准备您的环境

1. 安装 AWS 命令行界面。
2. 使用 AWS CLI 登录 AWS 帐户： 通过 AWS CLI 登录

3. 验证您的帐户身份：

    $ aws sts get-caller-identity

   Copy to Clipboard Toggle word wrap

4. 检查 ELB (Elastic Load Balancing)的服务角色是否存在：

   $ aws iam get-role --role-name "AWSServiceRoleForElasticLoadBalancing"

   Copy to Clipboard Toggle word wrap

   如果角色不存在，请运行以下命令来创建它：

   $ aws iam create-service-linked-role --aws-service-name "elasticloadbalancing.amazonaws.com"

   Copy to Clipboard Toggle word wrap

1. 通过 Web 控制台安装 ROSA CLI。

2. 运行 rosa 登录并遵循命令输出中的 说明登录到您的红帽帐户：

   $ rosa login
   To login to your Red{nbsp}Hat account, get an offline access token at https://console.redhat.com/openshift/token/rosa
   ? Copy the token and paste it here:

   Copy to Clipboard Toggle word wrap

   或者，您可以复制完整的 $ rosa login --token=abc…​ 命令，并粘贴到终端中：

   $ rosa login --token=<abc..>

   Copy to Clipboard Toggle word wrap

3. 确认您已经使用正确的帐户和凭证登录：

   $ rosa whoami

   Copy to Clipboard Toggle word wrap

1. 从 OpenShift Cluster Manager 命令行界面(CLI)工具 页面下载并安装 oc，或按照 OpenShift CLI 入门 中的内容进行操作。

2. 运行以下命令验证 OpenShift CLI 是否已正确安装：

   $ rosa verify openshift-client

   Copy to Clipboard Toggle word wrap

流程

1. 在 ROSA CLI 中，使用 Amazon 资源名称(ARN)将 ocm-role 资源链接到红帽机构：

   注意

   您必须具有红帽机构管理员权限才能运行 rosa link 命令。将 ocm-role 资源与 AWS 帐户链接后，它会生效，并对机构的所有用户可见。

   $ rosa link ocm-role --role-arn <arn>

   Copy to Clipboard Toggle word wrap

   输出示例

   I: Linking OCM role
   ? Link the '<AWS ACCOUNT ID>` role with organization '<ORG ID>'? Yes
   I: Successfully linked role-arn '<AWS ACCOUNT ID>' with organization account '<ORG ID>'

   Copy to Clipboard Toggle word wrap

2. 在 ROSA CLI 中，使用 Amazon 资源名称(ARN)将您的 user-role 资源链接到您的红帽用户帐户：

   $ rosa link user-role --role-arn <arn>

   Copy to Clipboard Toggle word wrap

   输出示例

   I: Linking User role
   ? Link the 'arn:aws:iam::<ARN>:role/ManagedOpenShift-User-Role-125' role with organization '<AWS ID>'? Yes
   I: Successfully linked role-arn 'arn:aws:iam::<ARN>:role/ManagedOpenShift-User-Role-125' with organization account '<AWS ID>'

   Copy to Clipboard Toggle word wrap

流程

1. 列出 AWS CLI 配置中定义的 AWS 帐户 ID：

   $ aws sts get-caller-identity --query Account --output json

   Copy to Clipboard Toggle word wrap

   确保输出与相关 AWS 帐户的 ID 匹配。

2. 列出 AWS 帐户中设置的安全令牌版本：

   $ aws iam get-account-summary --query SummaryMap.GlobalEndpointTokenVersion --output json

   Copy to Clipboard Toggle word wrap

   输出示例

   1

   Copy to Clipboard Toggle word wrap

3. 要将 AWS 帐户中的所有区域的安全令牌版本更新为版本 2，请运行以下命令：

   $ aws iam set-security-token-service-preferences --global-endpoint-token-version v2Token

