Networking Operators

流程

1. 为 AWS Load Balancer Operator 在集群中创建一个新项目：

   $ oc new-project aws-load-balancer-operator

   Copy to Clipboard Toggle word wrap

2. 为 AWS Load Balancer Operator 创建 AWS IAM 策略。

   1. 下载适当的 IAM 策略：

      $ curl -o ${SCRATCH}/operator-permission-policy.json https://raw.githubusercontent.com/openshift/aws-load-balancer-operator/refs/heads/main/hack/operator-permission-policy.json

      Copy to Clipboard Toggle word wrap

   2. 为 Operator 创建权限策略：

      $ aws iam create-policy \
              --policy-name aws-load-balancer-operator-policy \
              --policy-document file://${SCRATCH}/operator-permission-policy.json \
              --region ${REGION}

      Copy to Clipboard Toggle word wrap

      记录输出中的 Operator 策略 ARN。这个过程的其余部分称为 $OPERATOR_POLICY_ARN。

3. 为 AWS Load Balancer Operator 创建 AWS IAM 角色：

   1. 为 Operator 角色创建信任策略：

      $ cat <<EOF > "${SCRATCH}/operator-trust-policy.json"
      {
       "Version": "2012-10-17",
       "Statement": [
       {
       "Effect": "Allow",
       "Condition": {
         "StringEquals" : {
           "${OIDC_ENDPOINT}:sub": ["system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-operator-controller-manager", "system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-controller-cluster"]
         }
       },
       "Principal": {
         "Federated": "arn:aws:iam::${AWS_ACCOUNT_ID}:oidc-provider/${OIDC_ENDPOINT}"
       },
       "Action": "sts:AssumeRoleWithWebIdentity"
       }
       ]
      }
      EOF

      Copy to Clipboard Toggle word wrap

   2. 使用信任策略创建 Operator 角色：

      $ aws iam create-role --role-name "${CLUSTER_NAME}-alb-operator" \
          --assume-role-policy-document "file://${SCRATCH}/operator-trust-policy.json"

      Copy to Clipboard Toggle word wrap

      记录输出中的 Operator 角色 ARN。这个过程的其余部分称为 $OPERATOR_ROLE_ARN。

   3. 关联 Operator 角色和策略：

      $ aws iam attach-role-policy --role-name "${CLUSTER_NAME}-alb-operator" \
          --policy-arn $OPERATOR_POLICY_ARN

      Copy to Clipboard Toggle word wrap

4. 通过创建 OperatorGroup 和 订阅 来安装 AWS Load Balancer Operator：

   $ cat <<EOF | oc apply -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     targetNamespaces: []
   ---
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     channel: stable-v1
     name: aws-load-balancer-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     config:
       env:
       - name: ROLEARN
         value: "${OPERATOR_ROLE_ARN}"
   EOF

   Copy to Clipboard Toggle word wrap

5. 为 AWS Load Balancer Controller 创建 AWS IAM 策略。

   1. 下载适当的 IAM 策略：

      $ curl -o ${SCRATCH}/controller-permission-policy.json https://raw.githubusercontent.com/kubernetes-sigs/aws-load-balancer-controller/v2.12.0/docs/install/iam_policy.json

      Copy to Clipboard Toggle word wrap

   2. 为 Controller 创建权限策略：

      $ aws iam create-policy \
          --region ${REGION} \
          --policy-name aws-load-balancer-controller-policy \
          --policy-document file://${SCRATCH}/controller-permission-policy.json

      Copy to Clipboard Toggle word wrap

      记录输出中的 Controller 策略 ARN。这被称为此进程的其余部分的 $CONTROLLER_POLICY_ARN。

6. 为 AWS Load Balancer Controller 创建 AWS IAM 角色：

   1. 为 Controller 角色创建信任策略：

      $ cat <<EOF > ${SCRATCH}/controller-trust-policy.json
      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::${AWS_ACCOUNT_ID}:oidc-provider/${OIDC_ENDPOINT}"
              },
              "Action": "sts:AssumeRoleWithWebIdentity",
              "Condition": {
                "StringEquals": {
                  "${OIDC_ENDPOINT}:sub": "system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-controller-cluster"
                  }
              }
            }
          ]
        }
      EOF

      Copy to Clipboard Toggle word wrap

   2. 使用信任策略创建 Controller 角色：

      CONTROLLER_ROLE_ARN=$(aws iam create-role --role-name "${CLUSTER_NAME}-albo-controller" \ --assume-role-policy-document "file://${SCRATCH}/controller-trust-policy.json" \ --query Role.Arn --output text) echo ${CONTROLLER_ROLE_ARN}

      Copy to Clipboard Toggle word wrap

      记录输出中的 Controller 角色 ARN。这个过程的剩余部分被称为 $CONTROLLER_ROLE_ARN。

   3. 关联 Controller 角色和策略：

      $ aws iam attach-role-policy \
          --role-name "${CLUSTER_NAME}-albo-controller" \
          --policy-arn ${CONTROLLER_POLICY_ARN}

      Copy to Clipboard Toggle word wrap

7. 部署 AWS Load Balancer Controller 实例：

   $ cat << EOF | oc apply -f -
   apiVersion: networking.olm.openshift.io/v1
   kind: AWSLoadBalancerController
   metadata:
    name: cluster
   spec:
    credentialsRequestConfig:
      stsIAMRoleARN: ${CONTROLLER_ROLE_ARN}
   EOF

