第 4 章 管理员任务

流程

1. 在 Web 控制台中导航至 Operators OperatorHub 页面。

2. 找到您需要的 Operator（滚动页面会在 Filter by keyword 框中输入查找关键字）。例如，输入 advanced 来查找 Advanced Cluster Management for Kubernetes Operator。

   您还可以根据基础架构功能过滤选项。例如，如果您希望 Operator 在断开连接的环境中工作，请选择 Disconnected。

3. 选择要显示更多信息的 Operator。

   注意

   选择 Community Operator 会警告红帽没有认证社区 Operator ; 您必须确认该警告方可继续。

4. 阅读 Operator 信息并单击 Install。

5. 在 Install Operator 页面中：

   1. 任选以下一项：

      • All namespaces on the cluster (default)，选择该项会将 Operator 安装至默认 openshift-operators 命名空间，以便供集群中的所有命名空间监视和使用。该选项并非始终可用。
      • A specific namespace on the cluster，该项支持您选择单一特定命名空间来安装 Operator。该 Operator 仅限在该单一命名空间中监视和使用。
   2. 选择要在其中安装 Operator 的特定单一命名空间。该 Operator 仅限在该单一命名空间中监视和使用。

   3. 如果集群处于 AWS STS 模式，在 role ARN 字段中输入服务帐户的 AWS IAM 角色的 Amazon Resource Name (ARN)。

      

      要创建角色的 ARN，请按照 准备 AWS 帐户 中所述的步骤进行操作。

   4. 如果有多个更新频道可用，请选择一个 更新频道。

   5. 如前面所述，选择自动或手动批准策略。

      重要

      如果 Web 控制台显示集群为"STS 模式"，您必须将 Update approval 设置为 Manual。

      不建议使用具有自动更新批准的订阅，因为更新前可能会有权限更改。使用手动批准的订阅可确保管理员有机会验证更新版本的权限，并在更新前采取必要的操作。

6. 点击 Install 使 Operator 可供 OpenShift Container Platform 集群上的所选命名空间使用。

   1. 如果选择了手动批准策略，订阅的升级状态将保持在 Upgrading 状态，直至您审核并批准安装计划。

      在 Install Plan 页面批准后，订阅的升级状态将变为 Up to date。

   2. 如果选择了 Automatic 批准策略，升级状态会在不用人工参与的情况下变为 Up to date。

7. 在订阅的升级状态成为 Up to date 后，选择 Operators Installed Operators 来验证已安装 Operator 的 ClusterServiceVersion（CSV）是否最终出现了。状态最终会在相关命名空间中变为 InstallSucceeded。

   注意

   对于 All namespaces…​ 安装模式，状态在 openshift-operators 命名空间中解析为 InstallSucceeded，但如果检查其他命名空间，则状态为 Copied。

   如果没有：

   1. 检查 openshift-operators 项目（如果选择了 A specific namespace…​ 安装模式）中的 openshift-operators 项目中的 pod 的日志，这会在 Workloads Pods 页面中报告问题以便进一步排除故障。

流程

1. 查看 OperatorHub 中集群可用的 Operator 列表：

   $ oc get packagemanifests -n openshift-marketplace

   输出示例

   NAME                               CATALOG               AGE
   3scale-operator                    Red Hat Operators     91m
   advanced-cluster-management        Red Hat Operators     91m
   amq7-cert-manager                  Red Hat Operators     91m
   ...
   couchbase-enterprise-certified     Certified Operators   91m
   crunchy-postgres-operator          Certified Operators   91m
   mongodb-enterprise                 Certified Operators   91m
   ...
   etcd                               Community Operators   91m
   jaeger                             Community Operators   91m
   kubefed                            Community Operators   91m
   ...

   记录下所需 Operator 的目录。

2. 检查所需 Operator，以验证其支持的安装模式和可用频道：

   $ oc describe packagemanifests <operator_name> -n openshift-marketplace

3. 一个 Operator 组（由 OperatorGroup 对象定义），在其中选择目标命名空间，在其中为与 Operator 组相同的命名空间中的所有 Operator 生成所需的 RBAC 访问权限。

   订阅 Operator 的命名空间必须具有与 Operator 的安装模式相匹配的 Operator 组，可采用 AllNamespaces 模式，也可采用 SingleNamespace 模式。如果要安装的 Operator 使用 AllNamespaces 模式，openshift-operators 命名空间已有适当的 global-operators Operator 组。

   如果要安装的 Operator 采用 SingleNamespace 模式，而您没有适当的 Operator 组，则必须创建一个。

   注意
   • 在选择 SingleNamespace 模式时，该流程的 Web 控制台版本会在后台自动为您处理 OperatorGroup 和 Subscription 对象的创建。
   • 每个命名空间只能有一个 Operator 组。如需更多信息，请参阅 "Operator 组"。

