教程

1. 点 Get started 按钮在 AWS 控制台页面中激活 Red Hat OpenShift Service on AWS 产品：

   图 2.1. 开始使用

   

   View larger image

   

   如果您在 AWS 上激活了 Red Hat OpenShift Service on AWS，但没有完成这个过程，您可以点按钮并完成以下步骤中所述完成帐户链接。

2. 确认您希望您的联系信息与红帽共享并启用该服务：

   图 2.2. 启用 Red Hat OpenShift Service on AWS

   

   View larger image

   
   • 在这一步中启用服务不会收取费用。进行连接用于账单和计量，只有在部署第一个集群后才会进行。这可能需要几分钟时间。

3. 过程完成后，您会看到确认：

   图 2.3. Red Hat OpenShift Service on AWS 启用确认

   

   View larger image

   

4. 此验证页面中的其他部分显示额外先决条件的状态。如果没有满足任何这些先决条件，则会显示对应的消息。以下是所选区域中配额不足的示例：

   图 2.4. 服务配额

   

   View larger image

   
   1. 点 增加服务配额 按钮，或使用 了解更多 链接获取有关如何管理服务配额的更多信息。如果配额不足，请注意配额是特定于区域的配额。您可以使用 Web 控制台右上角的区域切换器来重新运行您感兴趣的任何区域的配额检查，然后根据需要提交服务配额增加请求。

5. 如果满足所有先决条件，该页面类似如下：

   图 2.5. 验证 Red Hat OpenShift Service on AWS 的先决条件

   

   View larger image

   

   ELB 服务链接的角色会自动为您创建。您可以点击任何小 Info blue 链接来获取上下文的帮助和资源。

1. 点 orange Continue to Red Hat 按钮继续帐户链接：

   图 2.6. 继续红帽

   

   View larger image

   

2. 如果您还没有在当前浏览器的会话中登录到您的红帽帐户，则需要登录到您的帐户：

   注意

   您的 AWS 帐户必须链接到单个红帽机构。

   图 2.7. 登录到您的红帽帐户

   

   View larger image

   
   • 您还可以注册新的红帽帐户，或在此页面上重置密码。
   • 登录到您要与 AWS 帐户关联的红帽帐户，该帐户已激活了 Red Hat OpenShift Service on AWS 产品订阅。
   • 用于服务账单的 AWS 帐户只能与单个红帽帐户关联。通常，AWS 付费帐户是用于订阅 AWS 上的 Red Hat OpenShift Service，用于帐户链接和计费。
   • 所有属于同一红帽机构的团队成员，可在创建 Red Hat OpenShift Service on AWS 集群时使用链接的 AWS 帐户进行服务账单。

3. 在查看条款和条件后完成红帽帐户链接：

   注意

   只有在 AWS 帐户之前没有链接到任何红帽帐户时，才提供此步骤。

   如果 AWS 帐户已链接到用户的登录红帽帐户，则会跳过这一步。

   如果 AWS 帐户链接到其他红帽帐户，则会显示错误。请参阅 Correcting Billing Account Information for HCP 集群 以进行故障排除。

   图 2.8. 完成您的帐户连接

   

   View larger image

   

   红帽和 AWS 帐号都会在此屏幕中显示。

4. 如果您同意服务条款，请单击 Connect account 按钮。

   如果您是首次使用 Red Hat Hybrid Cloud 控制台，在能够创建第一个集群前，您需要同意常规受管服务条款和条件：

   图 2.9. 条款和条件

   

   View larger image

   

   点 View Conditions and Conditions 按钮后会显示需要审核和接受的其他条款 ：

   图 2.10. 红帽条款和条件

   

   View larger image

   

   此时您检查了任何其他条款后，提交您的协议。

5. Hybrid Cloud Console 提供了确认 AWS 帐户设置已完成，并列出集群部署的先决条件：

   图 2.11. 在 AWS 上完成 Red Hat OpenShift Service on AWS 的先决条件

   

   View larger image

   

   本页的最后一部分显示集群部署选项，可使用 rosa CLI 或通过 Web 控制台：

   图 2.12. 部署集群并设置访问权限

   

   View larger image

   

1. 使用 rosa create cluster 命令启动集群部署。您可以点 Set up Red Hat OpenShift Service on AWS (ROSA)控制台页面中的副本 按钮，并在终端中粘贴命令。这会以互动模式启动集群创建过程：

   图 2.13. 部署集群并设置访问权限

   

   View larger image

   
2. 要使用自定义 AWS 配置集，您的 ~/.aws/credentials 中指定的非默认配置集之一，您可以在 rosa create cluster 命令中添加 -profile <profile_name >，以便命令类似于 rosa create cluster -profile stage。如果没有使用这个选项指定 AWS CLI 配置集，则默认 AWS CLI 配置集将决定集群要部署到的 AWS 基础架构配置集。账单 AWS 配置集通过以下步骤之一进行选择。

3. 在 AWS 集群上部署 Red Hat OpenShift Service 时，需要指定账单 AWS 帐户：

   图 2.14. 指定 Billing 帐户

   

   View larger image

   
   • 只有链接到用户登录的红帽帐户的 AWS 帐户才会显示。
   • 指定的 AWS 帐户使用 Red Hat OpenShift Service on AWS 服务。

   • 指示器显示了是否为给定 AWS 账单帐户启用或未启用 Red Hat OpenShift Service on AWS 合同。

     • 如果您选择了显示 Contract enabled 标签的 AWS 账单帐户，只有在消耗了预付费合同的容量后，才会收取按需消耗率。
     • 没有启用合同 标签的 AWS 帐户会收取适用的按需消耗率。

1. 通过在简介 设置 Red Hat OpenShift Service on AWS 页面的底部部分选择第二个选项，可以使用 Web 控制台创建集群：

   图 2.15. 使用 Web 界面部署

   

   View larger image

   
   注意

   在开始 Web 控制台部署过程前，请完成先决条件。

   某些任务（如创建帐户角色）需要 rosa CLI。如果您要首次部署 Red Hat OpenShift Service on AWS，请在启动 Web 控制台部署步骤前执行此 CLI 步骤，直到运行 rosa whoami 命令为止。

2. 使用 Web 控制台创建 Red Hat OpenShift Service on AWS 集群时的第一步是 control plane 选择。在点 Next 按钮前，确保选择了 Hosted 选项：

   图 2.16. 选择托管选项

   

   View larger image

   

3. 下一步帐户和 角色 允许您指定部署 Red Hat OpenShift Service on AWS 集群的基础架构 AWS 帐户，以及消耗和管理资源的位置：

   图 2.17. AWS 基础架构帐户

   

