高级 Overcloud 自定义

1. 从核心 heat 模板集合中加载默认配置。
2. 应用 environment-file-1.yaml 中的配置，这将覆盖默认配置中的任何常见设置。
3. 应用 environment-file-2.yaml 中的配置，该配置会覆盖默认配置和 environment-file-1.yaml 中的所有常用设置。

1. 确定您要配置的选项。记录使用 选项的服务。

2. 为此选项检查对应的 Puppet 模块。Red Hat OpenStack Platform 的 Puppet 模块位于 director 节点上的 /etc/puppet/modules 下。每个模块都对应于特定的服务。例如，keystone 模块对应于 OpenStack Identity (keystone)。

   • 如果 Puppet 模块包含控制所选选项的变量，请继续下一步。
   • 如果 Puppet 模块不包含控制所选选项的变量，则此选项不存在 hieradata。如果可能，您可以在 overcloud 完成部署后手动设置选项。

3. 以 hieradata 的形式检查 Puppet 变量的核心 heat 模板集合。部署中的模板通常与 同一服务的 Puppet 模块对应。例如，deployment/keystone/keystone-container-puppet.yaml 模板为 keystone 模块提供 hieradata。

   • 如果 heat 模板为 Puppet 变量设置了 hieradata，则模板还应关闭您可以修改的基于 director 的参数。
   • 如果 heat 模板没有为 Puppet 变量设置 hieradata，请使用配置 hook 来使用环境文件传递 hieradata。有关自定义 hieradata 的更多信息，请参阅 第 4.5 节 “puppet：自定义角色的 hieradata”。

流程

1. 要更改 OpenStack Identity (keystone)的通知格式，请使用工作流并完成以下步骤：

   1. 识别您要配置的 OpenStack 参数(notification_format)。

   2. 在 keystone Puppet 模块中搜索 notification_format 设置：

      $ grep notification_format /etc/puppet/modules/keystone/manifests/*

      在这种情况下，keystone 模块使用 keystone::notification_format 变量管理此选项。

   3. 为这个变量搜索 keystone 服务模板：

      $ grep "keystone::notification_format" /usr/share/openstack-tripleo-heat-templates/deployment/keystone/keystone-container-puppet.yaml

      输出显示 director 使用 KeystoneNotificationFormat 参数来设置 keystone::notification_format hieradata。

流程

1. 创建一个基本的 heat 模板 ~/templates/nameserver.yaml，它将运行脚本，以在每个节点上附加带有特定名称服务器的 resolv.conf 文件。您可以使用 OS::TripleO::MultipartMime 资源类型来发送配置脚本。

   heat_template_version: 2014-10-16
   
   description: >
     Extra hostname configuration
   
   resources:
     userdata:
       type: OS::Heat::MultipartMime
       properties:
         parts:
         - config: {get_resource: nameserver_config}
   
     nameserver_config:
       type: OS::Heat::SoftwareConfig
       properties:
         config: |
           #!/bin/bash
           echo "nameserver 192.168.1.1" >> /etc/resolv.conf
   
   outputs:
     OS::stack_id:
       value: {get_resource: userdata}

2. 创建一个环境文件 ~/templates/firstboot.yaml，它将 heat 模板注册为 OS::TripleO::NodeUserData 资源类型。

   resource_registry:
     OS::TripleO::NodeUserData: /home/stack/templates/nameserver.yaml

3. 要在 overcloud 中添加第一次引导配置，请将环境文件添加到堆栈中，以及其他环境文件：

   $ openstack overcloud deploy --templates \
       ...
       -e /home/stack/templates/firstboot.yaml \
       ...

   这会在首次创建和第一次引导时将配置添加到所有节点中。后续包含这些模板（如更新 overcloud 堆栈）不会运行这些脚本。

流程

1. 创建一个基本的 heat 模板 ~/templates/nameserver.yaml，该脚本将变量名称服务器写入节点的 resolv.conf 文件中：

   heat_template_version: 2014-10-16
   
   description: >
     Extra hostname configuration
   
   parameters:
     server:
       type: string
     nameserver_ip:
       type: string
     DeployIdentifier:
       type: string
   
   resources:
     CustomExtraConfigPre:
       type: OS::Heat::SoftwareConfig
       properties:
         group: script
         config:
           str_replace:
             template: |
               #!/bin/sh
               echo "nameserver _NAMESERVER_IP_" > /etc/resolv.conf
             params:
               _NAMESERVER_IP_: {get_param: nameserver_ip}
   
     CustomExtraDeploymentPre:
       type: OS::Heat::SoftwareDeployment
       properties:
         server: {get_param: server}
         config: {get_resource: CustomExtraConfigPre}
         actions: ['CREATE','UPDATE']
         input_values:
           deploy_identifier: {get_param: DeployIdentifier}
   
   outputs:
     deploy_stdout:
       description: Deployment reference, used to trigger pre-deploy on changes
       value: {get_attr: [CustomExtraDeploymentPre, deploy_stdout]}

   在本例中，resource 部分包含以下参数：

   CustomExtraConfigPre

   这定义了软件配置。在本例中，我们定义了 Bash 脚本，heat 将 _NAMESERVER_IP_ 替换为存储在 nameserver_ip 参数的值。

   CustomExtraDeploymentPre

   这将执行一个软件配置，这是来自 CustomExtraConfigPre 资源的软件配置。注意以下几点：

   • config 参数会引用 CustomExtraConfigPre 资源，以便 heat 知道要应用的配置。
   • server 参数检索 overcloud 节点的映射。此参数由父模板提供，这是此 hook 模板中强制的。
   • actions 参数定义何时应用配置。在本例中，您希望在创建 overcloud 时应用配置。可能的操作包括 CREATE、UPDATE、DELETE、SUSPEND 和 RESUME。
   • input_values 包含一个名为 deploy_identifier 的参数，它存储父模板的 DeployIdentifier。此参数为每个部署更新提供资源的时间戳，以确保后续 overcloud 更新的资源获取。

2. 创建一个环境文件 ~/templates/pre_config.yaml，将 heat 模板注册到基于角色的资源类型。例如，若要仅将配置应用到 Controller 节点，请使用 ControllerExtraConfigPre hook：

   resource_registry:
     OS::TripleO::ControllerExtraConfigPre: /home/stack/templates/nameserver.yaml
   
   parameter_defaults:
     nameserver_ip: 192.168.1.1

3. 将环境文件添加到堆栈中，以及其他环境文件：

   $ openstack overcloud deploy --templates \
       ...
       -e /home/stack/templates/pre_config.yaml \
       ...

   这会在核心配置开始创建或后续更新之前，将配置应用到所有 Controller 节点。

流程

1. 创建一个基本的 heat 模板 ~/templates/nameserver.yaml，该脚本使用变量名称服务器附加每个节点的 resolv.conf 文件：

   heat_template_version: 2014-10-16
   
   description: >
     Extra hostname configuration
   
   parameters:
     server:
       type: string
     nameserver_ip:
       type: string
     DeployIdentifier:
       type: string
   
   resources:
     CustomExtraConfigPre:
       type: OS::Heat::SoftwareConfig
       properties:
         group: script
         config:
           str_replace:
             template: |
               #!/bin/sh
               echo "nameserver _NAMESERVER_IP_" >> /etc/resolv.conf
             params:
               _NAMESERVER_IP_: {get_param: nameserver_ip}
   
     CustomExtraDeploymentPre:
       type: OS::Heat::SoftwareDeployment
       properties:
         server: {get_param: server}
         config: {get_resource: CustomExtraConfigPre}
         actions: ['CREATE','UPDATE']
         input_values:
           deploy_identifier: {get_param: DeployIdentifier}
   
   outputs:
     deploy_stdout:
       description: Deployment reference, used to trigger pre-deploy on changes
       value: {get_attr: [CustomExtraDeploymentPre, deploy_stdout]}

   在本例中，resource 部分包含以下参数：

   CustomExtraConfigPre

   此参数定义软件配置。在本例中，您定义一个 Bash 脚本，heat 将 _NAMESERVER_IP_ 替换为存储在 nameserver_ip 参数的值。

   CustomExtraDeploymentPre

   此参数执行软件配置，这是来自 CustomExtraConfigPre 资源的软件配置。注意以下几点：

   • config 参数会引用 CustomExtraConfigPre 资源，以便 heat 知道要应用的配置。
   • server 参数检索 overcloud 节点的映射。此参数由父模板提供，这是此 hook 模板中强制的。
   • actions 参数定义何时应用配置。在这种情况下，您仅在创建 overcloud 时应用配置。可能的操作包括 CREATE、UPDATE、DELETE、SUSPEND 和 RESUME。
   • input_values 参数包含一个名为 deploy_identifier 的子参数，它存储父模板的 DeployIdentifier。此参数为每个部署更新提供资源的时间戳，以确保后续 overcloud 更新的资源获取。

2. 创建一个环境文件 ~/templates/pre_config.yaml，它将 heat 模板注册为 OS::TripleO::NodeExtraConfig 资源类型。

   resource_registry:
     OS::TripleO::NodeExtraConfig: /home/stack/templates/nameserver.yaml
   
   parameter_defaults:
     nameserver_ip: 192.168.1.1

3. 将环境文件添加到堆栈中，以及其他环境文件：

   $ openstack overcloud deploy --templates \
       ...
       -e /home/stack/templates/pre_config.yaml \
       ...

   这会在核心配置开始创建或后续更新之前，将配置应用到所有节点。

流程

1. 创建一个基本的 heat 模板 ~/templates/nameserver.yaml，该脚本使用变量名称服务器附加每个节点的 resolv.conf 文件：

   heat_template_version: 2014-10-16
   
   description: >
     Extra hostname configuration
   
   parameters:
     servers:
       type: json
     nameserver_ip:
       type: string
     DeployIdentifier:
       type: string
     EndpointMap:
       default: {}
       type: json
   
   resources:
     CustomExtraConfig:
       type: OS::Heat::SoftwareConfig
       properties:
         group: script
         config:
           str_replace:
             template: |
               #!/bin/sh
               echo "nameserver _NAMESERVER_IP_" >> /etc/resolv.conf
             params:
               _NAMESERVER_IP_: {get_param: nameserver_ip}
   
     CustomExtraDeployments:
       type: OS::Heat::SoftwareDeploymentGroup
       properties:
         servers:  {get_param: servers}
         config: {get_resource: CustomExtraConfig}
         actions: ['CREATE','UPDATE']
         input_values:
           deploy_identifier: {get_param: DeployIdentifier}

   在本例中，resource 部分包含以下参数：

   CustomExtraConfig

   这定义了软件配置。在本例中，您定义一个 Bash 脚本，heat 将 _NAMESERVER_IP_ 替换为存储在 nameserver_ip 参数的值。

   CustomExtraDeployments

   这将执行一个软件配置，这是来自 CustomExtraConfig 资源的软件配置。注意以下几点：

   • config 参数会引用 CustomExtraConfig 资源，以便 heat 知道要应用的配置。
   • servers 参数检索 overcloud 节点的映射。此参数由父模板提供，这是此 hook 模板中强制的。
   • actions 参数定义何时应用配置。在本例中，您希望在创建 overcloud 时应用配置。可能的操作包括 CREATE、UPDATE、DELETE、SUSPEND 和 RESUME。
   • input_values 包含一个名为 deploy_identifier 的参数，它存储父模板的 DeployIdentifier。此参数为每个部署更新提供资源的时间戳，以确保后续 overcloud 更新的资源获取。

2. 创建一个环境文件 ~/templates/post_config.yaml，它将 heat 模板注册为 OS::TripleO::NodeExtraConfigPost: 资源类型。

   resource_registry:
     OS::TripleO::NodeExtraConfigPost: /home/stack/templates/nameserver.yaml
   
   parameter_defaults:
     nameserver_ip: 192.168.1.1

3. 将环境文件添加到堆栈中，以及其他环境文件：

   $ openstack overcloud deploy --templates \
       ...
       -e /home/stack/templates/post_config.yaml \
       ...