   1. 创建 OperatorGroup 对象 YAML 文件，如 operatorgroup.yaml：

      OperatorGroup 对象示例

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: <operatorgroup_name>
        namespace: <namespace>
      spec:
        targetNamespaces:
        - <namespace>

      警告

      Operator Lifecycle Manager (OLM) 为每个 Operator 组创建以下集群角色：

      • <operatorgroup_name>-admin
      • <operatorgroup_name>-edit
      • <operatorgroup_name>-view

      当手动创建 Operator 组时，您必须指定一个没有与现有集群角色或其他 Operator 组冲突的唯一名称。

   2. 创建 OperatorGroup 对象：

      $ oc apply -f operatorgroup.yaml

4. 创建一个 Subscription 对象 YAML 文件，以便为 Operator 订阅一个命名空间，如 sub.yaml：

   Subscription 对象示例

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: <subscription_name>
     namespace: openshift-operators 1
   spec:
     channel: <channel_name> 2
     name: <operator_name> 3
     source: redhat-operators 4
     sourceNamespace: openshift-marketplace 5
     config:
       env: 6
       - name: ARGS
         value: "-v=10"
       envFrom: 7
       - secretRef:
           name: license-secret
       volumes: 8
       - name: <volume_name>
         configMap:
           name: <configmap_name>
       volumeMounts: 9
       - mountPath: <directory_name>
         name: <volume_name>
       tolerations: 10
       - operator: "Exists"
       resources: 11
         requests:
           memory: "64Mi"
           cpu: "250m"
         limits:
           memory: "128Mi"
           cpu: "500m"
       nodeSelector: 12
         foo: bar

   1

   对于默认的 AllNamespaces 安装模式用法，请指定 openshift-operators 命名空间。另外，如果创建了自定义全局命名空间，您可以指定一个自定义全局命名空间。否则，为 SingleNamespace 安装模式使用指定相关单一命名空间。

   2

   要订阅的频道的名称。

   3

   要订阅的 Operator 的名称。

   4

   提供 Operator 的目录源的名称。

   5

   目录源的命名空间。将 openshift-marketplace 用于默认的 OperatorHub 目录源。

   6

   env 参数定义必须存在于由 OLM 创建的 pod 中所有容器中的环境变量列表。

   7

   envFrom 参数定义要在容器中填充环境变量的源列表。

   8

   volumes 参数定义 OLM 创建的 pod 上必须存在的卷列表。

   9

   volumeMounts 参数定义由 OLM 创建的 pod 中必须存在的卷挂载列表。如果 volumeMount 引用不存在的 卷，OLM 无法部署 Operator。

   10

   tolerations 参数为 OLM 创建的 pod 定义 Tolerations 列表。

   11

   resources 参数为 OLM 创建的 pod 中所有容器定义资源限制。

   12

   nodeSelector 参数为 OLM 创建的 pod 定义 NodeSelector。

5. 如果集群为 STS 模式，在 Subscription 对象中包含以下字段：

   kind: Subscription
   # ...
   spec:
     installPlanApproval: Manual 1
     config:
       env:
       - name: ROLEARN
         value: "<role_arn>" 2

   1

   不建议使用具有自动更新批准的订阅，因为更新前可能会有权限更改。使用手动批准的订阅可确保管理员有机会验证更新版本的权限，并在更新前采取必要的操作。

   2

   包含角色 ARN 详情。

6. 创建 Subscription 对象：

   $ oc apply -f sub.yaml

   此时，OLM 已了解所选的 Operator。Operator 的集群服务版本（CSV）应出现在目标命名空间中，由 Operator 提供的 API 应可用于创建。

