4.14. 使用 AWS Local Zones 上的计算节点在 AWS 上安装集群

流程

1. 运行以下命令，列出 AWS 区域中可用的区域：

   在 AWS 区域中列出可用 AWS 区域的命令示例

   $ aws --region "<value_of_AWS_Region>" ec2 describe-availability-zones \
       --query 'AvailabilityZones[].[{ZoneName: ZoneName, GroupName: GroupName, Status: OptInStatus}]' \
       --filters Name=zone-type,Values=local-zone \
       --all-availability-zones

   根据 AWS 区域，可用区列表可能比较长。该命令返回以下字段：

   ZoneName

   本地区域的名称。

   GroupName

   组成区域的组。要选择 Region，保存名称。

   Status

   Local Zones 组的状态。如果状态是 not-opted-in，则需要选择 GroupName，如下一步所述。

2. 运行以下命令，选择 AWS 帐户上的 zone 组：

   $ aws ec2 modify-availability-zone-group \
       --group-name "<value_of_GroupName>" \1
       --opt-in-status opted-in

   1

   将 <value_of_GroupName> 替换为您要创建子网的 Local Zones 的组名称。例如，指定 us-east-1-nyc-1 以使用区域 us-east-1-nyc-1a (US East New York)。

流程

1. 从 AWS Marketplace 完成 OpenShift Container Platform 订阅。

2. 记录特定 AWS 区域的 AMI ID。作为安装过程的一部分，您必须在部署集群前使用这个值更新 install-config.yaml 文件。

   使用 AWS Marketplace 计算节点的 install-config.yaml 文件示例

   apiVersion: v1
   baseDomain: example.com
   compute:
   - hyperthreading: Enabled
     name: worker
     platform:
       aws:
         amiID: ami-06c4d345f7c207239 1
         type: m5.4xlarge
     replicas: 3
   metadata:
     name: test-cluster
   platform:
     aws:
       region: us-east-2 2
   sshKey: ssh-ed25519 AAAA...
   pullSecret: '{"auths": ...}'

   1

   来自 AWS Marketplace 订阅的 AMI ID。

   2

   您的 AMI ID 与特定的 AWS 区域相关联。在创建安装配置文件时，请确保选择配置订阅时指定的相同 AWS 区域。

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 从 产品变体 下拉列表中选择架构。
3. 从 版本 下拉列表中选择适当的版本。
4. 点 OpenShift v4.15 Linux Client 条目旁的 Download Now 来保存文件。

5. 解包存档：

   $ tar xvf <file>

6. 将 oc 二进制文件放到 PATH 中的目录中。

   要查看您的 PATH，请执行以下命令：

   $ echo $PATH

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 从 版本 下拉列表中选择适当的版本。
3. 点 OpenShift v4.15 Windows Client 条目旁的 Download Now 来保存文件。
4. 使用 ZIP 程序解压存档。

5. 将 oc 二进制文件移到 PATH 中的目录中。

   要查看您的 PATH，请打开命令提示并执行以下命令：

   C:\> path

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 从 版本 下拉列表中选择适当的版本。

3. 点 OpenShift v4.15 macOS Client 条目旁的 Download Now 来保存文件。

   注意

   对于 macOS arm64，请选择 OpenShift v4.15 macOS arm64 Client 条目。

4. 解包和解压存档。

5. 将 oc 二进制文件移到 PATH 的目录中。

   要查看您的 PATH，请打开终端并执行以下命令：

   $ echo $PATH

流程

1. 访问 OpenShift Cluster Manager 站点的 Infrastructure Provider 页面。如果您有红帽帐户，请使用您的凭证登录。如果没有，请创建一个帐户。
2. 选择您的基础架构供应商。

3. 进入到安装类型的页面，下载与您的主机操作系统和架构对应的安装程序，并将该文件放在您要存储安装配置文件的目录中。

   重要

   安装程序会在用来安装集群的计算机上创建几个文件。在完成集群安装后，您必须保留安装程序和安装程序所创建的文件。这两个文件都需要删除集群。

   重要

   删除安装程序创建的文件不会删除您的集群，即使集群在安装过程中失败也是如此。要删除集群，请为特定云供应商完成 OpenShift Container Platform 卸载流程。

4. 提取安装程序。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ tar -xvf openshift-install-linux.tar.gz

5. 从 Red Hat OpenShift Cluster Manager 下载安装 pull secret。此 pull secret 允许您与所含授权机构提供的服务进行身份验证，这些服务包括为 OpenShift Container Platform 组件提供容器镜像的 Quay.io。

流程

1. 如果您在本地计算机上没有可用于在集群节点上进行身份验证的现有 SSH 密钥对，请创建一个。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ ssh-keygen -t ed25519 -N '' -f <path>/<file_name> 1

   1

   指定新 SSH 密钥的路径和文件名，如 ~/.ssh/id_ed25519。如果您已有密钥对，请确保您的公钥位于 ~/.ssh 目录中。

   注意

   如果您计划在 x86_64、ppc64le 和 s390x 架构上安装使用 RHEL 加密库（这些加密库已提交给 NIST 用于 FIPS 140-2/140-3 验证）的 OpenShift Container Platform 集群，则不要创建使用 ed25519 算法的密钥。相反，创建一个使用 rsa 或 ecdsa 算法的密钥。