   这会在内核配置完成初始 overcloud 创建或后续更新后，将配置应用到所有节点。

流程

1. 要在部署后配置过程中添加额外的配置，请在 parameter_defaults 部分中创建一个包含这些参数的环境文件。例如，要将 Compute 主机的保留内存增加到 1024 MB，并将 VNC keymap 设置为日语，请使用 ComputeExtraConfig 参数中的以下条目：

   parameter_defaults:
     ComputeExtraConfig:
       nova::compute::reserved_host_memory: 1024
       nova::compute::vnc_keymap: ja

2. 将此环境文件包含在 openstack overcloud deploy 命令中，以及与部署相关的任何其他环境文件。

流程

1. 从节点的内省数据中识别系统 UUID：

   $ openstack baremetal introspection data save 9dcc87ae-4c6d-4ede-81a5-9b20d7dc4a14 | jq .extra.system.product.uuid

   这个命令返回一个系统 UUID。例如：

   "f5055c6c-477f-47fb-afe5-95c6928c407f"

2. 创建一个环境文件来定义特定于节点的 hieradata，并将 per_node.yaml 模板注册到预先配置 hook。在 NodeDataLookup 参数中包含您要配置的节点的系统 UUID：

   resource_registry:
     OS::TripleO::ComputeExtraConfigPre: /usr/share/openstack-tripleo-heat-templates/puppet/extraconfig/pre_deploy/per_node.yaml
   parameter_defaults:
     NodeDataLookup: '{"f5055c6c-477f-47fb-afe5-95c6928c407f": {"nova::compute::vcpu_pin_set": [ "2", "3" ]}}'

3. 将此环境文件包含在 openstack overcloud deploy 命令中，以及与部署相关的任何其他环境文件。

流程

1. 创建一个 heat 模板 ~/templates/custom_puppet_config.yaml，用于启动 Puppet 配置。

   heat_template_version: 2014-10-16
   
   description: >
     Run Puppet extra configuration to set new MOTD
   
   parameters:
     servers:
       type: json
     DeployIdentifier:
       type: string
     EndpointMap:
       default: {}
       type: json
   
   resources:
     ExtraPuppetConfig:
       type: OS::Heat::SoftwareConfig
       properties:
         config: {get_file: motd.pp}
         group: puppet
         options:
           enable_hiera: True
           enable_facter: False
   
     ExtraPuppetDeployments:
       type: OS::Heat::SoftwareDeploymentGroup
       properties:
         config: {get_resource: ExtraPuppetConfig}
         servers: {get_param: servers}

   本例在模板中包含 /home/stack/templates/motd.pp，并将其传递给配置的节点。motd.pp 文件包含安装和配置 motd 所需的 Puppet 类。

2. 创建一个环境文件 ~templates/puppet_post_config.yaml，它将您的 heat 模板注册为 OS::TripleO::NodeExtraConfigPost: 资源类型。

   resource_registry:
     OS::TripleO::NodeExtraConfigPost: /home/stack/templates/custom_puppet_config.yaml

3. 将此环境文件包含在 openstack overcloud deploy 命令中，以及与部署相关的任何其他环境文件。

   $ openstack overcloud deploy --templates \
       ...
       -e /home/stack/templates/puppet_post_config.yaml \
       ...

   这会将 motd.pp 的配置应用到 overcloud 中的所有节点。

流程

1. 创建名为 templates/rhsm.yml 的环境文件来存储配置。

2. 在环境文件中包含您的配置。例如：

   resource_registry:
     OS::TripleO::Services::Rhsm: /usr/share/openstack-tripleo-heat-templates/deployment/rhsm/rhsm-baremetal-ansible.yaml
   parameter_defaults:
     RhsmVars:
       rhsm_repos:
         - rhel-8-for-x86_64-baseos-tus-rpms
         - rhel-8-for-x86_64-appstream-tus-rpms
         - rhel-8-for-x86_64-highavailability-tus-rpms
         …​
       rhsm_username: "myusername"
       rhsm_password: "p@55w0rd!"
       rhsm_org_id: "1234567"
       rhsm_pool_ids: "1a85f9223e3d5e43013e3d6e8ff506fd"
       rhsm_method: "portal"
       rhsm_release: 8.2

   • resource_registry 部分将 rhsm 可组合服务与 OS::TripleO::Services::Rhsm 资源相关联，这些资源在每个角色上可用。
   • RhsmVars 变量将参数传递给 Ansible，以配置您的红帽注册。
3. 保存环境文件。

流程

1. 创建名为 templates/rhsm.yml 的环境文件来存储配置。

2. 在环境文件中包含您的配置。例如：

   resource_registry:
     OS::TripleO::Services::Rhsm: /usr/share/openstack-tripleo-heat-templates/deployment/rhsm/rhsm-baremetal-ansible.yaml
   parameter_defaults:
     ControllerParameters:
       RhsmVars:
         rhsm_repos:
           - rhel-8-for-x86_64-baseos-tus-rpms
           - rhel-8-for-x86_64-appstream-tus-rpms
           - rhel-8-for-x86_64-highavailability-tus-rpms
           - ansible-2.9-for-rhel-8-x86_64-rpms
           - advanced-virt-for-rhel-8-x86_64-eus-rpms
           - openstack-16.1-for-rhel-8-x86_64-rpms
           - fast-datapath-for-rhel-8-x86_64-rpms
         rhsm_username: "myusername"
         rhsm_password: "p@55w0rd!"
         rhsm_org_id: "1234567"
         rhsm_pool_ids: "55d251f1490556f3e75aa37e89e10ce5"
         rhsm_method: "portal"
         rhsm_release: 8.2
     ComputeParameters:
       RhsmVars:
         rhsm_repos:
           - rhel-8-for-x86_64-baseos-tus-rpms
           - rhel-8-for-x86_64-appstream-tus-rpms
           - rhel-8-for-x86_64-highavailability-tus-rpms
           - ansible-2.9-for-rhel-8-x86_64-rpms
           - advanced-virt-for-rhel-8-x86_64-eus-rpms
           - openstack-16.1-for-rhel-8-x86_64-rpms
           - fast-datapath-for-rhel-8-x86_64-rpms
         rhsm_username: "myusername"
         rhsm_password: "p@55w0rd!"
         rhsm_org_id: "1234567"
         rhsm_pool_ids: "55d251f1490556f3e75aa37e89e10ce5"
         rhsm_method: "portal"
         rhsm_release: 8.2
     CephStorageParameters:
       RhsmVars:
         rhsm_repos:
           - rhel-8-for-x86_64-baseos-tus-rpms
           - rhel-8-for-x86_64-appstream-tus-rpms
           - rhel-8-for-x86_64-highavailability-tus-rpms
           - ansible-2.9-for-rhel-8-x86_64-rpms
           - openstack-16.1-deployment-tools-for-rhel-8-x86_64-rpms
         rhsm_username: "myusername"
         rhsm_password: "p@55w0rd!"
         rhsm_org_id: "1234567"
         rhsm_pool_ids: "68790a7aa2dc9dc50a9bc39fabc55e0d"
         rhsm_method: "portal"
         rhsm_release: 8.2

   resource_registry 将 rhsm 可组合服务与 OS::TripleO::Services::Rhsm 资源相关联，这些资源在每个角色上可用。

   ControllerParameters、ComputeParameters 和 CephStorageParameters 参数各自使用单独的 RhsmVars 参数，将订阅详情传递给对应的角色。

   注意

   在 CephStorageParameters 参数中设置 RhsmVars 参数，以使用特定于 Ceph Storage 的 Red Hat Ceph Storage 订阅和存储库。确保 rhsm_repos 参数包含标准 Red Hat Enterprise Linux 软件仓库，而不是 Controller 和 Compute 节点所需的延长更新支持(EUS)存储库。

3. 保存环境文件。

流程

1. 创建名为 templates/rhsm.yml 的环境文件来存储配置。

2. 在环境文件中包含您的配置。例如：

   resource_registry:
     OS::TripleO::Services::Rhsm: /usr/share/openstack-tripleo-heat-templates/deployment/rhsm/rhsm-baremetal-ansible.yaml
   parameter_defaults:
     RhsmVars:
       rhsm_activation_key: "myactivationkey"
       rhsm_method: "satellite"
       rhsm_org_id: "ACME"
       rhsm_server_hostname: "satellite.example.com"
       rhsm_baseurl: "https://satellite.example.com/pulp/repos"
       rhsm_release: 8.2

   resource_registry 将 rhsm 可组合服务与 OS::TripleO::Services::Rhsm 资源相关联，这些资源在每个角色上可用。

   RhsmVars 变量将参数传递给 Ansible，以配置您的红帽注册。

3. 保存环境文件。

流程

1. 从将来的部署操作中排除 rhel-registration 环境文件。在大多数情况下，排除以下文件：

   • rhel-registration/environment-rhel-registration.yaml
   • rhel-registration/rhel-registration-resource-registry.yaml

2. 如果您使用自定义 roles_data 文件，请确保 roles_data 文件中的每个角色都包含 OS::TripleO::Services::Rhsm 可组合服务。例如：

   - name: Controller
     description: |
       Controller role that has all the controller services loaded and handles
       Database, Messaging and Network functions.
     CountDefault: 1
     ...
     ServicesDefault:
       ...
       - OS::TripleO::Services::Rhsm
       ...

