声明性集群配置

流程

1. 在 Web 控制台的 Administrator 视角中，进入到 Operators → Installed Operators → Red Hat OpenShift GitOps → Subscription。
2. 单击 Actions 列表，然后单击 Edit Subscription。

3. 在 openshift-gitops-operator 订阅详情页面的 YAML 选项卡下，通过将 Argo CD 实例的命名空间添加到 spec 部分中的 ARGOCD_CLUSTER_CONFIG_NAMESPACES 环境变量来编辑 Subscription YAML 文件：

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: openshift-gitops-operator
     namespace: openshift-gitops-operator
   # ...
   spec:
     config:
       env:
       - name: ARGOCD_CLUSTER_CONFIG_NAMESPACES
         value: openshift-gitops, <list of namespaces of cluster-scoped Argo CD instances>
   # ...

   Copy to Clipboard Toggle word wrap
4. 单击 Save and Reload。

5. 要验证 Argo CD 实例是否已配置有集群角色来管理集群范围的资源，请执行以下步骤：

   1. 导航到 User Management → Roles，然后从 Filter 列表中选择 Cluster-wide Roles。

   2. 使用 Search by name 字段搜索 argocd-application-controller。

      Roles 页面显示创建的集群角色。

      提示

      或者，在 OpenShift CLI 中运行以下命令：

      oc auth can-i create oauth -n openshift-gitops --as system:serviceaccount:openshift-gitops:openshift-gitops-argocd-application-controller

      Copy to Clipboard Toggle word wrap

      输出 yes 代表 Argo 实例配置了集群角色来管理集群范围的资源。否则，检查您的配置并根据需要执行必要的步骤。

流程

1. 标记现有节点：

   $ oc label node <node-name> node-role.kubernetes.io/infra=""

   Copy to Clipboard Toggle word wrap

2. 可选：如果需要，您还可以在基础架构节点上应用污点并隔离工作负载，并防止其他工作负载在这些节点上调度：

   $ oc adm taint nodes -l node-role.kubernetes.io/infra \
   infra=reserved:NoSchedule infra=reserved:NoExecute

   Copy to Clipboard Toggle word wrap

3. 在 GitOpsService 自定义资源中添加 runOnInfra 切换：

   apiVersion: pipelines.openshift.io/v1alpha1
   kind: GitopsService
   metadata:
     name: cluster
   spec:
     runOnInfra: true

   Copy to Clipboard Toggle word wrap

4. 可选：如果将污点添加到节点，则将 容限 添加到 GitOpsService 自定义资源中。

   Example

   apiVersion: pipelines.openshift.io/v1alpha1
   kind: GitopsService
   metadata:
     name: cluster
     spec:
       runOnInfra: true
       tolerations:
       - effect: NoSchedule
         key: infra
         value: reserved
       - effect: NoExecute
         key: infra
         value: reserved

   Copy to Clipboard Toggle word wrap

5. 通过在控制台 UI 中查看 Pods → Pod details，验证 openshift-gitops 命名空间中的工作负载现在已调度到基础架构节点上。

流程

1. 在 Argo CD 控制面板中，单击 NEW APP 以添加新 Argo CD 应用。

2. 对于此工作流，使用以下配置创建一个 cluster-configs 应用程序：

   应用程序名称

   cluster-configs

   project

   default

   同步策略

   Manual（手动）

   仓库 URL

   https://github.com/redhat-developer/openshift-gitops-getting-started

   修订

   HEAD

   路径

   cluster

   目的地

   https://kubernetes.default.svc

   命名空间

   spring-petclinic

   Directory Recurse

   checked

3. 单击 CREATE 以创建应用程序。
4. 打开 Web 控制台的 Administrator 视角，再展开 Administration → Namespaces。
5. 搜索并选择命名空间，然后在 Label 字段中输入 argocd.argoproj.io/managed-by=openshift-gitops，以便 openshift-gitops 命名空间中的 Argo CD 实例可以管理您的命名空间。

流程

1. 下载 示例应用程序：

   $ git clone git@github.com:redhat-developer/openshift-gitops-getting-started.git

   Copy to Clipboard Toggle word wrap

2. 创建应用程序：

   $ oc create -f openshift-gitops-getting-started/argo/app.yaml

   Copy to Clipboard Toggle word wrap

3. 运行 oc get 命令以查看所创建的应用程序：

   $ oc get application -n openshift-gitops

   Copy to Clipboard Toggle word wrap

4. 在部署应用程序的命名空间中添加标签，以便 openshift-gitops 命名空间中的 Argo CD 实例可以管理它：

   $ oc label namespace spring-petclinic argocd.argoproj.io/managed-by=openshift-gitops