   View larger image

   
   • 如果没有看到您要在其上部署 Red Hat OpenShift Service on AWS 集群的帐户，请参阅 How to associated associated new AWS 帐户以获取有关如何为此关联创建或链接帐户角色的详细信息。
   • rosa CLI 用于此目的。
   • 如果您使用多个 AWS 帐户，并为 AWS CLI 配置其配置集，您可以在使用 rosa CLI 命令时使用-profile 选择器来指定 AWS 配置集。

4. 账单 AWS 帐户将立即选中在以下部分：

   图 2.18. AWS 账单帐户

   

   View larger image

   
   • 只有链接到用户登录的红帽帐户的 AWS 帐户才会显示。
   • 指定的 AWS 帐户使用 Red Hat OpenShift Service on AWS 服务。

   • 指示器显示了是否为给定 AWS 账单帐户启用或未启用 Red Hat OpenShift Service on AWS 合同。

     • 如果您选择了显示 Contract enabled 标签的 AWS 账单帐户，只有在消耗了预付费合同的容量后，才会收取按需消耗率。
     • 没有启用合同 标签的 AWS 帐户会收取适用的按需消耗率。

1. 当您获得 Red Hat OpenShift Service on AWS 的私有产品时，会为您提供一个唯一 URL，该 URL 只能通过销售者指定的特定 AWS 帐户 ID 访问。

   注意

   验证您是否使用指定为 buyer 的 AWS 帐户登录。尝试使用另一个 AWS 帐户访问所提供的信息会生成 "page not found" 错误消息，如下面的故障排除部分图 11 所示。

   1. 您可以在图 1 中看到带有常规私有提供的所提供的选择下拉菜单。只有在使用公共提供或其他私有产品前没有激活 Red Hat OpenShift Service on AWS 时，才能接受此类优惠。

      图 3.1. 常规私有提供

      

      View larger image

      

   2. 您可以看到，使用公共产品为之前激活的 Red Hat OpenShift Service on AWS 的 AWS 帐户创建的私有产品，显示产品名称和所选私有提供标记为"Upgrade"，它取代了 AWS 上 AWS 当前正在运行的合同（图 2）。

      图 3.2. 私有提供选择屏幕

      

      View larger image

      

   3. 下拉菜单允许选择多个服务（如果可用）。之前激活的公共优惠与新提供的协议提供一起显示，在图 3 中被标记为"Upgrade"。

      图 3.3. 私有提供选择下拉菜单

      

      View larger image

      

2. 验证您的所提供的配置是否已选中。图 4 显示优惠页面底部部分，并提供详细信息。

   注意

   合同结束日期、所提供的单位数以及付款计划。在本例中，包括 1 个集群，最多使用 4 个 vCPU 的节点。

   图 3.4. 私有提供详情

   

   View larger image

   

3. 可选：您可以在购买的订阅 中添加您自己的购买订单(PO)号，以便其包含在后续 AWS 发票中。另外，请检查"新提供配置详情"范围以上任何使用量的"附加使用费用"。

   注意

   私有提供几个可用的配置。

   • 您接受的私有服务可能是您使用固定的未来开始日期设置的。
   • 如果您在接受私有产品时没有另一个有效的 Red Hat OpenShift Service on AWS 订阅，发布或旧的私有授权，请接受私有提供自身，并在指定服务开始日期后继续帐户链接和集群部署步骤。

   您必须有一个有效的 Red Hat OpenShift Service on AWS 权利才能完成这些步骤。服务开始日期总是在 UTC 时区中报告

4. 创建或升级您的合同。

   1. 对于私有提供的，AWS 帐户尚未激活 Red Hat OpenShift Service on AWS，并且正在为该服务创建第一个合同，点 Create contract 按钮。

      图 3.5. 创建合同按钮

      

      View larger image

      

   2. 对于基于协议的提供，请单击图 4 和 6 所示 的升级当前合同 按钮。

      图 3.6. 升级合同按钮

      

      View larger image

      

5. 单击 Confirm。

   图 3.7. 私有提供接受确认窗口

   

   View larger image

   

6. 如果接受的私人提供服务日期被设置为紧跟在所提供的接受后，点确认模态窗口中的 Set up your account 按钮。

   图 3.8. 订阅确认

   

   View larger image

   

7. 如果接受的私有服务在以后指定了开始日期，请在服务开始日期后返回到私有优惠页，然后点击 Setup your account 按钮继续 Red Hat 和 AWS 帐户链接。

   注意

   如果没有激活协议，则不会触发下面描述的帐户链接，"帐户设置"进程只能在"服务启动日期"后执行。

   它们始终在 UTC 时区。

1. 点击上一步中的 Set up your account 按钮可进入 AWS 和红帽帐户链接步骤。目前，您已使用接受提供的 AWS 帐户登录。如果您没有使用 Red Hat 帐户登录，系统会提示您这样做。

   Red Hat OpenShift Service on AWS 授权通过您的红帽帐户与其他团队成员共享。同一红帽机构中的所有现有用户都可以按照上述步骤选择接受私有提供的账单 AWS 帐户。当您以 红帽机构管理员身份登录时，您可以管理 红帽机构中的用户，并邀请或创建新用户。

   注意

   Red Hat OpenShift Service on AWS 私有提供无法通过 AWS License Manager 与 AWS 链接的帐户共享。

2. 添加您要在 AWS 集群上部署 Red Hat OpenShift Service 的用户。有关红帽帐户 用户管理任务的更多详细信息，请查看此用户管理常见问题解答。
3. 验证已登录的红帽帐户是否包含旨在作为 Red Hat OpenShift Service on AWS 集群部署者的所有用户，这些用户可从接受的私有产品中受益。

4. 验证红帽帐户号和 AWS 帐户 ID 是要链接的所需帐户。这个链接是唯一的，红帽帐户只能与一个 AWS （计费）帐户连接。

   图 3.9. AWS 和红帽帐户连接

   

   View larger image

   

5. 如果您要将 AWS 帐户与比图 9 显示的另一个红帽帐户链接，请在连接帐户前从 Red Hat Hybrid Cloud Console 注销，并通过返回到已接受的私有提供 URL 来重复设置帐户的步骤。

   AWS 帐户只能与单个红帽帐户连接。连接红帽和 AWS 帐户后，用户无法更改此帐户。如果需要更改，用户必须创建一个支持问题单。

6. 同意条款和条件，然后单击 连接帐户。

1. 配置以下环境变量：

   $ export VPC_ID=<vpc_ID> 

   1

   
   $ export REGION=<region> 

   2

   
   $ export VPC_CIDR=<vpc_CIDR> 

   3

   Copy to Clipboard Toggle word wrap

   1

   将 <vpc_ID > 替换为您要将集群安装到的 VPC 的 ID。

   2

   将 &lt;region> 替换为您要将集群安装到的 AWS 区域。

   3

   将 <vpc_CIDR > 替换为 VPC 的 CIDR 范围。

2. 在移至下一部分前，确保所有字段都正确输出：

   $ echo "VPC ID: ${VPC_ID}, VPC CIDR Range: ${VPC_CIDR}, Region: ${REGION}"