3. 将 rhsm 可组合服务参数的环境文件添加到未来的部署操作中。

流程

1. 使用 openstack overcloud deploy 命令包括 rhsm.yml 环境文件：

   openstack overcloud deploy \
       <other cli args> \
       -e ~/templates/rhsm.yaml

   这可启用 overcloud 的 Ansible 配置和基于 Ansible 的注册。

2. 等待 overcloud 部署完成。

3. 检查 overcloud 节点上的订阅详情。例如，登录到 Controller 节点并运行以下命令：

   $ sudo subscription-manager status
   $ sudo subscription-manager list --consumed

流程

1. 创建一个 playbook，它使用 redhat_subscription 模块来注册您的节点。例如，以下 playbook 适用于 Controller 节点：

   ---
   - name: Register Controller nodes
     hosts: Controller
     become: yes
     vars:
       repos:
         - rhel-8-for-x86_64-baseos-eus-rpms
         - rhel-8-for-x86_64-appstream-eus-rpms
         - rhel-8-for-x86_64-highavailability-eus-rpms
         - ansible-2.9-for-rhel-8-x86_64-rpms
         - openstack-beta-for-rhel-8-x86_64-rpms
         - fast-datapath-for-rhel-8-x86_64-rpms
     tasks:
       - name: Register system
         redhat_subscription:
           username: myusername
           password: p@55w0rd!
           org_id: 1234567
           release: 8.2
           pool_ids: 1a85f9223e3d5e43013e3d6e8ff506fd
       - name: Disable all repos
         command: "subscription-manager repos --disable *"
       - name: Enable Controller node repos
         command: "subscription-manager repos --enable {{ item }}"
         with_items: "{{ repos }}"

   • 此 play 包含三个任务：

     • 注册节点。
     • 禁用任何自动启用的软件仓库。
     • 仅启用与 Controller 节点相关的软件仓库。存储库使用 repos 变量列出。

2. 部署 overcloud 后，您可以运行以下命令，以便 Ansible 对 overcloud 执行 playbook (ansible-osp-registration.yml)：

   $ ansible-playbook -i /usr/bin/tripleo-ansible-inventory ansible-osp-registration.yml

   这个命令执行以下操作：

   • 运行动态清单脚本以获取主机及其组的列表。
   • 将 playbook 任务应用到 playbook 的 hosts 参数中定义的组中节点，本例中为 Controller 组。

流程

1. 列出默认角色模板：

   $ openstack overcloud roles list
   BlockStorage
   CephStorage
   Compute
   ComputeHCI
   ComputeOvsDpdk
   Controller
   ...

2. 使用 openstack overcloud roles show 命令查看 YAML 格式的角色定义：

   $ openstack overcloud roles show Compute

3. 生成自定义 roles_data 文件。使用 openstack overcloud roles generate 命令将多个预定义角色加入到一个文件中。例如，运行以下命令生成 roles_data.yaml 文件，该文件包含 Controller, Compute, 和 Networker 角色：

   $ openstack overcloud roles generate -o ~/roles_data.yaml Controller Compute Networker

   使用 -o 选项定义输出文件的名称。

   此命令创建自定义 roles_data 文件。但是，上例使用 Controller 和 Networker 角色，它们都使用相同的网络代理。这意味着网络服务从 Controller 角色扩展到 Networker 角色，overcloud 会在 Controller 和 Networker 节点之间平衡网络服务的负载。

   要使此 Networker 角色独立，您可以创建自己的自定义角色角色，以及您需要的任何其他角色。这可让您从您自己的自定义角色生成 roles_data 文件。

4. 将目录从核心 heat 模板集合复制到 stack 用户的主目录：

   $ cp -r /usr/share/openstack-tripleo-heat-templates/roles ~/.

5. 在此目录中添加或修改自定义角色文件。将 --roles-path 选项与任何 role 子命令一起使用，将这个目录用作自定义角色的源：

   $ openstack overcloud roles generate -o my_roles_data.yaml \
     --roles-path ~/roles \
     Controller Compute Networker

   此命令从 ~/roles 目录中的单独角色生成单个 my_roles_data.yaml 文件。

流程

1. 创建默认 roles 目录的自定义副本：

   $ cp -r /usr/share/openstack-tripleo-heat-templates/roles ~/.

2. 创建名为 ~/roles/114.yaml 的新文件，并创建一个包含基本和核心 OpenStack 仪表板服务的新 Horizon 角色：

   - name: Horizon
     CountDefault: 1
     HostnameFormatDefault: '%stackname%-horizon-%index%'
     ServicesDefault:
       - OS::TripleO::Services::CACerts
       - OS::TripleO::Services::Kernel
       - OS::TripleO::Services::Ntp
       - OS::TripleO::Services::Snmp
       - OS::TripleO::Services::Sshd
       - OS::TripleO::Services::Timezone
       - OS::TripleO::Services::TripleoPackages
       - OS::TripleO::Services::TripleoFirewall
       - OS::TripleO::Services::SensuClient
       - OS::TripleO::Services::FluentdClient
       - OS::TripleO::Services::AuditD
       - OS::TripleO::Services::Collectd
       - OS::TripleO::Services::MySQLClient
       - OS::TripleO::Services::Apache
       - OS::TripleO::Services::Horizon

   将 CountDefault 设置为 1，以便默认 overcloud 始终包含 Horizon 节点。

3. 可选：如果要扩展现有 overcloud 中的服务，请在 Controller 角色中保留现有服务。如果要创建新 overcloud，并且希望 OpenStack 控制面板保留在独立角色上，请从 Controller 角色定义中删除 OpenStack Dashboard 组件：

   - name: Controller
     CountDefault: 1
     ServicesDefault:
       ...
       - OS::TripleO::Services::GnocchiMetricd
       - OS::TripleO::Services::GnocchiStatsd
       - OS::TripleO::Services::HAproxy
       - OS::TripleO::Services::HeatApi
       - OS::TripleO::Services::HeatApiCfn
       - OS::TripleO::Services::HeatApiCloudwatch
       - OS::TripleO::Services::HeatEngine
       # - OS::TripleO::Services::Horizon                # Remove this service
       - OS::TripleO::Services::IronicApi
       - OS::TripleO::Services::IronicConductor
       - OS::TripleO::Services::Iscsid
       - OS::TripleO::Services::Keepalived
       ...

4. 使用 ~/roles 目录作为源生成新的 roles_data-horizon.yaml 文件：

   $ openstack overcloud roles generate -o roles_data-horizon.yaml \
     --roles-path ~/roles \
     Controller Compute Horizon

5. 为此角色定义一个新类别，以便您可以标记特定的节点。在本例中，使用以下命令创建一个 horizon 类别：

   1. 创建 horizon 类别：

      (undercloud)$ openstack flavor create --id auto --ram 6144 --disk 40 --vcpus 4 horizon

      注意

      这些属性不用于调度实例，但计算调度程序将使用磁盘大小来确定根分区大小。

   2. 使用自定义资源类为 Dashboard 服务(horizon)标记您要指定的每个裸机节点：

      (undercloud)$ openstack baremetal node set --resource-class baremetal.HORIZON <NODE>

      将 <NODE> 替换为裸机节点的 ID。

   3. 将 horizon 类别与自定义资源类关联：

      (undercloud)$ openstack flavor set --property resources:CUSTOM_BAREMETAL_HORIZON=1 horizon

      要确定与裸机节点的资源类对应的自定义资源类的名称，请将资源类转换为大写，用下划线替换 punctuation，并使用 CUSTOM_ 前缀。

      注意

      类别只能请求一个裸机资源类实例。

   4. 设置以下类别属性，以防止计算调度程序使用裸机类别属性来调度实例：

      (undercloud)$ openstack flavor set --property resources:VCPU=0 --property resources:MEMORY_MB=0 --property resources:DISK_GB=0 horizon

6. 使用以下环境文件片断定义 Horizon 节点数和类型：

   parameter_defaults:
     OvercloudHorizonFlavor: horizon
     HorizonCount: 1

7. 在 openstack overcloud deploy 命令中包含新的 roles_data-horizon.yaml 文件和环境文件，以及与部署相关的任何其他环境文件：

   $ openstack overcloud deploy --templates -r ~/templates/roles_data-horizon.yaml -e ~/templates/node-count-flavor.yaml

   此配置会创建一个三节点 overcloud，它由一个 Controller 节点、一个 Compute 节点和一个 Networker 节点组成。要查看 overcloud 中的节点列表，请运行以下命令：

   $ openstack server list

流程

1. 创建默认 roles 目录的自定义副本：

   $ cp -r /usr/share/openstack-tripleo-heat-templates/roles ~/.

2. 编辑 ~/roles/Controller.yaml 文件，并修改 ServicesDefault 参数的服务列表。滚动到 OpenStack 编排服务并删除它们：

       - OS::TripleO::Services::GlanceApi
       - OS::TripleO::Services::GlanceRegistry
       - OS::TripleO::Services::HeatApi            # Remove this service
       - OS::TripleO::Services::HeatApiCfn         # Remove this service
       - OS::TripleO::Services::HeatApiCloudwatch  # Remove this service
       - OS::TripleO::Services::HeatEngine         # Remove this service
       - OS::TripleO::Services::MySQL
       - OS::TripleO::Services::NeutronDhcpAgent

3. 生成新的 roles_data 文件：

   $ openstack overcloud roles generate -o roles_data-no_heat.yaml \
     --roles-path ~/roles \
     Controller Compute Networker

4. 在运行 openstack overcloud deploy 命令时包括此新的 roles_data 文件：

   $ openstack overcloud deploy --templates -r ~/templates/roles_data-no_heat.yaml

   此命令在没有 Controller 节点上安装的 OpenStack 编排服务的情况下部署 overcloud。

流程

1. 在环境文件中添加一个条目，它将 CinderBackup 服务链接到包含 cinder-backup 配置的 heat 模板：

   resource_registry:
     OS::TripleO::Services::CinderBackup: ../podman/services/pacemaker/cinder-backup.yaml
   ...

   此条目覆盖默认的 null 操作资源并启用该服务。

2. 在运行 openstack overcloud deploy 命令时包含此环境文件：

   $ openstack overcloud deploy --templates -e /usr/share/openstack-tripleo-heat-templates/environments/cinder-backup.yaml

流程

1. 在自定义 roles_data.yaml 文件中创建一个没有包括 ServicesDefault 列表的通用角色：

   - name: Generic
   - name: Controller
     CountDefault: 1
     ServicesDefault:
       - OS::TripleO::Services::AuditD
       - OS::TripleO::Services::CACerts
       - OS::TripleO::Services::CephClient
       ...
   - name: Compute
     CountDefault: 1
     ServicesDefault:
       - OS::TripleO::Services::AuditD
       - OS::TripleO::Services::CACerts
       - OS::TripleO::Services::CephClient
       ...