   Copy to Clipboard Toggle word wrap

流程

1. 获取 Argo CD 服务器的 admin 帐户密码：

   $ ADMIN_PASSWD=$(oc get secret openshift-gitops-cluster -n openshift-gitops -o jsonpath='{.data.admin\.password}' | base64 -d)

   Copy to Clipboard Toggle word wrap

2. 获取 Argo CD 服务器 URL：

   $ SERVER_URL=$(oc get routes openshift-gitops-server -n openshift-gitops -o jsonpath='{.status.ingress[0].host}')

   Copy to Clipboard Toggle word wrap

3. 使用 admin 帐户密码并用单引号括起来来登录到 Argo CD 服务器：

   重要

   用单引号括起密码可确保 shell 不会误解特殊字符，如 $。始终使用单引号括起密码的字面值。

   $ argocd login --username admin --password ${ADMIN_PASSWD} ${SERVER_URL}

   Copy to Clipboard Toggle word wrap

   Example

   $ argocd login --username admin --password '<password>' openshift-gitops.openshift-gitops.apps-crc.testing

   Copy to Clipboard Toggle word wrap

4. 通过列出所有应用程序，验证您是否可以在默认模式下运行 argocd 命令：

   $ argocd app list

   Copy to Clipboard Toggle word wrap

   如果配置正确，则现有应用程序将使用以下标头列出：

   输出示例

   NAME CLUSTER NAMESPACE  PROJECT  STATUS  HEALTH   SYNCPOLICY  CONDITIONS  REPO PATH TARGET

   Copy to Clipboard Toggle word wrap

5. 以默认模式创建应用程序：

   $ argocd app create app-cluster-configs \
       --repo https://github.com/redhat-developer/openshift-gitops-getting-started.git \
       --path cluster \
       --revision main \
       --dest-server  https://kubernetes.default.svc \
       --dest-namespace spring-petclinic \
       --directory-recurse \
       --sync-policy none \
       --sync-option Prune=true \
       --sync-option CreateNamespace=true

   Copy to Clipboard Toggle word wrap

6. 标记 spring-petclinic 目标命名空间，使其由 openshif-gitops Argo CD 实例管理：

   $ oc label ns spring-petclinic "argocd.argoproj.io/managed-by=openshift-gitops"

   Copy to Clipboard Toggle word wrap

7. 列出可用的应用程序，以确认应用程序是否已成功创建：

   $ argocd app list

   Copy to Clipboard Toggle word wrap

   虽然 cluster-configs Argo CD 应用程序具有 Healthy 状态，但它不会 因为没有 同步策略而自动同步，从而导致它处于 OutOfSync 状态。

流程

1. 使用 oc CLI 工具登录到 OpenShift Container Platform 集群：

   $ oc login -u <username> -p <password> <server_url>

   Copy to Clipboard Toggle word wrap

   Example

   $ oc login -u kubeadmin -p '<password>' https://api.crc.testing:6443

   Copy to Clipboard Toggle word wrap

2. 检查 kubeconfig 文件中是否正确设置了上下文：

   $ oc config current-context

   Copy to Clipboard Toggle word wrap

3. 将当前上下文的默认命名空间设置为 openshift-gitops ：

   $ oc config set-context --current --namespace openshift-gitops

   Copy to Clipboard Toggle word wrap

4. 设置以下环境变量来覆盖 Argo CD 组件名称：

   $ export ARGOCD_REPO_SERVER_NAME=openshift-gitops-repo-server

   Copy to Clipboard Toggle word wrap

5. 通过列出所有应用程序，验证您是否可以在 core 模式下运行 argocd 命令：

   $ argocd app list --core

   Copy to Clipboard Toggle word wrap

   如果配置正确，则现有应用程序将使用以下标头列出：

   输出示例

   NAME CLUSTER NAMESPACE  PROJECT  STATUS  HEALTH   SYNCPOLICY  CONDITIONS  REPO PATH TARGET

   Copy to Clipboard Toggle word wrap

6. 以 core 模式创建应用程序：

   $ argocd app create app-cluster-configs --core \
       --repo https://github.com/redhat-developer/openshift-gitops-getting-started.git \
       --path cluster \
       --revision main \
       --dest-server  https://kubernetes.default.svc \
       --dest-namespace spring-petclinic \
       --directory-recurse \
       --sync-policy none \
       --sync-option Prune=true \
       --sync-option CreateNamespace=true

   Copy to Clipboard Toggle word wrap

7. 标记 spring-petclinic 目标命名空间，使其由 openshif-gitops Argo CD 实例管理：

   $ oc label ns spring-petclinic "argocd.argoproj.io/managed-by=openshift-gitops"

   Copy to Clipboard Toggle word wrap

8. 列出可用的应用程序，以确认应用程序是否已成功创建：

   $ argocd app list --core

   Copy to Clipboard Toggle word wrap

   虽然 cluster-configs Argo CD 应用程序具有 Healthy 状态，但它不会 因为没有 同步策略而自动同步，从而导致它处于 OutOfSync 状态。