   Copy to Clipboard Toggle word wrap
   重要

   由于令牌长度增加，到安全令牌版本 2 可能会影响存储令牌的系统。如需更多信息，请参阅有关设置 STS 首选项的 AWS 文档。

流程

1. 允许列出用于安装和下载软件包和工具的以下 URL：

   Expand

   域	端口	功能
   registry.redhat.io	443	提供核心容器镜像。
   quay.io	443	提供核心容器镜像。
   cdn01.quay.io	443	提供核心容器镜像。
   cdn02.quay.io	443	提供核心容器镜像。
   cdn03.quay.io	443	提供核心容器镜像。
   cdn04.quay.io	443	提供核心容器镜像。
   cdn05.quay.io	443	提供核心容器镜像。
   cdn06.quay.io	443	提供核心容器镜像。
   sso.redhat.com	443	必需。https://console.redhat.com/openshift 站点使用 sso.redhat.com 中的身份验证下载 pull secret，并使用 Red Hat SaaS 解决方案来帮助监控您的订阅、集群清单、计费报告等。
   quay-registry.s3.amazonaws.com	443	提供核心容器镜像。
   quayio-production-s3.s3.amazonaws.com	443	提供核心容器镜像。
   registry.access.redhat.com	443	托管存储在 Red Hat Ecosytem Catalog 中的所有容器镜像。另外，registry 提供了对 odo CLI 工具的访问，可帮助开发人员在 OpenShift 和 Kubernetes 上进行构建。
   access.redhat.com	443	必需。在从 registry.access.redhat.com 中拉取镜像时，托管容器客户端需要验证镜像所需的签名存储。
   registry.connect.redhat.com	443	所有第三方镜像和认证 Operator 都需要。
   console.redhat.com	443	必需。允许集群和 OpenShift Console Manager 之间的交互以启用功能，如调度升级。
   sso.redhat.com	443	https://console.redhat.com/openshift 站点使用来自 sso.redhat.com的身份验证
   pull.q1w2.quay.rhcloud.com	443	当 quay.io 不可用时，提供核心容器镜像作为回退。
   catalog.redhat.com	443	registry.access.redhat.com 和 https://registry.redhat.io 站点通过 catalog.redhat.com 重定向。
   oidc.op1.openshiftapps.com	443	Red Hat OpenShift Service on AWS 用来使用受管 OIDC 配置实现 STS。

   Show more

2. 将以下遥测 URL 列入允许列表：

   Expand

   域	端口	功能
   cert-api.access.redhat.com	443	遥测是必需的。
   api.access.redhat.com	443	遥测是必需的。
   infogw.api.openshift.com	443	遥测是必需的。
   console.redhat.com	443	遥测和 Red Hat Insights 需要此项。
   observatorium-mst.api.openshift.com	443	受管 OpenShift 遥测的需要。
   observatorium.api.openshift.com	443	受管 OpenShift 遥测的需要。

   Show more

   受管集群需要启用遥测功能，以便红帽可以更快地对问题做出反应，更好地支持客户，并更好地了解产品升级对集群的影响。有关如何使用红帽远程健康监控数据的更多信息，请参阅附加资源部分中的 关于远程健康监控 功能。

3. 允许以下 Amazon Web Services (AWS) API URl：

   Expand

   域	端口	功能
   .amazonaws.com	443	需要此项以访问 AWS 服务和资源。

   Show more

   或者，如果您选择不为 Amazon Web Services (AWS) API 使用通配符，则必须允许列出以下 URL：

   Expand

   域	端口	功能
   ec2.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   events.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   iam.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   route53.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   sts.amazonaws.com	443	用于在 AWS 环境中安装和管理集群，用于配置为使用 AWS STS 的全局端点。
   sts.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群，用于配置为使用 AWS STS 的区域端点的集群。如需更多信息，请参阅 AWS STS 区域端点。
   tagging.us-east-1.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。此端点始终为 us-east-1，无论集群要部署到的区域。
   ec2.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   elasticloadbalancing.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   tagging.<aws_region>.amazonaws.com	443	允许以标签的形式分配 AWS 资源的元数据。

   Show more

4. 将以下 OpenShift URL 列入允许列表：

   Expand

   域	端口	功能
   mirror.openshift.com	443	用于访问镜像安装内容和镜像。此站点也是发行版本镜像签名的来源。
   api.openshift.com	443	用于检查集群是否有可用的更新。

   Show more

5. 将以下站点可靠性工程 (SRE) 和管理 URL 列入允许：

   Expand

   域	端口	功能
   api.pagerduty.com	443	此警报服务供 in-cluster alertmanager 发送警报通知 Red Hat SRE 的事件来执行操作。
   events.pagerduty.com	443	此警报服务供 in-cluster alertmanager 发送警报通知 Red Hat SRE 的事件来执行操作。
   api.deadmanssnitch.com	443	Red Hat OpenShift Service on AWS 使用的警报服务发送定期 ping 来指示集群是否可用并运行。
   nosnch.in	443	Red Hat OpenShift Service on AWS 使用的警报服务发送定期 ping 来指示集群是否可用并运行。
   http-inputs-osdsecuritylogs.splunkcloud.com	443	必需。splunk-forwarder-operator 使用为一个日志转发端点，供 Red Hat SRE 用于基于日志的警报。
   sftp.access.redhat.com (推荐)	22	must-gather-operator 使用的 SFTP 服务器上传诊断日志，以帮助排除集群中的问题。