   确保保留现有的 Controller 和 Compute 角色。

2. 创建一个环境文件 generic-node-params.yaml，以指定在选择要置备的节点时所需的通用 Red Hat Enterprise Linux 8 节点数量以及类型：

   parameter_defaults:
     OvercloudGenericFlavor: baremetal
     GenericCount: 1

3. 在运行 openstack overcloud deploy 命令时，同时包含角色文件和环境文件：

   $ openstack overcloud deploy --templates \
   -r ~/templates/roles_data_with_generic.yaml \
   -e ~/templates/generic-node-params.yaml

   此配置部署一个具有一个 Controller 节点、一个 Compute 节点和一个通用 Red Hat Enterprise Linux 8 节点的三节点环境。

流程

1. 以 stack 用户身份登录 undercloud 主机。

2. 生成默认的容器镜像准备文件：

   $ sudo openstack tripleo container image prepare default \
     --local-push-destination \
     --output-env-file containers-prepare-parameter.yaml

   此命令包括以下附加选项：

   • --local-push-destination，在 undercloud 上设置 registry 作为存储容器镜像的位置。这意味着 director 从 Red Hat Container Catalog 拉取必要的镜像并将其推送到 undercloud 上的 registry 中。director 将该 registry 用作容器镜像源。如果直接从 Red Hat Container Catalog 拉取镜像，请忽略这个选项。

   • --output-env-file 是环境文件名称。此文件的内容包括用于准备您的容器镜像的参数。在本例中，文件的名称是 containers-prepare-parameter.yaml。

     注意

     您可以使用相同的 containers-prepare-parameter.yaml 文件为 undercloud 和 overcloud 定义容器镜像源。

3. 修改 containers-prepare-parameter.yaml 以符合您的需求。

步骤

1. 以下示例在 nova-compute 镜像上运行自定义 Dockerfile：

   ContainerImagePrepare:
   - push_destination: true
     ...
     includes:
     - nova-compute
     modify_role: tripleo-modify-image
     modify_append_tag: "-hotfix"
     modify_vars:
       tasks_from: modify_image.yml
       modify_dir_path: /home/stack/nova-custom
     ...

2. 以下示例显示了 /home/stack/nova-custom/Dockerfile 文件。运行任何 USER 根指令后，必须切换回原始镜像默认用户：

   FROM registry.redhat.io/rhosp-rhel8/openstack-nova-compute:latest
   
   USER "root"
   
   COPY customize.sh /tmp/
   RUN /tmp/customize.sh
   
   USER "nova"

流程

1. 为您的 overcloud 创建新的容器镜像文件：

   $ sudo openstack tripleo container image prepare default \
       --local-push-destination \
       --output-env-file containers-prepare-parameter-dellemc.yaml

2. 编辑 containers-prepare-parameter-dellemc.yaml 文件。

3. 在主 Red Hat OpenStack Platform 容器镜像的策略中添加一个 exclude 参数。使用此参数排除厂商容器镜像将替换的容器镜像。在示例中，容器镜像是 cinder-volume 镜像：

   parameter_defaults:
     ContainerImagePrepare:
       - push_destination: true
         excludes:
     	   - cinder-volume
         set:
           namespace: registry.redhat.io/rhosp-rhel8
           name_prefix: openstack-
           name_suffix: ''
           tag: 16.1
           ...
         tag_from_label: "{version}-{release}"

4. 在 ContainerImagePrepare 参数中添加新策略，其中包含厂商插件的替代容器镜像：

   parameter_defaults:
     ContainerImagePrepare:
       ...
       - push_destination: true
         includes:
           - cinder-volume
         set:
           namespace: registry.connect.redhat.com/dellemc
           name_prefix: openstack-
           name_suffix: -dellemc-rhosp16
           tag: 16.1-2
           ...

5. 将 registry.connect.redhat.com registry 的身份验证详情添加到 ContainerImageRegistryCredentials 参数中：

   parameter_defaults:
     ContainerImageRegistryCredentials:
       registry.redhat.io:
         [service account username]: [service account password]
       registry.connect.redhat.com:
         [service account username]: [service account password]

6. 保存 containers-prepare-parameter-dellemc.yaml 文件。

7. 使用任何部署命令包括 containers-prepare-parameter-dellemc.yaml 文件，如 openstack overcloud deploy:

   $ openstack overcloud deploy --templates
       ...
       -e containers-prepare-parameter-dellemc.yaml
       ...

   当 director 部署 overcloud 时，overcloud 将使用厂商容器镜像而不是标准容器镜像。

   重要

   containers-prepare-parameter-dellemc.yaml 文件替换了 overcloud 部署中的标准 containers-prepare-parameter.yaml 文件。不要在 overcloud 部署中包含标准 containers-prepare-parameter.yaml 文件。为 undercloud 安装和更新保留标准 containers-prepare-parameter.yaml 文件。

流程

1. 复制默认的 network_data.yaml 文件：

   $ cp /usr/share/openstack-tripleo-heat-templates/network_data.yaml /home/stack/.

2. 编辑 network_data.yaml 文件的本地副本，并修改参数以满足您的网络要求。例如，内部 API 网络包含以下默认网络详情：

   - name: InternalApi
     name_lower: internal_api
     vip: true
     vlan: 201
     ip_subnet: '172.16.2.0/24'
     allocation_pools: [{'start': '172.16.2.4', 'end': '172.16.2.250'}]

流程

1. 运行 openstack overcloud deploy 命令时，请确保包含以下呈现的环境文件：

   • 自定义 network_data.yaml 文件。
   • 默认网络隔离文件的呈现文件名。
   • 默认网络环境文件的呈现文件名。
   • 默认网络接口配置文件的呈现文件名。
   • 与配置相关的任何其他环境文件。

流程

1. 复制默认的 network_data.yaml 文件：

   $ cp /usr/share/openstack-tripleo-heat-templates/network_data.yaml /home/stack/.

2. 编辑 network_data.yaml 文件的本地副本，并为新网络添加一个部分：

   - name: StorageBackup
     name_lower: storage_backup
     vlan: 21
     vip: true
     ip_subnet: '172.21.1.0/24'
     allocation_pools: [{'start': '171.21.1.4', 'end': '172.21.1.250'}]
     gateway_ip: '172.21.1.1'

流程

1. 如果您还没有自定义 roles_data.yaml 文件，请将默认值复制到您的主目录中：

   $ cp /usr/share/openstack-tripleo-heat-templates/roles_data.yaml /home/stack/.

2. 编辑自定义 roles_data.yaml 文件。

3. 将网络名称包含在您要添加 网络 的角色的网络列表中。例如，要将 StorageBackup 网络添加到 Ceph Storage 角色中，请使用以下示例片断：

   - name: CephStorage
     description: |
       Ceph OSD Storage node role
     networks:
       - Storage
       - StorageMgmt
       - StorageBackup

4. 将自定义网络添加到其各自角色后，保存文件。

流程

1. 运行 openstack overcloud deploy 命令时，请确保包含以下文件：

   • 自定义 network_data.yaml 文件。
   • 带有 network-to-role 分配的自定义 roles_data.yaml 文件。
   • 默认网络隔离的呈现文件名。
   • 默认网络环境文件的呈现文件名。
   • 默认网络接口配置的呈现文件名。
   • 与网络相关的额外环境文件，如服务重新分配。

流程

1. 在 network_data.yaml 文件中，为您要重命名的每个网络的 name_lower 参数输入新名称：

   - name: InternalApi
     name_lower: MyCustomInternalApi

2. 在 service_net_map_replace 参数中包含 name_lower 参数的默认值：

   - name: InternalApi
     name_lower: MyCustomInternalApi
     service_net_map_replace: internal_api

流程

1. 使用 process-templates.py 脚本呈现 openstack-tripleo-heat-templates 集合的副本：

   $ cd /usr/share/openstack-tripleo-heat-templates
   $ ./tools/process-templates.py -o ~/openstack-tripleo-heat-templates-rendered

   这会将所有 Jinja2 模板转换为其渲染的 YAML 版本，并将结果保存到 ~/openstack-tripleo-heat-templates-rendered。

   如果使用自定义网络文件或自定义角色文件，您可以分别使用 -n 和 -r 选项包括这些文件：

   $ ./tools/process-templates.py -o ~/openstack-tripleo-heat-templates-rendered -n /home/stack/network_data.yaml -r /home/stack/roles_data.yaml

2. 复制多个 NIC 示例：

   $ cp -r ~/openstack-tripleo-heat-templates-rendered/network/config/multiple-nics/ ~/templates/custom-nics/

3. 编辑 custom-nics 中设置的模板，以适应您自己的网络配置。

流程

1. 运行 openstack overcloud deploy 命令时，包括以下文件：

   • 自定义 network_data.yaml 文件。
   • 默认网络隔离的呈现文件名。
   • 默认网络环境文件的呈现文件名。
   • 包含对自定义 NIC 模板的资源引用的自定义环境网络配置。
   • 与配置相关的任何其他环境文件。

流程

1. 从 ~/templates/custom-nics 目录在自定义 NIC 模板中创建 route_table 和 interface 条目，为接口定义路由，并定义与您的部署相关的规则：

   $network_config:
     network_config:
   
     - type: route_table
       name: custom
       table_id: 200
   
     - type: interface
       name: em1
       use_dhcp: false
       addresses:
         - ip_netmask: 192.0.2.1/24
   
       routes:
         - ip_netmask: 10.1.3.0/24
           next_hop: 192.0.2.5
           route_options: "metric 10"
           table: 200
       rules:
         - rule: "iif em1 table 200"
           comment: "Route incoming traffic to em1 with table 200"
         - rule: "from 192.0.2.0/24 table 200"
           comment: "Route all traffic from 192.0.2.0/24 with table 200"
         - rule: "add blackhole from 172.19.40.0/24 table 200"
         - rule: "add unreachable iif em1 from 192.168.1.0/24"

2. 将 run-os-net-config.sh 脚本位置设置为您创建的每个自定义 NIC 模板的绝对路径。该脚本位于 undercloud 上的 /usr/share/openstack-tripleo-heat-templates/network/scripts/ 目录中：

   resources:
     OsNetConfigImpl:
       type: OS::Heat::SoftwareConfig
       properties:
         group: script
         config:
           str_replace:
             template:
               get_file: /usr/share/openstack-tripleo-heat-templates/network/scripts/run-os-net-config.sh

3. 在部署命令中包含自定义 NIC 配置和网络环境文件，以及与部署相关的任何其他环境文件：

   $ openstack overcloud deploy --templates \
   -e ~/templates/<custom-nic-template>
   -e <OTHER_ENVIRONMENT_FILES>

