9.2. 配置 IBM Cloud 帐户

在安装 OpenShift Container Platform 之前，您必须配置 IBM Cloud 帐户。

重要

使用安装程序置备的基础架构的 IBM Cloud VPC 只是一个技术预览功能。技术预览功能不受红帽产品服务等级协议（SLA）支持，且功能可能并不完整。红帽不推荐在生产环境中使用它们。这些技术预览功能可以使用户提早试用新的功能，并有机会在开发阶段提供反馈意见。

有关红帽技术预览功能支持范围的更多信息，请参阅技术预览功能支持范围。

9.2.1. 先决条件

您有一个带有订阅的 IBM Cloud 帐户。您不能在免费或试用 IBM Cloud 帐户上安装 OpenShift Container Platform。

9.2.2. IBM Cloud VPC 的配额和限制

OpenShift Container Platform 集群使用多个 IBM Cloud VPC 组件，默认配额和限值会影响您安装 OpenShift Container Platform 集群的能力。如果您使用特定的集群配置，在某些区域部署集群，或者从您的帐户运行多个集群，您可能需要为 IBM Cloud 帐户请求其他资源。

有关默认 IBM Cloud VPC 配额和服务限制的完整列表，请参阅 IBM Cloud 的配额和服务限制文档。

虚拟私有云(VPC)

每个 OpenShift Container Platform 集群都会创建自己的 VPC。每个区域的默认 VPC 配额是 10，并将允许 10 个集群。在单个区域中有 10 个集群，您必须增加此配额。

应用程序负载均衡器

默认情况下，每个集群创建三个应用程序负载均衡器(ALBs)：

master API 服务器的内部负载均衡器
主 API 服务器的外部负载均衡器
路由器的负载均衡器

您可以创建额外的 LoadBalancer 服务对象创建额外的 ALBs。VPC 的默认配额是每个区域 50 个。要获得超过 50 个 ALB，您必须提高此配额。

支持 VPC ALB。IBM Cloud VPC 不支持经典的 ALB。

浮动 IP 地址

默认情况下，安装程序会在区域中的所有可用区间分发 control plane 和计算机器，以便在高可用性配置中置备集群。在每个可用区中，创建一个公共网关，并需要一个单独的浮动 IP 地址。

浮动 IP 地址的默认配额是每个可用区 20 个地址。默认集群配置生成三个浮动 IP 地址：

us-east-1 主区域中的两个浮动 IP 地址。安装后会删除与 bootstrap 节点关联的 IP 地址。
us-east-2 secondary 区域中的一个浮动 IP 地址。
us-east-3 secondary 区域中的一个浮动 IP 地址。

IBM Cloud VPC 可根据帐户中的每个区域支持最多 19 个集群。如果计划有超过 19 个默认集群，您必须提高此配额。

虚拟服务器实例(VSI)

默认情况下，集群使用 bx2-4x16 配置集创建 VSIs，默认包括以下资源：

4 个 vCPU
16 GB RAM

创建以下节点：

一个 bx2-4x16 bootstrap 机器，它会在安装完成后删除
三个 bx2-4x16 control plane 节点
三个 bx2-4x16 计算节点

如需更多信息，请参阅 IBM Cloud 文档中有关支持的配置集文档。

表 9.1. VSI 组件配额和限值
VSI 组件	默认 IBM Cloud VPC 配额	默认集群配置	集群的最大数量
vCPU	每个区域 200 个 vCPU	28 个 vCPU，或 bootstrap 被删除后 24 个 vCPU	每个区域 8 个
RAM	每个区域 1600 GB	在移除后 112 GB 或 96 GB	每个区域 16 个
Storage	每个区域 18 TB	移除后 1050 GB 或 900 GB	每个区域 19 个

如果您计划超过表中声明的资源，您必须提高 IBM Cloud 帐户配额。

块存储卷

对于每个 VPC 机器，会为其引导卷附加一个块存储设备。默认集群配置创建七 VPC 机器，生成 7 个块存储卷。IBM Cloud VPC 存储类的额外 Kubernetes 持久性卷声明(PVC)会创建额外的块存储卷。VPC 块存储卷的默认配额是每个区域 300。要获得超过 300 个卷，您必须提高此配额。