流程

1. 在 Argo CD 仪表板中，cluster-configs Argo CD 应用程序的状态为 Missing 和 OutOfSync。因为应用程序配置了手动同步策略，所以 Argo CD 不会自动同步。
2. 点 cluster-configs 标题上的 SYNC，查看更改，然后点 SYNCHRONIZE。Argo CD 将自动检测 Git 存储库中的任何更改。如果更改了配置，Argo CD 会将 cluster-configs 的状态改为 OutOfSync。您可以修改 Argo CD 的同步策略，以自动将 Git 存储库中的更改应用到集群。
3. 现在，cluster-configs Argo CD 应用程序的状态为 Healthy 和 Synced。点 cluster-configs 标题检查同步资源的详情及其在集群中的状态。
4. 进入到 OpenShift Container Platform Web 控制台并点击 以验证 Red Hat Developer Blog - Kubernetes 的链接现在是否存在。

5. 导航到 Project 页面并搜索 spring-petclinic 命名空间，以验证它是否已添加到集群中。

   集群配置已成功与集群同步。

流程

1. 获取 Argo CD 服务器的 admin 帐户密码：

   $ ADMIN_PASSWD=$(oc get secret openshift-gitops-cluster -n openshift-gitops -o jsonpath='{.data.admin\.password}' | base64 -d)

   Copy to Clipboard Toggle word wrap

2. 获取 Argo CD 服务器 URL：

   $ SERVER_URL=$(oc get routes openshift-gitops-server -n openshift-gitops -o jsonpath='{.status.ingress[0].host}')

   Copy to Clipboard Toggle word wrap

3. 使用 admin 帐户密码并用单引号括起来来登录到 Argo CD 服务器：

   重要

   用单引号括起密码可确保 shell 不会误解特殊字符，如 $。始终使用单引号括起密码的字面值。

   $ argocd login --username admin --password ${ADMIN_PASSWD} ${SERVER_URL}

   Copy to Clipboard Toggle word wrap

   Example

   $ argocd login --username admin --password '<password>' openshift-gitops.openshift-gitops.apps-crc.testing

   Copy to Clipboard Toggle word wrap

4. 因为应用程序配置了 none 同步策略，所以您必须手动触发同步操作：

   $ argocd app sync openshift-gitops/app-cluster-configs

   Copy to Clipboard Toggle word wrap

5. 列出应用程序，以确认应用程序具有 Healthy 和 Synced 状态：

   $ argocd app list

   Copy to Clipboard Toggle word wrap

流程

1. 使用 oc CLI 工具登录到 OpenShift Container Platform 集群：

   $ oc login -u <username> -p <password> <server_url>

   Copy to Clipboard Toggle word wrap

   Example

   $ oc login -u kubeadmin -p '<password>' https://api.crc.testing:6443

   Copy to Clipboard Toggle word wrap

2. 检查 kubeconfig 文件中是否正确设置了上下文：

   $ oc config current-context

   Copy to Clipboard Toggle word wrap

3. 将当前上下文的默认命名空间设置为 openshift-gitops ：

   $ oc config set-context --current --namespace openshift-gitops

   Copy to Clipboard Toggle word wrap

4. 设置以下环境变量来覆盖 Argo CD 组件名称：

   $ export ARGOCD_REPO_SERVER_NAME=openshift-gitops-repo-server

   Copy to Clipboard Toggle word wrap

5. 因为应用程序配置了 none 同步策略，所以您必须手动触发同步操作：

   $ argocd app sync --core openshift-gitops/app-cluster-configs

   Copy to Clipboard Toggle word wrap

6. 列出应用程序，以确认应用程序具有 Healthy 和 Synced 状态：

   $ argocd app list --core

   Copy to Clipboard Toggle word wrap

流程

1. 在 Web 控制台中，选择 User Management → Roles → Create Role。使用以下 ClusterRole YAML 模板来添加规则来指定额外权限。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: secrets-cluster-role
   rules:
   - apiGroups: [""]
     resources: ["secrets"]
     verbs: ["*"]

   Copy to Clipboard Toggle word wrap
2. 点 Create 添加集群角色。
3. 要创建集群角色绑定，请选择 User Management → Role Bindings → Create Binding。
4. 从 Project 列表中选择 All Projects。
5. 点 Create binding。
6. 将 Binding type 选择为 Cluster-wide role binding(ClusterRoleBinding)。
7. 为 RoleBinding 名称 输入一个唯一值。
8. 从下拉列表中选择新创建的集群角色或现有集群角色。