流程

1. 检查内核版本。

   ovs-appctl -t ovs-vswitchd dpif/show-dp-features br-int

2. 如果输出包含 Check pkt length action: No，或者输出中没有 检查 pkt length 操作 字符串，请升级到 RHEL 8.2.0.4 或更高版本，或者不会将巨型帧发送到具有较小的 MTU 的外部网络。

3. 如果输出包含 Check pkt length action: Yes，请在 ml2_conf.ini 的 [ovn] 部分中设置以下值：

   ovn_emit_need_to_frag = True

流程

1. 以 stack 用户身份登录 undercloud 主机。

2. 查找 undercloud 凭证文件：

   $ source ~/stackrc

3. 创建自定义 YAML 环境文件。

   示例

   $ vi /home/stack/templates/my-environment.yaml

4. 您的环境文件必须包含 keywords parameter_defaults 和 ExtraSysctlSettings。为 netfilter 可在变量 net.nf_conntrack_max 中跟踪的最大连接数输入一个新值。

   示例

   在本例中，您可以在 RHOSP 部署中的所有主机上设置 conntrack 限制：

   parameter_defaults:
     ExtraSysctlSettings:
       net.nf_conntrack_max:
         value: 500000

   使用 & lt;role>Parameter 参数为特定角色设置 conntrack 限制：

   parameter_defaults:
     <role>Parameters:
       ExtraSysctlSettings:
         net.nf_conntrack_max:
           value: <simultaneous_connections>

   • 将 <role > 替换为角色的名称。

     例如，使用 ControllerParameters 为 Controller 角色设置 conntrack 限制，或 ComputeParameters 为 Compute 角色设置 conntrack 限制。

   • 将 < simultaneous_connections > 替换为您要同时允许的连接数量。

     示例

     在本例中，您只能为 RHOSP 部署中的 Controller 角色设置 conntrack 限制：

     parameter_defaults:
       ControllerParameters:
         ExtraSysctlSettings:
           net.nf_conntrack_max:
             value: 500000

     注意

     net.nf_conntrack_max 的默认值为 500000 连接。最大值为：429 496739）。

5. 运行部署命令，包括核心 heat 模板、环境文件和新的自定义环境文件。

   重要

   环境文件的顺序非常重要，因为后续环境文件中定义的参数和资源具有优先权。

   示例

   $ openstack overcloud deploy --templates \
   -e /home/stack/templates/my-environment.yaml

流程

1. 将 ID 分配为计算调度程序在部署时匹配的每个节点功能：

   openstack baremetal node set --property capabilities='node:controller-0,boot_option:local' <id>

   此命令将能力 node:controller-0 分配给节点。使用唯一连续索引重复此模式，从 0 开始用于所有节点。确保给定角色的所有节点(Controller、Compute 或每个存储角色)都以相同的方式标记，或者计算调度程序无法正确匹配该功能。

2. 创建一个 heat 环境文件（如 scheduler_hints_env.yaml），该文件使用调度程序提示来匹配每个节点的功能：

   parameter_defaults:
     ControllerSchedulerHints:
       'capabilities:node': 'controller-%index%'

   使用以下参数为其他角色类型配置调度程序提示：

   • Controller 节点的 ControllerSchedulerHints。
   • Compute 节点的 ComputeSchedulerHints。
   • Block Storage 节点的 BlockStorageSchedulerHints。
   • Object Storage 节点的 ObjectStorageSchedulerHints。
   • CephStorageSchedulerHints 用于 Ceph Storage 节点。
   • [ROLE]SchedulerHints 用于自定义角色。将 [ROLE] 替换为角色名称。
3. 在 overcloud deploy 命令中包含 scheduler_hints_env.yaml 环境文件。

流程

1. 创建环境文件以定义预测的 IP 地址：

   $ touch ~/templates/predictive_ips.yaml

2. 在 ~/templates/predictive_ips.yaml 文件中创建一个 parameter_defaults 部分，并使用以下语法为每个网络上的每个节点定义预先 IP 寻址：

   parameter_defaults:
     <role_name>IPs:
       <network>:
       - <IP_address>
       <network>:
       - <IP_address>

   每个节点角色都有唯一的参数。将 <role_name>IPs 替换为相关参数：

   • Controller 节点的 ControllerIPs。
   • Compute 节点的 ComputeIPs。
   • Ceph Storage 节点的 CephStorageIPs。
   • BlockStorageIPs 用于块存储节点。
   • Object Storage 节点的 Swift StorageIPs。

   • [ROLE]IPs 用于自定义角色。将 [ROLE] 替换为角色名称。

     每个参数都是网络名称到地址列表的映射。每种网络类型必须至少拥有多个地址，因为该网络上的节点将至少有多地址。director 按顺序分配地址。每种类型的第一个节点接收每个对应列表的第一个地址，第二个节点会在每个各自列表上接收第二个地址，以此类推。

     例如，如果要在 overcloud 中部署三个带有预测 IP 地址的 Ceph Storage 节点，请使用以下示例语法：

     parameter_defaults:
       CephStorageIPs:
         storage:
         - 172.16.1.100
         - 172.16.1.101
         - 172.16.1.102
         storage_mgmt:
         - 172.16.3.100
         - 172.16.3.101
         - 172.16.3.102

     第一个 Ceph Storage 节点接收两个地址： 172.16.1.100 和 172.16.3.100。第二个接收 172.16.1.101 和 172.16.3.101，第三个接收 172.16.1.102 和 172.16.3.102。相同的模式适用于其他节点类型。

     要在 control plane 上配置可预测的 IP 地址，请将 /usr/share/openstack-tripleo-heat-templates/environments/ips-from-pool-ctlplane.yaml 文件复制到 stack 用户的 templates 目录中：

     $ cp /usr/share/openstack-tripleo-heat-templates/environments/ips-from-pool-ctlplane.yaml ~/templates/.

     使用以下参数配置新的 ips-from-pool-ctlplane.yaml 文件。您可以将 control plane IP 地址声明与其他网络的 IP 地址声明合并，且只使用一个文件为所有角色中的所有网络声明 IP 地址。您还可以将可预测的 IP 地址用于 spine/leaf。每个节点必须具有正确的子网的 IP 地址。

     parameter_defaults:
       ControllerIPs:
         ctlplane:
         - 192.168.24.10
         - 192.168.24.11
         - 192.168.24.12
         internal_api:
         - 172.16.1.20
         - 172.16.1.21
         - 172.16.1.22
         external:
         - 10.0.0.40
         - 10.0.0.57
         - 10.0.0.104
       ComputeLeaf1IPs:
         ctlplane:
         - 192.168.25.100
         - 192.168.25.101
         internal_api:
         - 172.16.2.100
         - 172.16.2.101
       ComputeLeaf2IPs:
         ctlplane:
         - 192.168.26.100
         - 192.168.26.101
         internal_api:
         - 172.16.3.100
         - 172.16.3.101

     确保您选择的 IP 地址不在网络环境文件中定义的每个网络的分配池之外。例如，确保 internal_api 分配不在 InternalApiAllocationPools 范围之外，以避免与自动选择的任何 IP 冲突。另外，请确保 IP 分配与 VIP 配置不冲突，适用于标准可预测的 VIP 放置（请参阅 第 13.4 节 “分配可预测的虚拟 IP”）或外部负载均衡（请参阅 第 21.4 节 “配置外部负载均衡”）。

     重要

     如果删除了 overcloud 节点，请不要删除 IP 列表中的条目。IP 列表基于底层 heat 索引，即使删除了节点，此索引不会改变。要指示列表中的给定条目不再使用，请将 IP 值替换为 DELETED 或 UNUSED 等值。不应从 IP 列表中删除条目，只更改或添加。

3. 要在部署期间应用此配置，请使用 openstack overcloud deploy 命令包括 predictive_ips.yaml 环境文件。

   重要

   如果使用网络隔离，请在 network-isolation.yaml 文件后包括 predictive_ips.yaml 文件：

   $ openstack overcloud deploy --templates \
     -e /usr/share/openstack-tripleo-heat-templates/environments/network-isolation.yaml \
     -e ~/templates/predictive_ips.yaml \
     [OTHER OPTIONS]

流程

1. /etc/pki/CA/index.txt 文件包含所有签名证书的记录。请确定文件系统路径和 index.txt 文件已存在：

   $ sudo mkdir -p /etc/pki/CA
   $ sudo touch /etc/pki/CA/index.txt

2. /etc/pki/CA/serial 文件标识下一个序列号，以用于下一个要签名的证书。检查是否存在此文件。如果此文件不存在，则使用新启动值创建新文件：

   $ echo '1000' | sudo tee /etc/pki/CA/serial

流程

1. 生成密钥和证书对以充当证书颁发机构：

   $ openssl genrsa -out ca.key.pem 4096
   $ openssl req  -key ca.key.pem -new -x509 -days 7300 -extensions v3_ca -out ca.crt.pem

2. openssl req 命令会要求输入认证机构的详细信息。根据提示输入相关信息。这些命令创建一个称为 ca.crt.pem 的证书颁发机构文件。

3. 将证书位置设置为 enable-tls.yaml 文件中的 PublicTLSCAFile 参数的值。当您将证书位置设置为 PublicTLSCAFile 参数的值时，您可以确保 CA 证书路径添加到 clouds.yaml 身份验证文件中。

   parameter_defaults:
       PublicTLSCAFile: /etc/pki/ca-trust/source/anchors/cacert.pem

流程

1. 将证书颁发机构复制到客户端系统：

   $ sudo cp ca.crt.pem /etc/pki/ca-trust/source/anchors/

2. 将证书颁发机构文件复制到每个客户端后，在每个客户端上运行以下命令，将证书添加到证书颁发机构信任捆绑包中：

   $ sudo update-ca-trust extract

流程

1. 运行以下命令以生成 SSL/TLS 密钥 (server.key.pem)：

   $ openssl genrsa -out server.key.pem 2048

流程

1. 复制默认 OpenSSL 配置文件：

   $ cp /etc/pki/tls/openssl.cnf .

