7.8. 在 kube-system 项目中存储管理员级别的 secret 的替代方案

流程

1. 运行以下命令，为 OpenShift Container Platform 发行镜像设置变量：

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

2. 运行以下命令，从 OpenShift Container Platform 发行镜像获取 CCO 容器镜像：

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)

   注意

   确保 $RELEASE_IMAGE 的架构与将使用 ccoctl 工具的环境架构相匹配。

3. 运行以下命令，将 CCO 容器镜像中的 ccoctl 二进制文件提取到 OpenShift Container Platform 发行镜像中：

   $ oc image extract $CCO_IMAGE --file="/usr/bin/ccoctl" -a ~/.pull-secret

4. 运行以下命令更改权限以使 ccoctl 可执行：

   $ chmod 775 ccoctl

流程

1. 运行以下命令，使用安装文件中的发行镜像设置 $RELEASE_IMAGE 变量：

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

2. 运行以下命令，从 OpenShift Container Platform 发行镜像中提取 CredentialsRequest 对象列表：

   $ oc adm release extract \
     --from=$RELEASE_IMAGE \
     --credentials-requests \
     --included \1
     --install-config=<path_to_directory_with_installation_configuration>/install-config.yaml \2
     --to=<path_to_directory_for_credentials_requests> 3

   1

   --included 参数仅包含特定集群配置所需的清单。

   2

   指定 install-config.yaml 文件的位置。

   3

   指定要存储 CredentialsRequest 对象的目录的路径。如果指定的目录不存在，这个命令会创建它。

   注意

   此命令可能需要一些时间才能运行。

3. 运行以下命令，使用 ccoctl 工具处理所有 CredentialsRequest 对象：

   $ ccoctl gcp create-all \
     --name=<name> \1
     --region=<gcp_region> \2
     --project=<gcp_project_id> \3
     --credentials-requests-dir=<path_to_credentials_requests_directory> 4

   1

   为用于跟踪的所有创建 GCP 资源指定用户定义的名称。

   2

   指定在其中创建云资源的 GCP 区域。

   3

   指定在其中创建云资源的 GCP 项目 ID。

   4

   指定包含 CredentialsRequest 清单文件的目录，以创建 GCP 服务帐户。

   注意

   如果您的集群使用 TechPreviewNoUpgrade 功能集启用的技术预览功能，则必须包含 --enable-tech-preview 参数。

流程

1. 如果您没有将 install-config.yaml 配置文件中的 credentialsMode 参数设置为 Manual，请修改值，如下所示：

   配置文件片段示例

   apiVersion: v1
   baseDomain: example.com
   credentialsMode: Manual
   # ...

2. 如果您之前还没有创建安装清单文件，请运行以下命令：

   $ openshift-install create manifests --dir <installation_directory>

   其中 <installation_directory> 是安装程序在其中创建文件的目录。

3. 运行以下命令，将 ccoctl 工具生成的清单复制到安装程序创建的 manifests 目录中：

   $ cp /<path_to_ccoctl_output_dir>/manifests/* ./manifests/

4. 将包含私钥的 tls 目录复制到安装目录中：

   $ cp -a /<path_to_ccoctl_output_dir>/tls .