流程

1. 运行以下命令，查找您要安装的 Operator 的可用版本和频道：

   命令语法

   $ oc describe packagemanifests <operator_name> -n <catalog_namespace>

   例如，以下命令从 OperatorHub 打印 Red Hat Quay Operator 可用频道和版本：

   示例命令

   $ oc describe packagemanifests quay-operator -n openshift-marketplace

   例 4.1. 输出示例

   Name:         quay-operator
   Namespace:    operator-marketplace
   Labels:       catalog=redhat-operators
                 catalog-namespace=openshift-marketplace
                 hypershift.openshift.io/managed=true
                 operatorframework.io/arch.amd64=supported
                 operatorframework.io/os.linux=supported
                 provider=Red Hat
                 provider-url=
   Annotations:  <none>
   API Version:  packages.operators.coreos.com/v1
   Kind:         PackageManifest
   ...
       Current CSV:  quay-operator.v3.7.11
   ...
       Entries:
         Name:       quay-operator.v3.7.11
         Version:    3.7.11
         Name:       quay-operator.v3.7.10
         Version:    3.7.10
         Name:       quay-operator.v3.7.9
         Version:    3.7.9
         Name:       quay-operator.v3.7.8
         Version:    3.7.8
         Name:       quay-operator.v3.7.7
         Version:    3.7.7
         Name:       quay-operator.v3.7.6
         Version:    3.7.6
         Name:       quay-operator.v3.7.5
         Version:    3.7.5
         Name:       quay-operator.v3.7.4
         Version:    3.7.4
         Name:       quay-operator.v3.7.3
         Version:    3.7.3
         Name:       quay-operator.v3.7.2
         Version:    3.7.2
         Name:       quay-operator.v3.7.1
         Version:    3.7.1
         Name:       quay-operator.v3.7.0
         Version:    3.7.0
       Name:         stable-3.7
   ...
      Current CSV:  quay-operator.v3.8.5
   ...
      Entries:
         Name:         quay-operator.v3.8.5
         Version:      3.8.5
         Name:         quay-operator.v3.8.4
         Version:      3.8.4
         Name:         quay-operator.v3.8.3
         Version:      3.8.3
         Name:         quay-operator.v3.8.2
         Version:      3.8.2
         Name:         quay-operator.v3.8.1
         Version:      3.8.1
         Name:         quay-operator.v3.8.0
         Version:      3.8.0
       Name:           stable-3.8
     Default Channel:  stable-3.8
     Package Name:     quay-operator

   提示

   您可以运行以下命令来以 YAML 格式输出 Operator 的版本和频道信息：

   $ oc get packagemanifests <operator_name> -n <catalog_namespace> -o yaml

   • 如果在命名空间中安装多个目录，请运行以下命令从特定目录中查找 Operator 的可用版本和频道：

     $ oc get packagemanifest \
        --selector=catalog=<catalogsource_name> \
        --field-selector metadata.name=<operator_name> \
        -n <catalog_namespace> -o yaml

     重要

     如果没有指定 Operator 的目录，运行 oc get packagemanifest 和 oc describe packagemanifest 命令可能会在满足以下条件时从一个意料外的目录中返回一个软件包：

     • 在同一命名空间中安装多个目录。
     • 目录包含具有相同名称的相同 Operator 或 Operator。

2. 由 OperatorGroup 对象定义的 Operator 组选择目标命名空间，在其中为与 Operator 组相同的命名空间中的所有 Operator 生成所需的基于角色的访问控制 (RBAC) 访问权限。

   订阅 Operator 的命名空间必须具有与 Operator 的安装模式相匹配的 Operator 组，可采用 AllNamespaces 模式，也可采用 SingleNamespace 模式。如果您要使用 AllNamespaces 模式安装的 Operator，则 openshift-operators 命名空间已有适当的 Operator 组。

   如果要安装的 Operator 采用 SingleNamespace 模式，而您没有适当的 Operator 组，则必须创建一个：

   1. 创建 OperatorGroup 对象 YAML 文件，如 operatorgroup.yaml：

      OperatorGroup 对象示例

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: <operatorgroup_name>
        namespace: <namespace>
      spec:
        targetNamespaces:
        - <namespace>

      警告

      Operator Lifecycle Manager (OLM) 为每个 Operator 组创建以下集群角色：

      • <operatorgroup_name>-admin
      • <operatorgroup_name>-edit
      • <operatorgroup_name>-view

      当手动创建 Operator 组时，您必须指定一个没有与现有集群角色或其他 Operator 组冲突的唯一名称。

   2. 创建 OperatorGroup 对象：

      $ oc apply -f operatorgroup.yaml

3. 通过设置 startingCSV 字段，创建一个 Subscription 对象 YAML 文件，向带有特定版本的 Operator 订阅一个命名空间。将 installPlanApproval 字段设置为 Manual，以便在目录中存在更新的版本时防止 Operator 自动升级。

   例如，可以使用以下 sub.yaml 文件安装 Red Hat Quay Operator，专门用于版本 3.7.10：

   带有特定起始 Operator 版本的订阅

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: quay-operator
     namespace: quay
   spec:
     channel: stable-3.7
     installPlanApproval: Manual 1
     name: quay-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: quay-operator.v3.7.10 2