   Copy to Clipboard Toggle word wrap

1. 创建一个安全组，并允许从 VPC 访问端口 53/tcp 和 53/udp ：

   $ SG_ID=$(aws ec2 create-security-group --group-name rosa-inbound-resolver --description "Security group for ROSA inbound resolver" --vpc-id ${VPC_ID} --region ${REGION} --output text)
   $ aws ec2 authorize-security-group-ingress --group-id ${SG_ID} --protocol tcp --port 53 --cidr ${VPC_CIDR} --region ${REGION}
   $ aws ec2 authorize-security-group-ingress --group-id ${SG_ID} --protocol udp --port 53 --cidr ${VPC_CIDR} --region ${REGION}

   Copy to Clipboard Toggle word wrap

2. 在 VPC 中创建 Amazon Route 53 Inbound Resolver：

   $ RESOLVER_ID=$(aws route53resolver create-resolver-endpoint \
     --name rosa-inbound-resolver \
     --creator-request-id rosa-$(date '+%Y-%m-%d') \
     --security-group-ids ${SG_ID} \
     --direction INBOUND \
     --ip-addresses $(aws ec2 describe-subnets --filter Name=vpc-id,Values=${VPC_ID} --region ${REGION} | jq -jr '.Subnets | map("SubnetId=\(.SubnetId) ") | .[]') \
     --region ${REGION} \
     --output text \
     --query 'ResolverEndpoint.Id')

   Copy to Clipboard Toggle word wrap
   注意

   以上命令使用动态分配的 IP 地址将 Amazon Route 53 Inbound Resolver 端点附加到提供的 VPC 中的所有子网。如果要手动指定子网和/或 IP 地址，请运行以下命令：

   $ RESOLVER_ID=$(aws route53resolver create-resolver-endpoint \
     --name rosa-inbound-resolver \
     --creator-request-id rosa-$(date '+%Y-%m-%d') \
     --security-group-ids ${SG_ID} \
     --direction INBOUND \
     --ip-addresses SubnetId=<subnet_ID>,Ip=<endpoint_IP> SubnetId=<subnet_ID>,Ip=<endpoint_IP> \

   1

   
     --region ${REGION} \
     --output text \
     --query 'ResolverEndpoint.Id')

   Copy to Clipboard Toggle word wrap

   1

   将 <subnet_ID > 替换为子网 ID，将 &lt ;endpoint_IP > 替换为您要入站解析器端点的静态 IP 地址。

3. 获取入站解析器端点的 IP 地址，以便在 DNS 服务器配置中配置：

   $ aws route53resolver list-resolver-endpoint-ip-addresses \
     --resolver-endpoint-id ${RESOLVER_ID} \
     --region=${REGION} \
     --query 'IpAddresses[*].Ip'

   Copy to Clipboard Toggle word wrap

   输出示例

   [
       "10.0.45.253",
       "10.0.23.131",
       "10.0.148.159"
   ]

   Copy to Clipboard Toggle word wrap

流程

1. 从私钥和公共证书创建一个新的 TLS secret，其中 fullchain.pem 是您的完整通配符证书链（包括任何中间人），privkey.pem 是通配符证书的私钥。

   Example

   $ oc -n openshift-ingress create secret tls waf-tls --cert=fullchain.pem --key=privkey.pem

   Copy to Clipboard Toggle word wrap

2. 创建新的 IngressController 资源：

   waf-ingress-controller.yaml示例

   apiVersion: operator.openshift.io/v1
   kind: IngressController
   metadata:
     name: cloudfront-waf
     namespace: openshift-ingress-operator
   spec:
     domain: apps.example.com 

   1

   
     defaultCertificate:
       name: waf-tls
     endpointPublishingStrategy:
       loadBalancer:
         dnsManagementPolicy: Unmanaged
         providerParameters:
           aws:
             type: NLB
           type: AWS
         scope: External
       type: LoadBalancerService
     routeSelector: 

   2

   
       matchLabels:
        route: waf

   Copy to Clipboard Toggle word wrap

   1

   使用您要用于 IngressController 的自定义域替换。

   2

   过滤 Ingress Controller 服务的一组路由。在本教程中，我们将使用 waf 路由选择器，但如果不提供任何值，则不会进行任何过滤。

3. 应用 IngressController ：

   Example

   $ oc apply -f waf-ingress-controller.yaml

   Copy to Clipboard Toggle word wrap

4. 验证 IngressController 是否已成功创建外部负载均衡器：

   $ oc -n openshift-ingress get service/router-cloudfront-waf

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                    TYPE           CLUSTER-IP      EXTERNAL-IP                                                                     PORT(S)                      AGE
   router-cloudfront-waf   LoadBalancer   172.30.16.141   a68a838a7f26440bf8647809b61c4bc8-4225395f488830bd.elb.us-east-1.amazonaws.com   80:30606/TCP,443:31065/TCP   2m19s

   Copy to Clipboard Toggle word wrap

1. 检索新创建的自定义 ingress 控制器的 NLB 主机名：

   $ NLB=$(oc -n openshift-ingress get service router-cloudfront-waf \
     -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')

   Copy to Clipboard Toggle word wrap

2. 将您的证书导入到 Amazon 证书管理器中，其中 cert.pem 是通配符证书，fullchain.pem 是通配符证书的链，privkey.pem 是通配符证书的私钥。

   注意

   无论集群要部署哪些区域，您必须将此证书导入到 us-east-1，因为 Amazon CloudFront 是全局 AWS 服务。

   Example

   $ aws acm import-certificate --certificate file://cert.pem \
     --certificate-chain file://fullchain.pem \
     --private-key file://privkey.pem \
     --region us-east-1

   Copy to Clipboard Toggle word wrap

3. 登录到 AWS 控制台 以创建 CloudFront 发行版。

4. 使用以下信息配置 CloudFront 发行版：

   注意

   如果下表中没有指定选项，请将其保留默认值（可能为空）。

   Expand

   选项	value
   原始域	上一命令的输出 [1]
   Name	rosa-waf-ingress [2]
   Viewer 协议策略	将 HTTP 重定向到 HTTPS
   允许的 HTTP 方法	GET, HEAD, OPTIONS, PUT, POST, PATCH, DELETE
   缓存策略	CachingDisabled
   原始请求策略	AllViewer
   Web 应用程序防火墙(WAF)	启用安全保护
   使用现有的 WAF 配置	true
   选择 Web ACL	cloudfront-waf
   备用域名(CNAME)	*.apps.example.com [3]
   自定义 SSL 证书	从上面的步骤中选择您导入的证书 [4]