9.2.3. 使用 Cloud Internet Services 配置 DNS 解析

安装程序使用 IBM Cloud Internet Services(CIS)来配置集群 DNS 解析，并为外部资源提供名称查找。IBM Cloud VPC 仅支持公共 DNS。

注意

IBM Cloud VPC 不支持 IPv6，因此无法支持双堆栈或 IPv6 环境。

您必须在与集群相同的帐户的 CIS 中创建域区。您还必须确保该区域对域具有权威。您可以使用根域或子域进行此操作。

先决条件

已安装 IBM Cloud CLI。

流程

如果您还没有现有域和注册商，则必须获取它们。如需更多信息，请参阅 IBM 的文档。
创建用于集群的 CIS 实例。
1. 安装 CIS 插件：
```
$ ibmcloud plugin install cis
```
2. 创建 CIS 实例：
```
$ ibmcloud cis instance-create <instance_name> standard 1
```
  1
  CIS 至少需要一个 标准 计划来管理集群子域及其 DNS 记录。
将现有域连接到您的 CIS 实例。
1. 为 CIS 设置上下文实例：
```
$ ibmcloud cis instance-set <instance_name> 1
```
  1
  实例云资源名称。
2. 为 CIS 添加域：
```
$ ibmcloud cis domain-add <domain_name> 1
```
  1
  完全限定域名。您可以根据计划配置，使用根域或子域值作为域名。
  注意
  根域使用格式 openshiftcorp.com。子域使用格式为 cluster.openshiftcorp.com。
打开 CIS Web 控制台，进入 Overview 页面，并记录您的 CIS 名称服务器。这些名称服务器将在下一步中使用。
在域的注册商或 DNS 供应商中为您的域或子域配置名称服务器。如需更多信息，请参阅 IBM 云的文档。

9.2.4. IBM Cloud VPC IAM 策略和 API 密钥

要将 OpenShift Container Platform 安装到 IBM Cloud 帐户中，安装程序需要一个 IAM API 密钥，它提供访问 IBM Cloud 服务 API 的身份验证和授权。您可以使用包含所需策略的现有 IAM API 密钥或创建新策略。

有关 IBM Cloud IAM 概述，请参阅 IBM Cloud 文档。

9.2.4.1. 所需的访问策略

您必须为 IBM Cloud 帐户分配所需的访问策略。

表 9.2. 所需的访问策略
服务类型	service	访问策略范围	平台访问	服务访问
帐户管理	IAM Identity Service	所有资源或资源子集 ^[1]	Editor, Operator, Viewer, Administrator	服务 ID 创建者
帐户管理 ^[2]	身份和访问权限管理	所有资源	Editor, Operator, Viewer, Administrator
帐户管理	仅限资源组	帐户中的所有资源组	Administrator
IAM 服务	云对象存储	所有资源或资源子集 ^[1]	Editor, Operator, Viewer, Administrator	Reader, Writer, Manager, Content Reader, Object Reader, Object Writer
IAM 服务	Internet 服务	所有资源或资源子集 ^[1]	Editor, Operator, Viewer, Administrator	Reader、Writer、Manager
IAM 服务	VPC 基础架构服务	所有资源或资源子集 ^[1]	Editor, Operator, Viewer, Administrator	Reader、Writer、Manager

应根据您要分配访问权限的粒度来设置策略访问范围。范围可以设置为 All resources 或 基于所选属性的资源。
可选：只有安装程序创建资源组时才需要此访问策略。有关资源组的更多信息，请参阅 IBM 云的文档。

9.2.4.2. 访问策略分配

在 IBM Cloud VPC IAM 中，可以将访问策略附加到不同的主题：

访问组（推荐）
服务 ID
用户

建议的方法是在访问组中定义 IAM 访问策略。这有助于组织 OpenShift Container Platform 所需的所有访问权限，并可让您向这个组注册用户和服务 ID。如果需要，您还可以为用户和服务 ID 分配访问权限。

9.2.4.3. 创建 API 密钥

您必须为 IBM Cloud 帐户创建用户 API 密钥或服务 ID API 密钥。