   1

   如果您指定的版本会被目录中的更新版本取代，则将批准策略设置为 Manual。此计划阻止自动升级到更新的版本，且需要在启动 CSV 可以完成安装前手动批准。

   2

   设置 Operator CSV 的特定版本。

4. 创建 Subscription 对象：

   $ oc apply -f sub.yaml

5. 手动批准待处理的安装计划以完成 Operator 安装。

流程

1. 在 Web 控制台中，点 Operators OperatorHub。
2. 选择您要安装的 Operator。

3. 在所选的 Operator 中，您可以从列表中选择一个 Channel 和 Version。

   注意

   版本选择默认为所选频道的最新版本。如果选择了该频道的最新版本，则默认启用自动批准策略。如果没有为所选频道安装最新版本，则需要手动批准。

   手动批准适用于命名空间中安装的所有 Operator。

   使用手动批准安装 Operator 会导致命名空间中安装的所有 Operator 并使用 Manual 批准策略和所有 Operator 一起更新。将 Operator 安装到单独的命名空间中，以独立更新。

4. 点 Install

流程

1. 在安装 Operator 前，为租户 Operator 创建一个命名空间，该 Operator 与租户的命名空间分开。例如，如果租户的命名空间是 team1，您可以创建一个 team1-operator 命名空间：

   1. 定义 Namespace 资源并保存 YAML 文件，如 team1-operator.yaml ：

      apiVersion: v1
      kind: Namespace
      metadata:
        name: team1-operator

   2. 运行以下命令创建命名空间：

      $ oc create -f team1-operator.yaml

2. 为租户 Operator 创建 Operator 组，范围到租户的命名空间，只有 spec.targetNamespaces 列表中有一个命名空间条目：

   1. 定义 OperatorGroup 资源并保存 YAML 文件，如 team1-operatorgroup.yaml ：

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: team1-operatorgroup
        namespace: team1-operator
      spec:
        targetNamespaces:
        - team1 1

      1

      仅在 spec.targetNamespaces 列表中定义租户的命名空间。

   2. 运行以下命令来创建 Operator 组：

      $ oc create -f team1-operatorgroup.yaml

流程

1. 在安装 Operator 前，为所需 Operator 安装创建一个命名空间。此安装命名空间将成为自定义全局命名空间：

   1. 定义 Namespace 资源并保存 YAML 文件，如 global-operators.yaml ：

      apiVersion: v1
      kind: Namespace
      metadata:
        name: global-operators

   2. 运行以下命令创建命名空间：

      $ oc create -f global-operators.yaml

2. 创建自定义 全局 Operator 组，这是监视所有命名空间的 Operator 组：

   1. 定义 OperatorGroup 资源并保存 YAML 文件，如 global-operatorgroup.yaml。省略 spec.selector 和 spec.targetNamespaces 字段，使其成为一个全局 Operator 组，该组选择所有命名空间：

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: global-operatorgroup
        namespace: global-operators

      注意

      创建的全局 OperatorGroup 的 status.namespace 包含空字符串 ("")，而该字符串会向正在使用的 Operator 发出信号，要求其监视所有命名空间。

   2. 运行以下命令来创建 Operator 组：

      $ oc create -f global-operatorgroup.yaml

1. 根据您的要求，确定 pod 的目标节点或一组节点。如果可用，请注意现有标签，如 node-role.kubernetes.io/app，用于标识节点。否则，使用计算机器集或直接编辑节点来添加标签，如 myoperator。您将在以后的步骤中使用此标签作为项目上的节点选择器。
2. 如果要确保只有具有特定标签的 pod 才能在节点上运行，同时将不相关的工作负载加载到其他节点，通过使用一个计算机器集或直接编辑节点为节点添加污点。使用一个效果来确保与污点不匹配的新 pod 不能调度到节点上。例如，myoperator:NoSchedule 污点确保与污点不匹配的新 pod 不能调度到该节点上，但节点上现有的 pod 可以保留。
3. 创建使用默认节点选择器配置的项目，如果您添加了污点，则创建一个匹配的容限。

1. 照常安装 Operator。
2. 如果需要，请确保您的节点已标记为正确响应关联性。

3. 编辑 Operator Subscription 对象以添加关联性：

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: openshift-custom-metrics-autoscaler-operator
     namespace: openshift-keda
   spec:
     name: my-package
     source: my-operators
     sourceNamespace: operator-registries
     config:
       affinity: 1
         nodeAffinity:
           requiredDuringSchedulingIgnoredDuringExecution:
             nodeSelectorTerms:
             - matchExpressions:
               - key: kubernetes.io/hostname
                 operator: In
                 values:
                 - ip-10-0-185-229.ec2.internal
   #...

   1

   添加 nodeAffinity、podAffinity 或 podAntiAffinity。有关创建关联性的详情，请参考下面的附加资源部分。