2. 编辑新的 openssl.cnf 文件并配置要用于 director 的 SSL 参数。一个要修改的参数类型的示例包括：

   [req]
   distinguished_name = req_distinguished_name
   req_extensions = v3_req
   
   [req_distinguished_name]
   countryName = Country Name (2 letter code)
   countryName_default = AU
   stateOrProvinceName = State or Province Name (full name)
   stateOrProvinceName_default = Queensland
   localityName = Locality Name (eg, city)
   localityName_default = Brisbane
   organizationalUnitName = Organizational Unit Name (eg, section)
   organizationalUnitName_default = Red Hat
   commonName = Common Name
   commonName_default = 192.168.0.1
   commonName_max = 64
   
   [ v3_req ]
   # Extensions to add to a certificate request
   basicConstraints = CA:FALSE
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   subjectAltName = @alt_names
   
   [alt_names]
   IP.1 = 192.168.0.1
   DNS.1 = instack.localdomain
   DNS.2 = vip.localdomain
   DNS.3 = 192.168.0.1

   将 commonName_default 设置为以下条目之一：

   • 如果使用 IP 地址通过 SSL/TLS 访问 director，则使用 undercloud.conf 文件中的 undercloud_public_host 参数。
   • 如果使用完全限定域名通过 SSL/TLS 访问 director，则使用此域名。

   编辑 alt_names 部分，使其包含以下条目：

   • IP - 客户端用于通过 SSL 访问 director 的 IP 地址列表。
   • DNS - 客户端用于通过 SSL 访问 director 的域名列表。其中也包含公共 API IP 地址作为在 alt_names 部分末尾的 DNS 条目。
   注意

   有关 openssl.cnf 的更多信息，请运行 man openssl.cnf 命令。

3. 运行以下命令以生成证书签名请求 (server.csr.pem)：

   $ openssl req -config openssl.cnf -key server.key.pem -new -out server.csr.pem

   确保使用 -key 选项包括 OpenStack SSL/TLS 密钥。

步骤

1. 运行以下命令，为 undercloud 或 overcloud 创建证书：

   $ sudo openssl ca -config openssl.cnf -extensions v3_req -days 3650 -in server.csr.pem -out server.crt.pem -cert ca.crt.pem -keyfile ca.key.pem

   这个命令使用以下选项：

   -config

   使用一个自定义配置文件，它是带有 v3 扩展的 openssl.cnf 文件。

   -extensions v3_req

   已启用的 v3 扩展。

   -days

   定义证书到期前的天数。

   -in'

   证书签名请求。

   -out

   生成的签名证书。

   -cert

   证书颁发机构文件。

   -keyfile

   证书颁发机构私钥。

流程

1. 从 heat 模板集合中复制 enable-tls.yaml 环境文件：

   $ cp -r /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-tls.yaml ~/templates/.

2. 编辑此文件并对这些参数进行以下更改：

   SSLCertificate

   将证书文件(server.crt.pem)的内容复制到 SSLCertificate 参数中：

   parameter_defaults:
     SSLCertificate: |
       -----BEGIN CERTIFICATE-----
       MIIDgzCCAmugAwIBAgIJAKk46qw6ncJaMA0GCSqGS
       ...
       sFW3S2roS4X0Af/kSSD8mlBBTFTCMBAj6rtLBKLaQ
       -----END CERTIFICATE-----

   重要

   证书内容为所有新行需要相同的缩进级别。

   SSLIntermediateCertificate

   如果您有中间证书，请将中间证书的内容复制到 SSLIntermediateCertificate 参数中：

   parameter_defaults:
     SSLIntermediateCertificate: |
       -----BEGIN CERTIFICATE-----
       sFW3S2roS4X0Af/kSSD8mlBBTFTCMBAj6rtLBKLaQbIxEpIzrgvpBCwUAMFgxCzAJB
       ...
       MIIDgzCCAmugAwIBAgIJAKk46qw6ncJaMA0GCSqGSIb3DQE
       -----END CERTIFICATE-----

   重要

   证书内容为所有新行需要相同的缩进级别。

   SSLKey

   将私钥(server.key.pem)的内容复制到 SSLKey 参数中：

   parameter_defaults:
     ...
     SSLKey: |
       -----BEGIN RSA PRIVATE KEY-----
       MIIEowIBAAKCAQEAqVw8lnQ9RbeI1EdLN5PJP0lVO
       ...
       ctlKn3rAAdyumi4JDjESAXHIKFjJNOLrBmpQyES4X
       -----END RSA PRIVATE KEY-----

   重要

   私钥内容为所有新行需要相同的缩进级别。

流程

1. 从 heat 模板集合中复制 inject-trust-anchor-hiera.yaml 环境文件：

   $ cp -r /usr/share/openstack-tripleo-heat-templates/environments/ssl/inject-trust-anchor-hiera.yaml ~/templates/.

流程

1. 使用以下内容编辑 heat 模板：

   • 编辑 enable-tls.yaml 文件并更新 SSLCertificate、SSLKey 和 SSLIntermediateCertificate 参数。
   • 如果您的证书颁发机构已更改，请编辑 inject-trust-anchor-hiera.yaml 文件并更新 CAMap 参数。

2. 重新运行部署命令：

   $ openstack overcloud deploy --templates \
   [...]
   -e /home/stack/templates/enable-tls.yaml \
   -e ~/templates/custom-domain.yaml \
   -e ~/templates/inject-trust-anchor-hiera.yaml \
   -e /usr/share/openstack-tripleo-heat-templates/environments/ssl/tls-endpoints-public-dns.yaml

1. 配置 /etc/resolv.conf 文件：

   在 /etc/resolv.conf 中设置 undercloud 上的适当的搜索域和名称服务器。例如，如果部署域是 example.com，并且 FreeIPA 服务器的域是 bigcorp.com，那么将以下行添加到 /etc/resolv.conf 中：

   search example.com bigcorp.com
   nameserver $IDM_SERVER_IP_ADDR

2. 安装所需的软件：

   sudo dnf install -y python3-ipalib python3-ipaclient krb5-devel

3. 使用特定于您的环境的值导出环境变量：

   export IPA_DOMAIN=bigcorp.com
   export IPA_REALM=BIGCORP.COM
   export IPA_ADMIN_USER=$IPA_USER
   export IPA_ADMIN_PASSWORD=$IPA_PASSWORD
   export IPA_SERVER_HOSTNAME=ipa.bigcorp.com
   export UNDERCLOUD_FQDN=undercloud.example.com
   export USER=stack
   export CLOUD_DOMAIN=example.com

   注意

   IdM 用户凭证必须是可添加新主机和服务的管理用户。

4. 在 undercloud 上运行 undercloud-ipa-install.yaml ansible playbook：

   ansible-playbook \
   --ssh-extra-args "-o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null" \
   /usr/share/ansible/tripleo-playbooks/undercloud-ipa-install.yaml

5. 在 undercloud.conf 中添加以下参数

   undercloud_nameservers = $IDM_SERVER_IP_ADDR
   overcloud_domain_name = example.com

6. 部署 undercloud：

   openstack undercloud install

1. 列出 IdM 中的主机：

   $ kinit admin
   $ ipa host-find

2. 确认 undercloud 上存在 /etc/novajoin/krb5.keytab。

   ls /etc/novajoin/krb5.keytab

1. 在部署 overcloud 之前，创建一个 YAML 文件 tls-parameters.yaml，其内容类似如下。您选择的值将特定于您的环境：

   parameter_defaults:
       DnsSearchDomains: ["example.com"]
       DnsServers: ["192.168.1.13"]
       CloudDomain: example.com
       CloudName: overcloud.example.com
       CloudNameInternal: overcloud.internalapi.example.com
       CloudNameStorage: overcloud.storage.example.com
       CloudNameStorageManagement: overcloud.storagemgmt.example.com
       CloudNameCtlplane: overcloud.ctlplane.example.com
       IdMServer: freeipa-0.redhat.local
       IdMDomain: redhat.local
       IdMInstallClientPackages: False
   
   resource_registry:
         OS::TripleO::Services::IpaClient: /usr/share/openstack-tripleo-heat-templates/deployment/ipa/ipaservices-baremetal-ansible.yaml

   • OS::TripleO::Services::IpaClient 参数显示的值会覆盖 enable-internal-tls.yaml 文件中的默认设置。您必须确保 openstack overcloud deploy 命令中的 tls-parameters.yaml 文件遵循 enable-internal-tls.yaml。

2. 部署 overcloud。您需要在部署命令中包含 tls-parameters.yaml ：

   DEFAULT_TEMPLATES=/usr/share/openstack-tripleo-heat-templates/
   CUSTOM_TEMPLATES=/home/stack/templates
   
   openstack overcloud deploy \
   -e ${DEFAULT_TEMPLATES}/environments/ssl/tls-everywhere-endpoints-dns.yaml \
   -e ${DEFAULT_TEMPLATES}/environments/services/haproxy-public-tls-certmonger.yaml \
   -e ${DEFAULT_TEMPLATES}/environments/ssl/enable-internal-tls.yaml \
   -e ${CUSTOM_TEMPLATES}/tls-parameters.yaml \
   ...

3. 通过查询 keystone 获取端点列表来确认每个端点正在使用 HTTPS：

   openstack endpoint list

1. 将 undercloud 节点添加到证书颁发机构(CA)
2. 将 undercloud 节点添加到 IdM
3. 可选：将 IdM 服务器设置为 overcloud 的 DNS 服务器
4. 准备环境文件并部署 overcloud
5. 在 IdM 和 RHOSP 中测试 overcloud 注册
6. 可选：在 IdM 中为 novajoin 添加 DNS 条目

流程

1. 在 undercloud 节点上安装 python3-novajoin 软件包：

   $ sudo dnf install python3-novajoin

2. 在 undercloud 节点上，运行 novajoin-ipa-setup 脚本，并调整值以符合您的部署：

   $ sudo /usr/libexec/novajoin-ipa-setup \
       --principal admin \
       --password <IdM admin password> \
       --server <IdM server hostname> \
       --realm <realm> \
       --domain <overcloud cloud domain> \
       --hostname <undercloud hostname> \
       --precreate

   使用生成的一次性密码(OTP)来注册 undercloud。

流程

1. 启用 novajoin 服务：

   [DEFAULT]
   enable_novajoin = true

2. 设置一次性密码(OTP)，以便您可以使用 IdM 注册 undercloud 节点：

   ipa_otp = <otp>

3. 将 overcloud 的域名设置为由 neutron 的 DHCP 服务器提供：

   overcloud_domain_name = <domain>

4. 为 undercloud 设置主机名：

   undercloud_hostname = <undercloud FQDN>

5. 将 IdM 设置为 undercloud 的名称服务器：

   undercloud_nameservers = <IdM IP>

6. 对于较大的环境，请查看 novajoin 连接超时值。在 undercloud.conf 文件中，添加对名为 undercloud-timeout.yaml 的新文件的引用：

   hieradata_override = /home/stack/undercloud-timeout.yaml

   在 undercloud-timeout.yaml 中添加以下选项。您可以指定超时值，例如 5 ：

   nova::api::vendordata_dynamic_connect_timeout: <timeout value>
   nova::api::vendordata_dynamic_read_timeout: <timeout value>