   Show more
   1. 运行 echo ${NLB} 以获取原始域。
   2. 如果您有多个集群，请确保原始名称是唯一的。
   3. 这应该与您用来创建自定义入口控制器的通配符域匹配。
   4. 这应该与上面输入的备用域名匹配。

5. 检索 Amazon CloudFront 分发端点：

   $ aws cloudfront list-distributions --query "DistributionList.Items[?Origins.Items[?DomainName=='${NLB}']].DomainName" --output text

   Copy to Clipboard Toggle word wrap

6. 将自定义通配符域的 DNS 使用 CNAME 更新为来自上面的步骤的 Amazon CloudFront 分发端点。

   Example

   *.apps.example.com CNAME d1b2c3d4e5f6g7.cloudfront.net

   Copy to Clipboard Toggle word wrap

1. 运行以下命令，为示例应用程序创建一个新项目：

   $ oc new-project hello-world

   Copy to Clipboard Toggle word wrap

2. 部署 hello world 应用程序：

   $ oc -n hello-world new-app --image=docker.io/openshift/hello-openshift

   Copy to Clipboard Toggle word wrap

3. 为指定自定义域名的应用程序创建路由：

   Example

   $ oc -n hello-world create route edge --service=hello-openshift hello-openshift-tls \
   --hostname hello-openshift.${DOMAIN}

   Copy to Clipboard Toggle word wrap

4. 标记路由，使其接受到自定义入口控制器：

   $ oc -n hello-world label route.route.openshift.io/hello-openshift-tls route=waf

   Copy to Clipboard Toggle word wrap

1. 测试应用程序是否可以在 Amazon CloudFront 后面访问：

   Example

   $ curl "https://hello-openshift.${DOMAIN}"

   Copy to Clipboard Toggle word wrap

   输出示例

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

2. 测试 WAF 是否拒绝错误请求：

   Example

   $ curl -X POST "https://hello-openshift.${DOMAIN}" \
     -F "user='<script><alert>Hello></alert></script>'"

   Copy to Clipboard Toggle word wrap

   输出示例

   <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
   <HTML><HEAD><META HTTP-EQUIV="Content-Type" CONTENT="text/html; charset=iso-8859-1">
   <TITLE>ERROR: The request could not be satisfied</TITLE>
   </HEAD><BODY>
   <H1>403 ERROR</H1>
   <H2>The request could not be satisfied.</H2>
   <HR noshade size="1px">
   Request blocked.
   We can't connect to the server for this app or website at this time. There might be too much traffic or a configuration error. Try again later, or contact the app or website owner.
   <BR clear="all">
   If you provide content to customers through CloudFront, you can find steps to troubleshoot and help prevent this error by reviewing the CloudFront documentation.
   <BR clear="all">
   <HR noshade size="1px">
   <PRE>
   Generated by cloudfront (CloudFront)
   Request ID: nFk9q2yB8jddI6FZOTjdliexzx-FwZtr8xUQUNT75HThPlrALDxbag==
   </PRE>
   <ADDRESS>
   </ADDRESS>
   </BODY></HTML>

   Copy to Clipboard Toggle word wrap

   预期的结果是一个 403 ERROR，这意味着 AWS WAF 正在保护您的应用程序。

1. 运行以下命令，创建一个新项目来部署 AWS Load Balancer Operator：

   $ oc new-project aws-load-balancer-operator

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，为 AWS Load Balancer Controller 创建 AWS IAM 策略（如果不存在）：

   注意

   该策略 来自上游 AWS Load Balancer Controller 策略。Operator 需要此功能。

   $ POLICY_ARN=$(aws iam list-policies --query \
        "Policies[?PolicyName=='aws-load-balancer-operator-policy'].{ARN:Arn}" \
        --output text)

   Copy to Clipboard Toggle word wrap

   $ if [[ -z "${POLICY_ARN}" ]]; then
       wget -O "${SCRATCH}/load-balancer-operator-policy.json" \
          https://raw.githubusercontent.com/kubernetes-sigs/aws-load-balancer-controller/main/docs/install/iam_policy.json
        POLICY_ARN=$(aws --region "$REGION" --query Policy.Arn \
        --output text iam create-policy \
        --policy-name aws-load-balancer-operator-policy \
        --policy-document "file://${SCRATCH}/load-balancer-operator-policy.json")
   fi

   Copy to Clipboard Toggle word wrap

3. 为 AWS Load Balancer Operator 创建 AWS IAM 信任策略：

   $ cat <<EOF > "${SCRATCH}/trust-policy.json"
   {
    "Version": "2012-10-17",
    "Statement": [
    {
    "Effect": "Allow",
    "Condition": {
      "StringEquals" : {
        "${OIDC_ENDPOINT}:sub": ["system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-operator-controller-manager", "system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-controller-cluster"]
      }
    },
    "Principal": {
      "Federated": "arn:aws:iam::$AWS_ACCOUNT_ID:oidc-provider/${OIDC_ENDPOINT}"
    },
    "Action": "sts:AssumeRoleWithWebIdentity"
    }
    ]
   }
   EOF

   Copy to Clipboard Toggle word wrap

4. 为 AWS Load Balancer Operator 创建 AWS IAM 角色：

   $ ROLE_ARN=$(aws iam create-role --role-name "${CLUSTER}-alb-operator" \
      --assume-role-policy-document "file://${SCRATCH}/trust-policy.json" \
      --query Role.Arn --output text)

   Copy to Clipboard Toggle word wrap

5. 运行以下命令，将 AWS Load Balancer Operator 策略附加到之前创建的 IAM 角色中：

   $ aws iam attach-role-policy --role-name "${CLUSTER}-alb-operator" \
        --policy-arn ${POLICY_ARN}

   Copy to Clipboard Toggle word wrap

6. 为 AWS Load Balancer Operator 创建一个 secret，以假定我们新创建的 AWS IAM 角色：

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Secret
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   stringData:
     credentials: |
       [default]
       role_arn = ${ROLE_ARN}
       web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token
   EOF

   Copy to Clipboard Toggle word wrap

7. 安装 AWS Load Balancer Operator：

   $ cat << EOF | oc apply -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     upgradeStrategy: Default
   ---
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     channel: stable-v1.0
     installPlanApproval: Automatic
     name: aws-load-balancer-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: aws-load-balancer-operator.v1.0.0
   EOF

   Copy to Clipboard Toggle word wrap

8. 使用 Operator 部署 AWS Load Balancer Controller 实例：

   注意

   如果在此处收到错误，等待一分钟并重试，这意味着 Operator 还没有完成安装。

   $ cat << EOF | oc apply -f -
   apiVersion: networking.olm.openshift.io/v1
   kind: AWSLoadBalancerController
   metadata:
     name: cluster
   spec:
     credentials:
       name: aws-load-balancer-operator
     enabledAddons:
       - AWSWAFv2
   EOF