   Copy to Clipboard Toggle word wrap
   注意

   如果在此处收到错误，等待一分钟并重试，这意味着 Operator 还没有完成安装。

8. 确认 Operator 和 Controller pod 都在运行：

   $ oc -n aws-load-balancer-operator get pods

   Copy to Clipboard Toggle word wrap

   如果没有看到类似如下的输出，请等待几分钟并重试。

   输出示例

   NAME                                                             READY   STATUS    RESTARTS   AGE
   aws-load-balancer-controller-cluster-6ddf658785-pdp5d            1/1     Running   0          99s
   aws-load-balancer-operator-controller-manager-577d9ffcb9-w6zqn   2/2     Running   0          2m4s

   Copy to Clipboard Toggle word wrap

流程

1. 创建一个新项目

   $ oc new-project hello-world

   Copy to Clipboard Toggle word wrap

2. 根据 hello-openshift 镜像创建一个新的 hello-world 应用程序：

   $ oc new-app -n hello-world --image=docker.io/openshift/hello-openshift

   Copy to Clipboard Toggle word wrap

3. 为 AWS Application Load Balancer (ALB)配置 NodePort 服务以连接：

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Service
   metadata:
     name: hello-openshift-nodeport
     namespace: hello-world
   spec:
     ports:
       - port: 80
         targetPort: 8080
         protocol: TCP
     type: NodePort
     selector:
       deployment: hello-openshift
   EOF

   Copy to Clipboard Toggle word wrap

4. 为应用程序部署 AWS ALB：

   $ cat << EOF | oc apply -f -
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: hello-openshift-alb
     namespace: hello-world
     annotations:
       alb.ingress.kubernetes.io/scheme: internet-facing
   spec:
     ingressClassName: alb
     rules:
       - http:
           paths:
             - path: /
               pathType: Exact
               backend:
                 service:
                   name: hello-openshift-nodeport
                   port:
                     number: 80
   EOF

   Copy to Clipboard Toggle word wrap

5. 测试对应用程序的 AWS ALB 端点的访问：

   注意

   ALB 置备需要几分钟时间。如果您收到一个错误，显示 curl: (6) Could not resolve host，请等待并重试。

   $ ALB_INGRESS=$(oc -n hello-world get ingress hello-openshift-alb \
       -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
   $ curl "http://${ALB_INGRESS}"

   Copy to Clipboard Toggle word wrap

   输出示例

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

6. 为应用程序部署 AWS Network Load Balancer (NLB)：

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Service
   metadata:
     name: hello-openshift-nlb
     namespace: hello-world
     annotations:
       service.beta.kubernetes.io/aws-load-balancer-type: external
       service.beta.kubernetes.io/aws-load-balancer-nlb-target-type: instance
       service.beta.kubernetes.io/aws-load-balancer-scheme: internet-facing
   spec:
     ports:
       - port: 80
         targetPort: 8080
         protocol: TCP
     type: LoadBalancer
     selector:
       deployment: hello-openshift
   EOF

   Copy to Clipboard Toggle word wrap

7. 测试对应用程序的 NLB 端点的访问：

   注意

   NLB 置备需要几分钟时间。如果您收到一个错误，显示 curl: (6) Could not resolve host，请等待并重试。

   $ NLB=$(oc -n hello-world get service hello-openshift-nlb \
     -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
   $ curl "http://${NLB}"

   Copy to Clipboard Toggle word wrap

   输出示例

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

8. 现在，您可以删除示例应用程序和 hello-world 命名空间中的所有资源。

   $ oc delete project hello-world

   Copy to Clipboard Toggle word wrap

流程

1. 删除 Operator Subscription：

   $ oc delete subscription aws-load-balancer-operator -n aws-load-balancer-operator

   Copy to Clipboard Toggle word wrap

2. 分离并删除相关的 AWS IAM 角色：

   $ aws iam detach-role-policy \
     --role-name "<cluster-id>-alb-operator" \
     --policy-arn <operator-policy-arn>
   $ aws iam delete-role \
     --role-name "<cluster-id>-alb-operator"

   Copy to Clipboard Toggle word wrap

3. 删除 AWS IAM 策略：

   $ aws iam delete-policy --policy-arn <operator-policy-arn>

   Copy to Clipboard Toggle word wrap

1. 在 openshift-ingress-node-firewall 命名空间中创建 IngressNodeFirewallConfig，名为 ingressnodefirewallconfig。

2. 运行以下命令来部署 Ingress Node Firewall Operator 规则：

   $ oc apply -f rule.yaml

   Copy to Clipboard Toggle word wrap

流程

1. 将以下标签应用到 ingress-node-firewall-system 命名空间：

   $ oc label namespace openshift-ingress-node-firewall \
       pod-security.kubernetes.io/enforce=privileged \
       pod-security.kubernetes.io/warn=privileged --overwrite

   Copy to Clipboard Toggle word wrap

2. 编辑名为 ingressnodefirewallconfig 的 IngressNodeFirewallConfig 对象并设置 ebpfProgramManagerMode 字段：

   Ingress Node Firewall Operator 配置对象

   apiVersion: ingressnodefirewall.openshift.io/v1alpha1
   kind: IngressNodeFirewallConfig
   metadata:
     name: ingressnodefirewallconfig
     namespace: openshift-ingress-node-firewall
   spec:
     nodeSelector:
       node-role.kubernetes.io/worker: ""
     ebpfProgramManagerMode: <ebpf_mode>

   Copy to Clipboard Toggle word wrap

   其中：

   <ebpf_mode> : 指定 Ingress Node Firewall Operator 是否使用 eBPF Manager Operator 来管理 eBPF 程序。必须为 true 或 false。如果未设置，则不会使用 eBPF Manager。

流程

1. 运行以下命令来查看所有当前规则：

   $ oc get ingressnodefirewall

   Copy to Clipboard Toggle word wrap

2. 选择返回的 <resource> 名称之一，并运行以下命令来查看规则或配置：

   $ oc get <resource> <name> -o yaml

   Copy to Clipboard Toggle word wrap