7. 可选： 如果您希望本地 openSSL 证书颁发机构为 director 中的公共端点生成 SSL 证书，请将 generate_service_certificate 参数设置为 true ：

   generate_service_certificate = true

8. 保存 undercloud.conf 文件。

9. 运行 undercloud 部署命令，将更改应用到现有的 undercloud：

   $ openstack undercloud install

1. 列出 IdM 中的主机：

   $ kinit admin
   $ ipa host-find

2. 确认 undercloud 上存在 /etc/novajoin/krb5.keytab。

   ls /etc/novajoin/krb5.keytab

流程

1. 连接到 undercloud：

   $ source ~/stackrc

2. 将 control plane 子网配置为使用 IdM 作为 DNS 名称服务器：

   $ openstack subnet set ctlplane-subnet --dns-nameserver  <idm_server_address>

3. 在环境文件中设置 DnsServers 参数以使用您的 IdM 服务器：

   parameter_defaults:
     DnsServers: ["<idm_server_address>"]

   此参数通常在自定义 network-environment.yaml 文件中定义。

流程

1. 创建 /usr/share/openstack-tripleo-heat-templates/environments/predictable-placement/custom-domain.yaml 环境文件的副本：

   $ cp /usr/share/openstack-tripleo-heat-templates/environments/predictable-placement/custom-domain.yaml \
     /home/stack/templates/custom-domain.yaml

2. 编辑 /home/stack/templates/custom-domain.yaml 环境文件，并设置 CloudDomain 和 CloudName bang 值以适合您的部署：

   parameter_defaults:
     CloudDomain: lab.local
     CloudName: overcloud.lab.local
     CloudNameInternal: overcloud.internalapi.lab.local
     CloudNameStorage: overcloud.storage.lab.local
     CloudNameStorageManagement: overcloud.storagemgmt.lab.local
     CloudNameCtlplane: overcloud.ctlplane.lab.local

3. 选择适合您的环境的 TLS 的实施：

   • 使用 enable-tls.yaml 环境文件来保护带有自定义证书的外部端点：

     1. 将 /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-tls.yaml 复制到 /home/stack/templates。
     2. 修改 /home/stack/enable-tls.yaml 环境文件，使其包含您的自定义证书和密钥。

     3. 在部署中包含以下环境文件，以保护内部和外部端点：

        • enable-internal-tls.yaml
        • tls-every-endpoints-dns.yaml
        • custom-domain.yaml

        • enable-tls.yaml

          openstack overcloud deploy \
            --templates \
            -e /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-internal-tls.yaml \
            -e /usr/share/openstack-tripleo-heat-templates/environments/ssl/tls-everywhere-endpoints-dns.yaml \
            -e /home/stack/templates/custom-domain.yaml \
            -e /home/stack/templates/enable-tls.yaml

   • 使用 haproxy-public-tls-certmonger.yaml 环境文件来保护使用 IdM 发布的证书的外部端点。对于此实现，您必须为 novajoin 使用的 VIP 端点创建 DNS 条目：

     1. 您必须为 novajoin 使用的 VIP 端点创建 DNS 条目。识别位于 '/home/stack/templates 的自定义 network-environment.yaml 文件中的 overcloud 网络：

        parameter_defaults:
            ControlPlaneDefaultRoute: 192.168.24.1
            ExternalAllocationPools:
            -   end: 10.0.0.149
                start: 10.0.0.101
            InternalApiAllocationPools:
            -   end: 172.17.1.149
                start: 172.17.1.10
            StorageAllocationPools:
            -   end: 172.17.3.149
                start: 172.17.3.10
            StorageMgmtAllocationPools:
            -   end: 172.17.4.149
                start: 172.17.4.10

     2. 在 heat 模板中为每个 overcloud 网络创建虚拟 IP 地址列表，例如 /home/stack/public_vip.yaml。

        parameter_defaults:
            ControlFixedIPs: [{'ip_address':'192.168.24.101'}]
            PublicVirtualFixedIPs: [{'ip_address':'10.0.0.101'}]
            InternalApiVirtualFixedIPs: [{'ip_address':'172.17.1.101'}]
            StorageVirtualFixedIPs: [{'ip_address':'172.17.3.101'}]
            StorageMgmtVirtualFixedIPs: [{'ip_address':'172.17.4.101'}]
            RedisVirtualFixedIPs: [{'ip_address':'172.17.1.102'}]

     3. 根据需要，为每个 VIP 和区在 IdM 中添加 DNS 条目：

        ipa dnsrecord-add lab.local overcloud --a-rec 10.0.0.101
        ipa dnszone-add ctlplane.lab.local
        ipa dnsrecord-add ctlplane.lab.local overcloud --a-rec 192.168.24.101
        ipa dnszone-add internalapi.lab.local
        ipa dnsrecord-add internalapi.lab.local overcloud --a-rec 172.17.1.101
        ipa dnszone-add storage.lab.local
        ipa dnsrecord-add storage.lab.local overcloud --a-rec 172.17.3.101
        ipa dnszone-add storagemgmt.lab.local
        ipa dnsrecord-add storagemgmt.lab.local overcloud --a-rec 172.17.4.101

     4. 在部署中包含以下环境文件，以保护内部和外部端点：

        • enable-internal-tls.yaml
        • tls-everywhere-endpoints-dns.yaml
        • haproxy-public-tls-certmonger.yaml
        • custom-domain.yaml

        • public_vip.yaml

          openstack overcloud deploy \
            --templates \
             -e /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-internal-tls.yaml \
             -e /usr/share/openstack-tripleo-heat-templates/environments/ssl/tls-everywhere-endpoints-dns.yaml \
             -e /usr/share/openstack-tripleo-heat-templates/environments/services/haproxy-public-tls-certmonger.yaml \
             -e /home/stack/templates/custom-domain.yaml \
             -e /home/stack/templates/public-vip.yaml

流程

1. 创建一个新文件，如 glance-settings.yaml。使用示例中的语法填充此文件。

2. 在 openstack overcloud deploy 命令中包含 glance-settings.yaml 文件，以及与部署相关的任何其他环境文件：

   $ openstack overcloud deploy --templates -e glance-settings.yaml

1. 检查方案。

   1. 缺少方案： reject
   2. 如果存在允许列表，且方案没有存在于允许列表中： reject。否则，跳过 C 并继续 2。
   3. 如果有一个 blocklist，且方案存在于 blocklist 中： reject。

2. 检查主机名。

   1. 缺少主机名： reject
   2. 如果存在允许列表，且允许列表中没有主机名： reject。否则，跳过 C 并继续 3。
   3. 如果有一个 blocklist，并且 blocklist 中存在主机名： reject。

3. 如果 URI 中有一个端口，则会检查端口。

   1. 如果存在允许列表，并且允许列表中没有该端口： reject。否则，跳过 B 并继续 4。
   2. 如果有一个 blocklist，并且 blocklist 中存在的端口： reject。
4. URI 被接受为有效。

流程

1. 使用以下内容创建名为 swift-external-params.yaml 的新文件：

   • 将 EXTERNAL.IP:PORT 替换为外部代理的 IP 地址和端口，

   • 将 AUTHTOKEN 替换为 SwiftPassword 行上外部代理的 authtoken 密码。

     parameter_defaults:
       ExternalPublicUrl: 'https://EXTERNAL.IP:PORT/v1/AUTH_%(tenant_id)s'
       ExternalInternalUrl: 'http://192.168.24.9:8080/v1/AUTH_%(tenant_id)s'
       ExternalAdminUrl: 'http://192.168.24.9:8080'
       ExternalSwiftUserTenant: 'service'
       SwiftPassword: AUTHTOKEN

2. 将此文件保存为 swift-external-params.yaml。

3. 使用以下外部对象存储服务环境文件以及与部署相关的任何其他环境文件，部署 overcloud：

   openstack overcloud deploy --templates \
   -e [your environment files] \
   -e /usr/share/openstack-tripleo-heat-templates/environments/swift-external.yaml \
   -e swift-external-params.yaml

流程

1. 将以下 parameter_defaults 添加到自定义环境文件，如 swift-external-params.yaml，并调整值以符合您的部署：

   parameter_defaults:
      ExternalSwiftPublicUrl: 'http://<Public RGW endpoint or loadbalancer>:8080/swift/v1/AUTH_%(project_id)s'
      ExternalSwiftInternalUrl: 'http://<Internal RGW endpoint>:8080/swift/v1/AUTH_%(project_id)s'
      ExternalSwiftAdminUrl: 'http://<Admin RGW endpoint>:8080/swift/v1/AUTH_%(project_id)s'
      ExternalSwiftUserTenant: 'service'
      SwiftPassword: 'choose_a_random_password'

   注意

   示例代码片段包含与您在环境中使用的值不同的参数值：

   • 远程 RGW 实例侦听 8080 的默认端口。端口可能根据配置外部 RGW 的不同而有所不同。
   • overcloud 中创建的 swift 用户使用 SwiftPassword 参数定义的密码。您必须将外部 RGW 实例配置为使用同一密码通过 rgw_keystone_admin_password 与 Identity 服务进行身份验证。

2. 将以下代码添加到 Ceph 配置文件，将 RGW 配置为使用 Identity 服务。替换变量值以适合您的环境：

       rgw_keystone_api_version = 3
       rgw_keystone_url = http://<public Keystone endpoint>:5000/
       rgw_keystone_accepted_roles = member, Member, admin
       rgw_keystone_accepted_admin_roles = ResellerAdmin, swiftoperator
       rgw_keystone_admin_domain = default
       rgw_keystone_admin_project = service
       rgw_keystone_admin_user = swift
       rgw_keystone_admin_password = <password_as_defined_in_the_environment_parameters>
       rgw_keystone_implicit_tenants = true
       rgw_keystone_revocation_interval = 0
       rgw_s3_auth_use_keystone = true
       rgw_swift_versioning_enabled = true
       rgw_swift_account_in_url = true

   注意

   director 默认在 Identity 服务中创建以下角色和用户：

   • rgw_keystone_accepted_admin_roles: ResellerAdmin, swiftoperator
   • rgw_keystone_admin_domain: default
   • rgw_keystone_admin_project: service
   • rgw_keystone_admin_user: swift

3. 使用与部署相关的任何其他环境文件，使用额外的环境文件部署 overcloud：

   openstack overcloud deploy --templates \
   -e <your_environment_files>
   -e /usr/share/openstack-tripleo-heat-templates/environments/swift-external.yaml
   -e swift-external-params.yaml