   Copy to Clipboard Toggle word wrap

9. 检查 Operator 和控制器 pod 是否正在运行：

   $ oc -n aws-load-balancer-operator get pods

   Copy to Clipboard Toggle word wrap

   如果没有等待时间并重试，您应该看到以下内容：

   NAME                                                             READY   STATUS    RESTARTS   AGE
   aws-load-balancer-controller-cluster-6ddf658785-pdp5d            1/1     Running   0          99s
   aws-load-balancer-operator-controller-manager-577d9ffcb9-w6zqn   2/2     Running   0          2m4s

   Copy to Clipboard Toggle word wrap

1. 为我们的示例应用程序创建一个新项目：

   $ oc new-project hello-world

   Copy to Clipboard Toggle word wrap

2. 部署 hello world 应用程序：

   $ oc new-app -n hello-world --image=docker.io/openshift/hello-openshift

   Copy to Clipboard Toggle word wrap

3. 将预先创建的 service 资源转换为 NodePort 服务类型：

   $ oc -n hello-world patch service hello-openshift -p '{"spec":{"type":"NodePort"}}'

   Copy to Clipboard Toggle word wrap

4. 使用 AWS Load Balancer Operator 部署 AWS ALB：

   $ cat << EOF | oc apply -f -
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: hello-openshift-alb
     namespace: hello-world
     annotations:
       alb.ingress.kubernetes.io/scheme: internet-facing
   spec:
     ingressClassName: alb
     rules:
       - http:
           paths:
             - path: /
               pathType: Exact
               backend:
                 service:
                   name: hello-openshift
                   port:
                     number: 8080
   EOF

   Copy to Clipboard Toggle word wrap

5. curl AWS ALB Ingress 端点，以验证 hello world 应用程序是否可以访问：

   注意

   AWS ALB 置备需要几分钟时间。如果您收到一个错误，显示 curl: (6) Could not resolve host，请等待并重试。

   $ INGRESS=$(oc -n hello-world get ingress hello-openshift-alb -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
   $ curl "http://${INGRESS}"

   Copy to Clipboard Toggle word wrap

   输出示例

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

1. 创建一个 IAM 策略以允许 S3 访问：

   $ POLICY_ARN=$(aws iam list-policies --query "Policies[?PolicyName=='RosaOadpVer1'].{ARN:Arn}" --output text)
   if [[ -z "${POLICY_ARN}" ]]; then
   $ cat << EOF > ${SCRATCH}/policy.json
   {
   "Version": "2012-10-17",
   "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:CreateBucket",
        "s3:DeleteBucket",
        "s3:PutBucketTagging",
        "s3:GetBucketTagging",
        "s3:PutEncryptionConfiguration",
        "s3:GetEncryptionConfiguration",
        "s3:PutLifecycleConfiguration",
        "s3:GetLifecycleConfiguration",
        "s3:GetBucketLocation",
        "s3:ListBucket",
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject",
        "s3:ListBucketMultipartUploads",
        "s3:AbortMultipartUpload",
        "s3:ListMultipartUploadParts",
        "ec2:DescribeSnapshots",
        "ec2:DescribeVolumes",
        "ec2:DescribeVolumeAttribute",
        "ec2:DescribeVolumesModifications",
        "ec2:DescribeVolumeStatus",
        "ec2:CreateTags",
        "ec2:CreateVolume",
        "ec2:CreateSnapshot",
        "ec2:DeleteSnapshot"
      ],
      "Resource": "*"
    }
   ]}
   EOF
   $ POLICY_ARN=$(aws iam create-policy --policy-name "RosaOadpVer1" \
   --policy-document file:///${SCRATCH}/policy.json --query Policy.Arn \
   --tags Key=rosa_openshift_version,Value=${CLUSTER_VERSION} Key=rosa_role_prefix,Value=ManagedOpenShift Key=operator_namespace,Value=openshift-oadp Key=operator_name,Value=openshift-oadp \
   --output text)
   fi
   $ echo ${POLICY_ARN}

   Copy to Clipboard Toggle word wrap

2. 为集群创建 IAM 角色信任策略：

   $ cat <<EOF > ${SCRATCH}/trust-policy.json
   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Principal": {
         "Federated": "arn:aws:iam::${AWS_ACCOUNT_ID}:oidc-provider/${OIDC_ENDPOINT}"
       },
       "Action": "sts:AssumeRoleWithWebIdentity",
       "Condition": {
         "StringEquals": {
            "${OIDC_ENDPOINT}:sub": [
              "system:serviceaccount:openshift-adp:openshift-adp-controller-manager",
              "system:serviceaccount:openshift-adp:velero"]
         }
       }
     }]
   }
   EOF
   $ ROLE_ARN=$(aws iam create-role --role-name \
    "${ROLE_NAME}" \
     --assume-role-policy-document file://${SCRATCH}/trust-policy.json \
     --tags Key=rosa_cluster_id,Value=${ROSA_CLUSTER_ID} Key=rosa_openshift_version,Value=${CLUSTER_VERSION} Key=rosa_role_prefix,Value=ManagedOpenShift Key=operator_namespace,Value=openshift-adp Key=operator_name,Value=openshift-oadp \
     --query Role.Arn --output text)
   
   $ echo ${ROLE_ARN}

   Copy to Clipboard Toggle word wrap

3. 将 IAM 策略附加到 IAM 角色中：

   $ aws iam attach-role-policy --role-name "${ROLE_NAME}" \
    --policy-arn ${POLICY_ARN}

   Copy to Clipboard Toggle word wrap

1. 为 OADP 创建命名空间：

   $ oc create namespace openshift-adp

   Copy to Clipboard Toggle word wrap

2. 创建凭证 secret：

   $ cat <<EOF > ${SCRATCH}/credentials
   [default]
   role_arn = ${ROLE_ARN}
   web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token
   region=<aws_region> 

   1

   
   EOF
   $ oc -n openshift-adp create secret generic cloud-credentials \
    --from-file=${SCRATCH}/credentials

   Copy to Clipboard Toggle word wrap

   1

   将 <aws_region > 替换为用于安全令牌服务(STS)端点的 AWS 区域。

3. 部署 OADP Operator：

   注意

   目前，Operator 版本 1.1 存在问题，备份具有 PartiallyFailed 状态。这似乎不会影响备份和恢复过程，但应该注意它的问题。

   $ cat << EOF | oc create -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
    generateName: openshift-adp-
    namespace: openshift-adp
    name: oadp
   spec:
    targetNamespaces:
    - openshift-adp
   ---
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
    name: redhat-oadp-operator
    namespace: openshift-adp
   spec:
    channel: stable-1.2
    installPlanApproval: Automatic
    name: redhat-oadp-operator
    source: redhat-operators
    sourceNamespace: openshift-marketplace
   EOF