9. 选择 Subject 作为 ServiceAccount，并提供 Subject 命名空间和名称。

   1. 主题命名空间:openshift-gitops

   2. 主题名称:openshift-gitops-argocd-application-controller

      注意

      Subject name 的值取决于您要为其创建集群角色和集群角色绑定的 GitOps control plane 组件。

10. 点 Create。ClusterRoleBinding 对象的 YAML 文件如下：

    kind: ClusterRoleBinding
    apiVersion: rbac.authorization.k8s.io/v1
    metadata:
      name: cluster-role-binding
    subjects:
      - kind: ServiceAccount
        name: openshift-gitops-argocd-application-controller
        namespace: openshift-gitops
    roleRef:
      apiGroup: rbac.authorization.k8s.io
      kind: ClusterRole
      name: secrets-cluster-role

    Copy to Clipboard Toggle word wrap

流程

1. 在 Argo CD CR 中，将 .spec.defaultClusterScopedRoleDisabled 字段的值设置为 true ：

   Argo CD CR 示例

   apiVersion: argoproj.io/v1beta1
   kind: ArgoCD
   metadata:
     name: example 

   1

   
     namespace: spring-petclinic 

   2

   
   # ...
   spec:
     defaultClusterScopedRoleDisabled: true 

   3

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   集群范围的实例的名称。

   2

   要运行集群范围实例的命名空间。

   3

   标志值，用于禁用为集群范围的实例创建默认集群角色。如果您希望 Operator 为集群范围的实例重新创建默认集群角色和集群角色绑定，请将字段值设置为 false。

   输出示例

   argocd.argoproj.io/example configured

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，验证 Red Hat OpenShift GitOps Operator 是否已删除 GitOps control plane 组件的默认集群角色和集群角色绑定：

   $ oc get ClusterRoles/<argocd_name>-<argocd_namespace>-<control_plane_component>

   Copy to Clipboard Toggle word wrap

   $ oc get ClusterRoleBindings/<argocd_name>-<argocd_namespace>-<control_plane_component>

   Copy to Clipboard Toggle word wrap

   输出示例

   No resources found

   Copy to Clipboard Toggle word wrap

   不创建集群范围的实例的默认集群角色和集群角色绑定。作为集群管理员，您可以通过为 GitOps control plane 组件创建新集群角色和集群角色绑定来为集群范围的实例创建和自定义权限。

流程

1. 打开 Web 控制台的 Administrator 视角，再进入 User Management → Roles → Create Role。

2. 使用以下 ClusterRole YAML 模板来添加规则来指定额外权限。

   集群角色 YAML 模板示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: example-spring-petclinic-argocd-application-controller 

   1

   
   rules:
     - verbs:
         - get
         - list
         - watch
       apiGroups:
         - '*'
       resources:
         - '*'
     - verbs:
         - '*'
       apiGroups:
         - ''
       resources: 

   2

   
         - namespaces
         - persistentvolumes

   Copy to Clipboard Toggle word wrap

   1

   根据 <argocd_name>-<argocd_namespace>-<control_plane_component> 命名规则的集群角色名称。

   2

   要在集群级别授予权限的资源。

3. 点 Create 添加集群角色。

4. 通过执行以下步骤查找您要自定义权限的 control plane 组件使用的服务帐户：

   1. 进入 Workloads → Pods。
   2. 从 Project 列表中，选择安装用户定义的集群范围实例的项目。
   3. 点 control plane 组件的 pod，再进入 YAML 选项卡。
   4. 找到 spec.ServiceAccount 字段并记录服务帐户。
5. 进入 User Management → RoleBindings → Create binding。
6. 点 Create binding。
7. 将 Binding type 选择为 Cluster-wide role binding(ClusterRoleBinding)。
8. 按照 <argocd_ name>-<argocd_namespace>-<control_plane_component> 命名约定输入 RoleBinding 名称的唯一值。
9. 从 Role name 的下拉列表中，选择新创建的集群角色。

10. 选择 Subject 作为 ServiceAccount，并提供 Subject 命名空间和名称。

    1. 主题命名空间 ：spring-petclinic

    2. 主题名称:example-argocd-application-controller

       注意

       对于 Subject name，请确保配置的值与您要自定义权限的 control plane 组件的 spec.ServiceAccount 字段的值相同。

11. 点 Create。

    您已为 control plane 组件的服务帐户和命名空间创建了所需的权限。ClusterRoleBinding 对象的 YAML 文件类似以下示例：

    集群角色绑定的 YAML 文件示例

    kind: ClusterRoleBinding
    apiVersion: rbac.authorization.k8s.io/v1
    metadata:
      name: example-spring-petclinic-argocd-application-controller
    subjects:
      - kind: ServiceAccount
        name: example-argocd-application-controller
        namespace: spring-petclinic
    roleRef:
      apiGroup: rbac.authorization.k8s.io
      kind: ClusterRole
      name: example-spring-petclinic-argocd-application-controller

    Copy to Clipboard Toggle word wrap