   Show more

流程

1. 如果您的 AWS 帐户不存在它们，请创建所需的账户范围 STS 角色，并通过运行以下命令来附加策略：

   $ rosa create account-roles --hosted-cp

   Copy to Clipboard Toggle word wrap

2. 可选：运行以下命令，将您的前缀设置为环境变量：

   $ export ACCOUNT_ROLES_PREFIX=<account_role_prefix>

   Copy to Clipboard Toggle word wrap

   • 运行以下命令，查看变量的值：

     $ echo $ACCOUNT_ROLES_PREFIX

     Copy to Clipboard Toggle word wrap

     输出示例

     ManagedOpenShift

     Copy to Clipboard Toggle word wrap

流程

1. 要创建 OIDC 配置以及 AWS 资源，请运行以下命令：

   $ rosa create oidc-config --mode=auto --yes

   Copy to Clipboard Toggle word wrap

   此命令返回以下信息：

   输出示例

   ? Would you like to create a Managed (Red Hat hosted) OIDC Configuration Yes
   I: Setting up managed OIDC configuration
   I: To create Operator Roles for this OIDC Configuration, run the following command and remember to replace <user-defined> with a prefix of your choice:
   	rosa create operator-roles --prefix <user-defined> --oidc-config-id 13cdr6b
   If you are going to create a Hosted Control Plane cluster please include '--hosted-cp'
   I: Creating OIDC provider using 'arn:aws:iam::4540112244:user/userName'
   ? Create the OIDC provider? Yes
   I: Created OIDC provider with ARN 'arn:aws:iam::4540112244:oidc-provider/dvbwgdztaeq9o.cloudfront.net/13cdr6b'

   Copy to Clipboard Toggle word wrap

   在创建集群时，您必须提供 OIDC 配置 ID。CLI 输出为-- mode auto 提供了此值，否则您必须根据 aws CLI 输出用于- 模式手动 确定这些值。

2. 可选： 您可以将 OIDC 配置 ID 保存为稍后使用的变量。运行以下命令来保存变量：

   $ export OIDC_ID=<oidc_config_id>

   1

   Copy to Clipboard Toggle word wrap

   1

   在上面的示例输出中，OIDC 配置 ID 是 13cdr6b。

   • 运行以下命令，查看变量的值：

     $ echo $OIDC_ID

     Copy to Clipboard Toggle word wrap

     输出示例

     13cdr6b

     Copy to Clipboard Toggle word wrap

流程

1. 要创建 Operator 角色，请运行以下命令：

   $ rosa create operator-roles --hosted-cp --prefix=$OPERATOR_ROLES_PREFIX --oidc-config-id=$OIDC_ID --installer-role-arn arn:aws:iam::$AWS_ACCOUNT_ID:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role

   Copy to Clipboard Toggle word wrap

   以下分类提供了创建 Operator 角色的选项。

   $ rosa create operator-roles --hosted-cp
   	--prefix=$OPERATOR_ROLES_PREFIX 

   1

   
   	--oidc-config-id=$OIDC_ID 

   2

   
   	--installer-role-arn arn:aws:iam::$AWS_ACCOUNT_ID:role/$ACCOUNT_ROLES_PREFIX-HCP-ROSA-Installer-Role 

   3

   Copy to Clipboard Toggle word wrap

   1

   在创建这些 Operator 角色时，您必须提供一个前缀。如果不这样做，则会产生错误。如需有关 Operator 前缀的信息，请参阅本节的额外资源。

   2

   这个值是您为 Red Hat OpenShift Service on AWS 创建的 OIDC 配置 ID。

   3

   这个值是您在创建 Red Hat OpenShift Service on AWS 帐户角色时创建的安装程序角色 ARN。

   您必须包含 -hosted-cp 参数，以便为 Red Hat OpenShift Service on AWS 集群创建正确的角色。此命令返回以下信息：

   输出示例

   ? Role creation mode: auto
   ? Operator roles prefix: <pre-filled_prefix> 

   1

   
   ? OIDC Configuration ID: 23soa2bgvpek9kmes9s7os0a39i13qm4 | https://dvbwgdztaeq9o.cloudfront.net/23soa2bgvpek9kmes9s7os0a39i13qm4 

   2

   
   ? Create hosted control plane operator roles: Yes
   W: More than one Installer role found
   ? Installer role ARN: arn:aws:iam::4540112244:role/<prefix>-HCP-ROSA-Installer-Role
   ? Permissions boundary ARN (optional):
   I: Reusable OIDC Configuration detected. Validating trusted relationships to operator roles:
   I: Creating roles using 'arn:aws:iam::4540112244:user/<userName>'
   I: Created role '<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials'
   I: Created role '<prefix>-openshift-cloud-network-config-controller-cloud-credenti' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cloud-network-config-controller-cloud-credenti'
   I: Created role '<prefix>-kube-system-kube-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kube-controller-manager'
   I: Created role '<prefix>-kube-system-capa-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-capa-controller-manager'
   I: Created role '<prefix>-kube-system-control-plane-operator' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-control-plane-operator'
   I: Created role '<prefix>-kube-system-kms-provider' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kms-provider'
   I: Created role '<prefix>-openshift-image-registry-installer-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-image-registry-installer-cloud-credentials'
   I: Created role '<prefix>-openshift-ingress-operator-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-ingress-operator-cloud-credentials'
   I: To create a cluster with these roles, run the following command:
   	rosa create cluster --sts --oidc-config-id 23soa2bgvpek9kmes9s7os0a39i13qm4 --operator-roles-prefix <prefix> --hosted-cp

   Copy to Clipboard Toggle word wrap

   1

   此字段会预先填充您在初始创建命令中设置的前缀。

   2

   此字段要求您选择为 Red Hat OpenShift Service on AWS 集群创建的 OIDC 配置。

   现在，Operator 角色已创建并可用于创建 Red Hat OpenShift Service on AWS 集群。