   Copy to Clipboard Toggle word wrap

4. 等待 Operator 就绪：

   $ watch oc -n openshift-adp get pods

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                                                READY   STATUS    RESTARTS   AGE
   openshift-adp-controller-manager-546684844f-qqjhn   1/1     Running   0          22s

   Copy to Clipboard Toggle word wrap

5. 创建云存储：

   $ cat << EOF | oc create -f -
   apiVersion: oadp.openshift.io/v1alpha1
   kind: CloudStorage
   metadata:
    name: ${CLUSTER_NAME}-oadp
    namespace: openshift-adp
   spec:
    creationSecret:
      key: credentials
      name: cloud-credentials
    enableSharedConfig: true
    name: ${CLUSTER_NAME}-oadp
    provider: aws
    region: $REGION
   EOF

   Copy to Clipboard Toggle word wrap

6. 检查应用程序的存储默认存储类：

   $ oc get pvc -n <namespace> 

   1

   Copy to Clipboard Toggle word wrap

   1

   输入应用程序的命名空间。

   输出示例

   NAME     STATUS   VOLUME                                     CAPACITY   ACCESS MODES   STORAGECLASS   AGE
   applog   Bound    pvc-351791ae-b6ab-4e8b-88a4-30f73caf5ef8   1Gi        RWO            gp3-csi        4d19h
   mysql    Bound    pvc-16b8e009-a20a-4379-accc-bc81fedd0621   1Gi        RWO            gp3-csi        4d19h

   Copy to Clipboard Toggle word wrap

   $ oc get storageclass

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                PROVISIONER             RECLAIMPOLICY   VOLUMEBINDINGMODE      ALLOWVOLUMEEXPANSION   AGE
   gp2                 kubernetes.io/aws-ebs   Delete          WaitForFirstConsumer   true                   4d21h
   gp2-csi             ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h
   gp3                 ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h
   gp3-csi (default)   ebs.csi.aws.com         Delete          WaitForFirstConsumer   true                   4d21h

   Copy to Clipboard Toggle word wrap

   使用 gp3-csi、gp2-csi、gp3 或 gp2 可以正常工作。如果正在备份的应用程序都与 CSI 一起使用 PV，请在 OADP DPA 配置中包含 CSI 插件。

7. 仅 CSI：部署数据保护应用程序：

   $ cat << EOF | oc create -f -
   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
    name: ${CLUSTER_NAME}-dpa
    namespace: openshift-adp
   spec:
    backupImages: true
    features:
      dataMover:
        enable: false
    backupLocations:
    - bucket:
        cloudStorageRef:
          name: ${CLUSTER_NAME}-oadp
        credential:
          key: credentials
          name: cloud-credentials
        prefix: velero
        default: true
        config:
          region: ${REGION}
    configuration:
      velero:
        defaultPlugins:
        - openshift
        - aws
        - csi
      restic:
        enable: false
   EOF

   Copy to Clipboard Toggle word wrap
   注意

   如果为 CSI 卷运行这个命令，您可以跳过下一步。

8. 非 CSI 卷：部署数据保护应用程序：

   $ cat << EOF | oc create -f -
   apiVersion: oadp.openshift.io/v1alpha1
   kind: DataProtectionApplication
   metadata:
    name: ${CLUSTER_NAME}-dpa
    namespace: openshift-adp
   spec:
    backupImages: true
    features:
      dataMover:
        enable: false
    backupLocations:
    - bucket:
        cloudStorageRef:
          name: ${CLUSTER_NAME}-oadp
        credential:
          key: credentials
          name: cloud-credentials
        prefix: velero
        default: true
        config:
          region: ${REGION}
    configuration:
      velero:
        defaultPlugins:
        - openshift
        - aws
      restic:
        enable: false
    snapshotLocations:
      - velero:
          config:
            credentialsFile: /tmp/credentials/openshift-adp/cloud-credentials-credentials
            enableSharedConfig: 'true'
            profile: default
            region: ${REGION}
          provider: aws
   EOF

   Copy to Clipboard Toggle word wrap

1. 创建工作负载以备份：

   $ oc create namespace hello-world
   $ oc new-app -n hello-world --image=docker.io/openshift/hello-openshift

   Copy to Clipboard Toggle word wrap

2. 公开路由：

   $ oc expose service/hello-openshift -n hello-world

   Copy to Clipboard Toggle word wrap

3. 检查应用程序是否正常工作：

   $ curl `oc get route/hello-openshift -n hello-world -o jsonpath='{.spec.host}'`

   Copy to Clipboard Toggle word wrap

   输出示例

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

4. 备份工作负载：

   $ cat << EOF | oc create -f -
   apiVersion: velero.io/v1
   kind: Backup
   metadata:
    name: hello-world
    namespace: openshift-adp
   spec:
    includedNamespaces:
    - hello-world
    storageLocation: ${CLUSTER_NAME}-dpa-1
    ttl: 720h0m0s
   EOF

   Copy to Clipboard Toggle word wrap

5. 等待备份完成：

   $ watch "oc -n openshift-adp get backup hello-world -o json | jq .status"

   Copy to Clipboard Toggle word wrap

   输出示例

   {
    "completionTimestamp": "2022-09-07T22:20:44Z",
    "expiration": "2022-10-07T22:20:22Z",
    "formatVersion": "1.1.0",
    "phase": "Completed",
    "progress": {
      "itemsBackedUp": 58,
      "totalItems": 58
    },
    "startTimestamp": "2022-09-07T22:20:22Z",
    "version": 1
   }

   Copy to Clipboard Toggle word wrap

6. 删除演示工作负载：

   $ oc delete ns hello-world

   Copy to Clipboard Toggle word wrap

7. 从备份中恢复：

   $ cat << EOF | oc create -f -
   apiVersion: velero.io/v1
   kind: Restore
   metadata:
    name: hello-world
    namespace: openshift-adp
   spec:
    backupName: hello-world
   EOF

   Copy to Clipboard Toggle word wrap

8. 等待 Restore 完成：

   $ watch "oc -n openshift-adp get restore hello-world -o json | jq .status"

   Copy to Clipboard Toggle word wrap

   输出示例

   {
    "completionTimestamp": "2022-09-07T22:25:47Z",
    "phase": "Completed",
    "progress": {
      "itemsRestored": 38,
      "totalItems": 38
    },
    "startTimestamp": "2022-09-07T22:25:28Z",
    "warnings": 9
   }

   Copy to Clipboard Toggle word wrap

9. 检查工作负载是否已恢复：

   $ oc -n hello-world get pods

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME                              READY   STATUS    RESTARTS   AGE
   hello-openshift-9f885f7c6-kdjpj   1/1     Running   0          90s