验证

1. 以 stack 用户的身份登录 undercloud。

2. 获取 overcloudrc 文件：

   $ source ~/stackrc

3. 验证 Identity 服务(keystone)中是否存在端点：

   $ openstack endpoint list --service object-store
   
   +---------+-----------+-------+-------+---------+-----------+---------------+
   | ID | Region    | Service Name | Service Type | Enabled | Interface | URL |
   +---------+-----------+-------+-------+---------+-----------+---------------+
   | 233b7ea32aaf40c1ad782c696128aa0e | regionOne | swift | object-store | True    | admin     | http://192.168.24.3:8080/v1/AUTH_%(project_id)s |
   | 4ccde35ac76444d7bb82c5816a97abd8 | regionOne | swift | object-store | True    | public    | https://192.168.24.2:13808/v1/AUTH_%(project_id)s |
   | b4ff283f445348639864f560aa2b2b41 | regionOne | swift | object-store | True    | internal  | http://192.168.24.3:8080/v1/AUTH_%(project_id)s |
   +---------+-----------+-------+-------+---------+-----------+---------------+

4. 创建测试容器：

   $ openstack container create <testcontainer>
   +----------------+---------------+------------------------------------+
   | account | container | x-trans-id |
   +----------------+---------------+------------------------------------+
   | AUTH_2852da3cf2fc490081114c434d1fc157 | testcontainer | tx6f5253e710a2449b8ef7e-005f2d29e8 |
   +----------------+---------------+------------------------------------+

5. 创建配置文件以确认您可以将数据上传到容器：

   $ openstack object create testcontainer undercloud.conf
   +-----------------+---------------+----------------------------------+
   | object          | container     | etag                             |
   +-----------------+---------------+----------------------------------+
   | undercloud.conf | testcontainer | 09fcffe126cac1dbac7b89b8fd7a3e4b |
   +-----------------+---------------+----------------------------------+

6. 删除 test 容器：

   $ openstack container delete -r <testcontainer>

流程

1. 要将 cinder 配置为镜像服务后端，请将以下行添加到环境文件中：

   parameter_defaults:
     GlanceBackend: cinder

2. 如果启用了 cinder 后端，则默认设置以下参数和值：

   cinder_store_auth_address = http://172.17.1.19:5000/v3
   cinder_store_project_name = service
   cinder_store_user_name = glance
   cinder_store_password = ****secret****

3. 要使用自定义用户名或 cinder_store_ 参数的任何自定义值，请将 ExtraConfig 参数添加到 parameter_defaults 中，并包含您的自定义值：

   ExtraConfig:
       glance::config::api_config:
         glance_store/cinder_store_auth_address:
           value: "%{hiera('glance::api::authtoken::auth_url')}/v3"
         glance_store/cinder_store_user_name:
           value: <user-name>
         glance_store/cinder_store_password:
           value: "%{hiera('glance::api::authtoken::password')}"
         glance_store/cinder_store_project_name:
           value: "%{hiera('glance::api::authtoken::project_name')}"

流程

1. 在环境文件中，将 GlanceCacheEnabled 参数的值设置为 true，这会在 glance-api.conf heat 模板中自动将 flavor 值设置为 keystone+cachemanagement ：

   parameter_defaults:
       GlanceCacheEnabled: true

2. 在重新部署 overcloud 时，将环境文件包含在 openstack overcloud deploy 命令中。

3. 可选：在重新部署 overcloud 时，将 glance_cache_pruner 变为替代频率。以下示例显示了 5 分钟的频率：

   parameter_defaults:
     ControllerExtraConfig:
       glance::cache::pruner::minute: '*/5'

   根据您的需要调整频率，以避免文件系统的完整场景。选择替代频率时包括以下元素：

   • 要在环境中缓存的文件大小。
   • 可用文件系统空间量。
   • 环境缓存镜像的频率。

流程

1. 以 stack 用户身份登录 undercloud 节点。
2. 每个 overcloud 节点都有一个 heat-admin 用户帐户。此用户帐户包含 undercloud 公共 SSH 密钥，它提供了 SSH 访问，而无需从 undercloud 到 overcloud 节点的密码。在 undercloud 节点上，以 heat-admin 用户身份通过 SSH 登录 overcloud 节点。
3. 通过 sudo -i 切换到 root 用户。

1. 创建名为 tls-ciphers.yaml 的 heat 模板环境文件：

   touch ~/templates/tls-ciphers.yaml

2. 使用环境文件中的 ExtraConfig hook 将值应用到 tripleo::haproxy::ssl_cipher_suite 和 tripleo::haproxy::ssl_options hieradata：

   parameter_defaults:
     ExtraConfig:
       tripleo::haproxy::ssl_cipher_suite: 'DHE-RSA-AES128-CCM:DHE-RSA-AES256-CCM:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-CCM:ECDHE-ECDSA-AES256-CCM:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305'
   
       tripleo::haproxy::ssl_options: 'no-sslv3 no-tls-tickets'

   注意

   cipher 集合是一个连续行。

3. 在部署 overcloud 时，使用 overcloud deploy 命令包括 tls-ciphers.yaml 环境文件：

   openstack overcloud deploy --templates \
   ...
   -e /home/stack/templates/tls-ciphers.yaml
   ...

流程

1. 将环境文件复制到您的 模板 子目录中：

   $ cp /usr/share/openstack-tripleo-heat-templates/environments/neutron-ml2-fujitsu-cfab.yaml /home/stack/templates/

2. 编辑 resource_registry 以使用绝对路径：

   resource_registry:
     OS::TripleO::Services::NeutronML2FujitsuCfab: /usr/share/openstack-tripleo-heat-templates/puppet/services/neutron-plugin-ml2-fujitsu-cfab.yaml

3. 查看 /home/stack/templates/neutron-ml2-fujitsu-cfab.yaml 中的 parameter_defaults ：

   • NeutronFujitsuCfabAddress - C-Fabric 的 telnet IP 地址（字符串）
   • NeutronFujitsuCfabUserName - 要使用的 C-Fabric 用户名。（字符串）
   • NeutronFujitsuCfabPassword - C-Fabric 用户帐户的密码。（字符串）
   • NeutronFujitsuCfabPhysicalNetworks - <physical_network>:<vfab_id& gt; tuples 列表，用于指定 physical_network 名称及其对应的 vfab ID。(comma_ separated_list)
   • NeutronFujitsuCfabSharePprofile - 确定是否在使用相同的 VLAN ID 的 neutron 端口间共享 C-Fabric pprofile。（布尔值）
   • NeutronFujitsuCfabPprofilePrefix - pprofile 名称的前缀字符串。（字符串）
   • NeutronFujitsuCfabSaveConfig - 确定是否保存配置。（布尔值）

4. 要将模板应用到部署，请在 openstack overcloud deploy 命令中包含环境文件：

   $ openstack overcloud deploy --templates -e /home/stack/templates/neutron-ml2-fujitsu-cfab.yaml [OTHER OPTIONS] ...

流程

1. 将环境文件复制到您的 模板 子目录中：

   $ cp /usr/share/openstack-tripleo-heat-templates/environments/neutron-ml2-fujitsu-fossw.yaml /home/stack/templates/

2. 编辑 resource_registry 以使用绝对路径：

   resource_registry:
     OS::TripleO::Services::NeutronML2FujitsuFossw: /usr/share/openstack-tripleo-heat-templates/puppet/services/neutron-plugin-ml2-fujitsu-fossw.yaml

3. 查看 /home/stack/templates/neutron-ml2-fujitsu-fossw.yaml 中的 parameter_defaults ：

   • NeutronFujitsuFosswIps - 所有 FOS 交换机的 IP 地址。(comma_ separated_list)
   • NeutronFujitsuFosswUserName - 要使用的 FOS 用户名。（字符串）
   • NeutronFujitsuFosswPassword - FOS 用户帐户的密码。（字符串）
   • NeutronFujitsuFosswPort - 用于 SSH 连接的端口号。（数字）
   • NeutronFujitsuFosswTimeout - SSH 连接的超时时间。（数字）
   • NeutronFujitsuFosswUdpDestPort - FOS 交换机上的 VXLAN UDP 目标的端口号。（数字）
   • NeutronFujitsuFosswOvsdbVlanidRangeMin - 用于绑定 VNI 和物理端口的范围中的最小 VLAN ID。（数字）
   • NeutronFujitsuFosswOvsdbPort - FOS 交换机上 OVSDB 服务器的端口号。（数字）

4. 要将模板应用到部署，请在 openstack overcloud deploy 命令中包含环境文件：

   $ openstack overcloud deploy --templates -e /home/stack/templates/neutron-ml2-fujitsu-fossw.yaml [OTHER OPTIONS] ...

在部署过程中 使用 heat 修改内核参数

1. 以 stack 用户身份登录 undercloud 主机。

2. 查找 stackrc 凭证文件：

   $ source stackrc

3. 使用以下内容创建环境文件 overcloud-console.yaml ：

   parameter_defaults:
     <role>Parameters:
       KernelArgs: "console=<console-name>"

   将 & lt;role > 替换为您要配置的 overcloud 角色的名称，并将 < console-name > 替换为您要使用的控制台 ID。例如，使用以下代码片段将默认角色中的所有 overcloud 节点配置为使用 tty0 ：

   parameter_defaults:
     ControllerParameters:
       KernelArgs: "console=tty0"
     ComputeParameters:
       KernelArgs: "console=tty0"
     BlockStorageParameters:
       KernelArgs: "console=tty0"
     ObjectStorageParameters:
       KernelArgs: "console=tty0"
     CephStorageParameters:
       KernelArgs: "console=tty0"

4. 使用 -e 选项，在部署命令中包含 overcloud-console-tty0.yaml 文件。

修改 overcloud-hardened-uefi-full.qcow2 镜像

1. 以 stack 用户身份登录 undercloud 主机。

2. 查找 stackrc 凭证文件：

   $ source stackrc

3. 修改 overcloud-hardened-uefi-full.qcow2 镜像中的内核参数，为您的硬件设置正确的控制台。例如，将控制台设置为 tty1 ：

   $ virt-customize --selinux-relabel -a overcloud-hardened-uefi-full.qcow2 --run-command 'grubby --update-kernel=ALL --args="console=tty1"'

4. 将镜像导入 director：

   $ openstack overcloud image upload --image-path overcloud-hardened-uefi-full.qcow2

5. 部署 overcloud。

验证

1. 从 undercloud 登录 overcloud 节点：

   $ ssh tripleo-admin@<IP-address>

   将 <IP-address > 替换为 overcloud 节点的 IP 地址。

2. 检查 /proc/cmdline 文件的内容，并确保 console= 参数设置为您要使用的控制台值：

   [tripleo-admin@controller-0 ~]$ cat /proc/cmdline
   BOOT_IMAGE=(hd0,msdos2)/boot/vmlinuz-4.18.0-193.29.1.el8_2.x86_64 root=UUID=0ec3dea5-f293-4729-b676-5d38a611ce81 ro console=tty0 console=ttyS0,115200n81 no_timer_check crashkernel=auto rhgb quiet