项目名称：< workspace_namespace > 并等待工作区启动。

8. 验证 che-trusted-ca-certs 配置映射是否包含您的自定义 CA 证书。这个命令以 PEM 格式返回您的自定义 CA 证书：

   $ oc get configmap che-trusted-ca-certs \
       --namespace=<workspace_namespace> \
       --output='jsonpath={.data.custom-ca-certificates\.custom-ca-certificates\.pem}'

   Copy to Clipboard

9. 验证工作区 pod 是否挂载 che-trusted-ca-certs 配置映射：

   $ oc get pod \
       --namespace=<workspace_namespace> \
       --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
       --output='jsonpath={.items[0:].spec.volumes[0:].configMap.name}' \
       | grep che-trusted-ca-certs

   Copy to Clipboard

10. 验证 generic -developer-image 容器（或工作区 devfile 中定义的容器）挂载 che-trusted-ca-certs 卷：

    $ oc get pod \
        --namespace=<workspace_namespace> \
        --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
        --output='jsonpath={.items[0:].spec.containers[0:]}' \
        | jq 'select (.volumeMounts[].name == "che-trusted-ca-certs") | .name'

    Copy to Clipboard

11. 获取工作区 pod 名称 &lt ;workspace_pod_name> ：

    $ oc get pod \
        --namespace=<workspace_namespace> \
        --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
        --output='jsonpath={.items[0:].metadata.name}' \

    Copy to Clipboard

12. 验证工作区容器是否具有自定义 CA 证书。这个命令以 PEM 格式返回您的自定义 CA 证书：

    $ oc exec <workspace_pod_name> \
        --namespace=<workspace_namespace> \
        -- cat /public-certs/custom-ca-certificates.custom-ca-certificates.pem

    Copy to Clipboard

1. 定义存储类名称：配置 CheCluster 自定义资源并安装 OpenShift Dev Spaces。请参阅 第 3.1.1 节 “在安装过程中使用 dsc 配置 CheCluster 自定义资源”。

   spec:
     components:
       database:
         pvc:
           # keep blank unless you need to use a non default storage class for PostgreSQL PVC
           storageClass: 'postgres-storage'
     devEnvironments:
       storage:
         pvc:
           # keep blank unless you need to use a non default storage class for workspace PVC(s)
           storageClass: 'workspace-storage'

   Copy to Clipboard

2. 在 che-postgres-pv.yaml 文件中定义 PostgreSQL 数据库的持久性卷：

   che-postgres-pv.yaml file

   apiVersion: v1
   kind: PersistentVolume
   metadata:
     name: postgres-pv-volume
     labels:
       type: local
   spec:
     storageClassName: postgres-storage
     capacity:
       storage: 1Gi
     accessModes:
       - ReadWriteOnce
     hostPath:
       path: "/data/che/postgres"

   Copy to Clipboard

3. 在 che-postgres-pv.yaml 文件中定义 OpenShift Dev Spaces 工作区的持久性卷：

   che-workspace-pv.yaml file

   apiVersion: v1
   kind: PersistentVolume
   metadata:
     name: workspace-pv-volume
     labels:
       type: local
   spec:
     storageClassName: workspace-storage
     capacity:
       storage: 10Gi
     accessModes:
       - ReadWriteOnce
     hostPath:
       path: "/data/che/workspace"

   Copy to Clipboard

4. 绑定两个持久性卷：

   $ kubectl apply -f che-workspace-pv.yaml -f che-postgres-pv.yaml

   Copy to Clipboard