   Copy to Clipboard Toggle word wrap

   $ curl `oc get route/hello-openshift -n hello-world -o jsonpath='{.spec.host}'`

   Copy to Clipboard Toggle word wrap

   输出示例

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

10. 有关故障排除提示的信息，请参阅 OADP 团队的 故障排除文档
11. 其他示例应用程序可以在 OADP 团队 的示例应用程序目录中找到

1. 删除工作负载：

   $ oc delete ns hello-world

   Copy to Clipboard Toggle word wrap

2. 如果不再需要，从集群中删除备份和恢复资源：

   $ oc delete backups.velero.io hello-world
   $ oc delete restores.velero.io hello-world

   Copy to Clipboard Toggle word wrap

3. 删除 s3 中的备份/恢复和远程对象：

   $ velero backup delete hello-world
   $ velero restore delete hello-world

   Copy to Clipboard Toggle word wrap

4. 删除数据保护应用程序：

   $ oc -n openshift-adp delete dpa ${CLUSTER_NAME}-dpa

   Copy to Clipboard Toggle word wrap

5. 删除云存储：

   $ oc -n openshift-adp delete cloudstorage ${CLUSTER_NAME}-oadp

   Copy to Clipboard Toggle word wrap
   警告

   如果这个命令挂起，您可能需要删除终结器：

   $ oc -n openshift-adp patch cloudstorage ${CLUSTER_NAME}-oadp -p '{"metadata":{"finalizers":null}}' --type=merge

   Copy to Clipboard Toggle word wrap

6. 如果不再需要 Operator，则将其删除：

   $ oc -n openshift-adp delete subscription oadp-operator

   Copy to Clipboard Toggle word wrap

7. 删除 Operator 的命名空间：

   $ oc delete ns redhat-openshift-adp

   Copy to Clipboard Toggle word wrap

8. 如果不再有它们，请从集群中删除自定义资源定义：

   $ for CRD in `oc get crds | grep velero | awk '{print $1}'`; do oc delete crd $CRD; done
   $ for CRD in `oc get crds | grep -i oadp | awk '{print $1}'`; do oc delete crd $CRD; done

   Copy to Clipboard Toggle word wrap

9. 删除 AWS S3 Bucket：

   $ aws s3 rm s3://${CLUSTER_NAME}-oadp --recursive
   $ aws s3api delete-bucket --bucket ${CLUSTER_NAME}-oadp

   Copy to Clipboard Toggle word wrap

10. 将 Policy 从角色分离：

    $ aws iam detach-role-policy --role-name "${ROLE_NAME}" \
     --policy-arn "${POLICY_ARN}"

    Copy to Clipboard Toggle word wrap

11. 删除角色：

    $ aws iam delete-role --role-name "${ROLE_NAME}"

    Copy to Clipboard Toggle word wrap

1. 为 AWS Load Balancer Controller 创建 AWS IAM 策略：

   注意

   该策略 来自上游 AWS Load Balancer Controller 策略，以及在子网上创建标签的权限。Operator 需要此功能。

   $ oc new-project aws-load-balancer-operator
   $ POLICY_ARN=$(aws iam list-policies --query \
        "Policies[?PolicyName=='aws-load-balancer-operator-policy'].{ARN:Arn}" \
        --output text)
   $ if [[ -z "${POLICY_ARN}" ]]; then
       wget -O "${SCRATCH}/load-balancer-operator-policy.json" \
          https://raw.githubusercontent.com/rh-mobb/documentation/main/content/rosa/aws-load-balancer-operator/load-balancer-operator-policy.json
        POLICY_ARN=$(aws --region "$REGION" --query Policy.Arn \
        --output text iam create-policy \
        --policy-name aws-load-balancer-operator-policy \
        --policy-document "file://${SCRATCH}/load-balancer-operator-policy.json")
   fi
   $ echo $POLICY_ARN

   Copy to Clipboard Toggle word wrap

2. 为 AWS Load Balancer Operator 创建 AWS IAM 信任策略：

   $ cat <<EOF > "${SCRATCH}/trust-policy.json"
   {
    "Version": "2012-10-17",
    "Statement": [
    {
    "Effect": "Allow",
    "Condition": {
      "StringEquals" : {
        "${OIDC_ENDPOINT}:sub": ["system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-operator-controller-manager", "system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-controller-cluster"]
      }
    },
    "Principal": {
      "Federated": "arn:aws:iam::$AWS_ACCOUNT_ID:oidc-provider/${OIDC_ENDPOINT}"
    },
    "Action": "sts:AssumeRoleWithWebIdentity"
    }
    ]
   }
   EOF

   Copy to Clipboard Toggle word wrap

3. 为 AWS Load Balancer Operator 创建 AWS IAM 角色：

   $ ROLE_ARN=$(aws iam create-role --role-name "${ROSA_CLUSTER_NAME}-alb-operator" \
      --assume-role-policy-document "file://${SCRATCH}/trust-policy.json" \
      --query Role.Arn --output text)
   $ echo $ROLE_ARN
   
   $ aws iam attach-role-policy --role-name "${ROSA_CLUSTER_NAME}-alb-operator" \
        --policy-arn $POLICY_ARN

   Copy to Clipboard Toggle word wrap

4. 为 AWS Load Balancer Operator 创建 secret，以假定我们新创建的 AWS IAM 角色：

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Secret
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   stringData:
     credentials: |
       [default]
       role_arn = $ROLE_ARN
       web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token
   EOF

   Copy to Clipboard Toggle word wrap

5. 安装 AWS Load Balancer Operator：

   $ cat << EOF | oc apply -f -
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     upgradeStrategy: Default
   ---
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: aws-load-balancer-operator
     namespace: aws-load-balancer-operator
   spec:
     channel: stable-v1.0
     installPlanApproval: Automatic
     name: aws-load-balancer-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: aws-load-balancer-operator.v1.0.0
   EOF

   Copy to Clipboard Toggle word wrap

6. 使用 Operator 部署 AWS Load Balancer Controller 实例：

   注意

   如果您在此处收到错误并尝试重试，这意味着 Operator 还没有完成安装。

   $ cat << EOF | oc apply -f -
   apiVersion: networking.olm.openshift.io/v1
   kind: AWSLoadBalancerController
   metadata:
     name: cluster
   spec:
     credentials:
       name: aws-load-balancer-operator
   EOF

   Copy to Clipboard Toggle word wrap

7. 检查 Operator 和控制器 pod 是否正在运行：

   $ oc -n aws-load-balancer-operator get pods

   Copy to Clipboard Toggle word wrap

   如果没有等待片刻并重试，您应该看到以下内容：

   NAME                                                             READY   STATUS    RESTARTS   AGE
   aws-load-balancer-controller-cluster-6ddf658785-pdp5d            1/1     Running   0          99s
   aws-load-balancer-operator-controller-manager-577d9ffcb9-w6zqn   2/2     Running   0          2m4s

   Copy to Clipboard Toggle word wrap

1. 创建一个新项目

   $ oc new-project hello-world

   Copy to Clipboard Toggle word wrap

2. 部署 hello world 应用：

   $ oc new-app -n hello-world --image=docker.io/openshift/hello-openshift

   Copy to Clipboard Toggle word wrap

3. 为 AWS ALB 配置 NodePort 服务以连接：

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Service
   metadata:
     name: hello-openshift-nodeport
     namespace: hello-world
   spec:
     ports:
       - port: 80
         targetPort: 8080
         protocol: TCP
     type: NodePort
     selector:
       deployment: hello-openshift
   EOF

   Copy to Clipboard Toggle word wrap

4. 使用 AWS Load Balancer Operator 部署 AWS ALB：

   $ cat << EOF | oc apply -f -
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: hello-openshift-alb
     namespace: hello-world
     annotations:
       alb.ingress.kubernetes.io/scheme: internet-facing
   spec:
     ingressClassName: alb
     rules:
       - http:
           paths:
             - path: /
               pathType: Exact
               backend:
                 service:
                   name: hello-openshift-nodeport
                   port:
                     number: 80
   EOF

   Copy to Clipboard Toggle word wrap

5. curl AWS ALB Ingress 端点，以验证 hello world 应用程序是否可访问：

   注意

   AWS ALB 置备需要几分钟。如果您收到显示 curl: (6) Could not resolve host 的错误，请等待再试一次。

   $ INGRESS=$(oc -n hello-world get ingress hello-openshift-alb \
       -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
   $ curl "http://${INGRESS}"

   Copy to Clipboard Toggle word wrap

   输出示例

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

6. 为您的 hello world 应用程序部署 AWS NLB ：

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Service
   metadata:
     name: hello-openshift-nlb
     namespace: hello-world
     annotations:
       service.beta.kubernetes.io/aws-load-balancer-type: external
       service.beta.kubernetes.io/aws-load-balancer-nlb-target-type: instance
       service.beta.kubernetes.io/aws-load-balancer-scheme: internet-facing
   spec:
     ports:
       - port: 80
         targetPort: 8080
         protocol: TCP
     type: LoadBalancer
     selector:
       deployment: hello-openshift
   EOF

   Copy to Clipboard Toggle word wrap

7. 测试 AWS NLB 端点：

   注意

   NLB 置备需要几分钟时间。如果您收到显示 curl: (6) Could not resolve host 的错误，请等待再试一次。

   $ NLB=$(oc -n hello-world get service hello-openshift-nlb \
     -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
   $ curl "http://${NLB}"

   Copy to Clipboard Toggle word wrap

   输出示例

   Hello OpenShift!

   Copy to Clipboard Toggle word wrap

1. 删除 hello world 应用命名空间（以及命名空间中的所有资源）：

   $ oc delete project hello-world

   Copy to Clipboard Toggle word wrap

2. 删除 AWS Load Balancer Operator 和 AWS IAM 角色：

   $ oc delete subscription aws-load-balancer-operator -n aws-load-balancer-operator
   $ aws iam detach-role-policy \
     --role-name "${ROSA_CLUSTER_NAME}-alb-operator" \
     --policy-arn $POLICY_ARN
   $ aws iam delete-role \
     --role-name "${ROSA_CLUSTER_NAME}-alb-operator"

   Copy to Clipboard Toggle word wrap

3. 删除 AWS IAM 策略：

   $ aws iam delete-policy --policy-arn $POLICY_ARN

   Copy to Clipboard Toggle word wrap

流程

1. 通过更改指定的变量并运行以下命令来创建集群的 OAuth 回调 URL：

   注意

   请记住保存此回调 URL；之后需要用到。

   $ domain=$(rosa describe cluster -c <cluster_name> | grep "DNS" | grep -oE '\S+.openshiftapps.com')
   echo "OAuth callback URL: https://oauth.${domain}/oauth2callback/AAD"

   Copy to Clipboard Toggle word wrap

   OAuth 回调 URL 末尾的"AAD"目录必须与稍后在此过程中设置的 OAuth 身份提供程序名称匹配。

2. 通过登录到 Azure 门户来创建 Entra ID 应用，然后选择 App registrations Blade。然后，选择 New registration 来创建新应用程序。

   

3. 将应用程序命名为，如 openshift-auth。
4. 从 Redirect URI 下拉菜单中选择 Web，并输入您在上一步中检索的 OAuth 回调 URL 的值。

5. 提供所需信息后，点 Register 创建应用程序。

   

6. 选择 Certificates & secrets sub-blade 并选择 New client secret。

   

7. 完成请求的详细信息，并存储生成的客户端 secret 值。此流程稍后需要此 secret。

   重要

   初始设置后，您无法看到客户端 secret。如果没有记录客户端 secret，则必须生成新的 secret。

   

8. 选择 Overview 子功能，并记下 应用程序（客户端）ID 和目录 （租户）ID。在以后的步骤中，您将需要这些值。

   

流程

1. 运行以下命令来创建变量：

   $ CLUSTER_NAME=example-cluster 

   1

   
   $ IDP_NAME=AAD 

   2

   
   $ APP_ID=yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy 

   3

   
   $ CLIENT_SECRET=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx 

   4

   
   $ TENANT_ID=zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz 

   5

   Copy to Clipboard Toggle word wrap

   1

   使用集群的名称替换它。

   2

   将这个值替换为您在此流程前面生成的 OAuth 回调 URL 中使用的名称。

   3

   使用应用程序（客户端）ID 替换它。

   4

   使用 Client Secret 替换它。

   5

   使用目录（租户）ID 替换它。

2. 运行以下命令，配置集群的 OAuth 供应商。如果启用了组声明，请确保使用 --group-claims groups 参数。

   • 如果启用了组声明，请运行以下命令：

     $ rosa create idp \
     --cluster ${CLUSTER_NAME} \
     --type openid \
     --name ${IDP_NAME} \
     --client-id ${APP_ID} \
     --client-secret ${CLIENT_SECRET} \
     --issuer-url https://login.microsoftonline.com/${TENANT_ID}/v2.0 \
     --email-claims email \
     --name-claims name \
     --username-claims preferred_username \
     --extra-scopes email,profile \
     --groups-claims groups

     Copy to Clipboard Toggle word wrap

   • 如果没有启用组声明，请运行以下命令：

     $ rosa create idp \
     --cluster ${CLUSTER_NAME} \
     --type openid \
     --name ${IDP_NAME} \
     --client-id ${APP_ID} \
     --client-secret ${CLIENT_SECRET} \
     --issuer-url https://login.microsoftonline.com/${TENANT_ID}/v2.0 \
     --email-claims email \
     --name-claims name \
     --username-claims preferred_username \
     --extra-scopes email,profile

     Copy to Clipboard Toggle word wrap