2. 查看公共 SSH 密钥：

   $ cat <path>/<file_name>.pub

   例如，运行以下命令来查看 ~/.ssh/id_ed25519.pub 公钥：

   $ cat ~/.ssh/id_ed25519.pub

3. 将 SSH 私钥身份添加到本地用户的 SSH 代理（如果尚未添加）。在集群节点上，或者要使用 ./openshift-install gather 命令，需要对该密钥进行 SSH 代理管理，才能在集群节点上进行免密码 SSH 身份验证。

   注意

   在某些发行版中，自动管理默认 SSH 私钥身份，如 ~/.ssh/id_rsa 和 ~/.ssh/id_dsa。

   1. 如果 ssh-agent 进程尚未为您的本地用户运行，请将其作为后台任务启动：

      $ eval "$(ssh-agent -s)"

      输出示例

      Agent pid 31874

      注意

      如果集群处于 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必须是 RSA 或 ECDSA。

4. 将 SSH 私钥添加到 ssh-agent ：

   $ ssh-add <path>/<file_name> 1

   1

   指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_ed25519.pub

   输出示例

   Identity added: /home/<you>/<path>/<file_name> (<computer_name>)

1. 当未启用并发多线程 (SMT) 或超线程时，一个 vCPU 相当于一个物理内核。启用后，使用以下公式来计算对应的比例：（每个内核数的线程）× sockets = vCPU。
2. OpenShift Container Platform 和 Kubernetes 对磁盘性能非常敏感，建议使用更快的存储速度，特别是 control plane 节点上需要 10 ms p99 fsync 持续时间的 etcd。请注意，在许多云平台上，存储大小和 IOPS 可一起扩展，因此您可能需要过度分配存储卷来获取足够的性能。
3. 与所有用户置备的安装一样，如果您选择在集群中使用 RHEL 计算机器，则负责所有操作系统生命周期管理和维护，包括执行系统更新、应用补丁和完成所有其他必要的任务。RHEL 7 计算机器的使用已弃用，并已在 OpenShift Container Platform 4.10 及更新的版本中删除。

流程

1. 创建 install-config.yaml 文件。

   1. 进入包含安装程序的目录并运行以下命令：

      $ ./openshift-install create install-config --dir <installation_directory> 1

      1

      对于 <installation_directory>，请指定要存储安装程序创建的文件的目录名称。

      重要

      指定一个空目录。有些安装资产，如 bootstrap X.509 证书的过期间隔较短，因此不得重复使用安装目录。如果要重复使用另一个集群安装中的单个文件，您可以将它们复制到您的目录中。但是，安装资产的文件名可能会在发行版本间有所变化。从以前的 OpenShift Container Platform 版本中复制安装文件时请小心。

   2. 在提示符处，提供云的配置详情：

      1. 可选： 选择用于访问集群机器的 SSH 密钥。

         注意

         对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

      2. 选择 aws 作为目标平台。

      3. 如果计算机上没有保存 AWS 配置集，请为您配置用于运行安装程序的用户输入 AWS 访问密钥 ID 和 secret 访问密钥。

         注意

         AWS 访问密钥 ID 和 secret 访问密钥存储在安装主机上当前用户主目录中的 ~/.aws/credentials 中。如果文件中不存在导出的配置集凭证，安装程序会提示您输入凭证。您向安装程序提供的所有凭证都存储在文件中。

      4. 选择要将集群部署到的 AWS Region。
      5. 选择您为集群配置的 Route 53 服务的基域。
      6. 为集群输入描述性名称。
      7. 粘贴 Red Hat OpenShift Cluster Manager 中的 pull secret。

2. 可选：备份 install-config.yaml 文件。

   重要

   install-config.yaml 文件会在安装过程中消耗掉。如果要重复使用此文件，必须现在备份。

流程

1. 通过在边缘计算池的 platform.aws.zones 属性中指定 Local Zones 名称来修改 install-config.yaml 文件。

   # ...
   platform:
     aws:
       region: <region_name> 1
   compute:
   - name: edge
     platform:
       aws:
         zones: 2
         - <local_zone_name>
   #...

   1

   AWS 区域名称。

   2

   您使用的 Local Zones 名称列表必须存在于 platform.aws.region 字段中指定的同一 AWS 区域。

   在 us-west-2 AWS 区域上安装集群的配置示例，将边缘节点扩展到 Los Angeles 和 Las Vegas 位置中的 Local Zones

   apiVersion: v1
   baseDomain: example.com
   metadata:
     name: cluster-name
   platform:
     aws:
       region: us-west-2
   compute:
   - name: edge
     platform:
       aws:
         zones:
         - us-west-2-lax-1a
         - us-west-2-lax-1b
         - us-west-2-las-1a
   pullSecret: '{"auths": ...}'
   sshKey: 'ssh-ed25519 AAAA...'
   #...

2. 部署集群。

流程

1. 创建一个 JSON 文件，其包含 CloudFormation 模板需要的参数值：

   [
     {
       "ParameterKey": "VpcCidr", 1
       "ParameterValue": "10.0.0.0/16" 2
     },
     {
       "ParameterKey": "AvailabilityZoneCount", 3
       "ParameterValue": "3" 4
     },
     {
       "ParameterKey": "SubnetBits", 5
       "ParameterValue": "12" 6
     }
   ]

   1

   VPC 的 CIDR 块。

   2

   以 x.x.x.x/16-24 格式指定 CIDR 块。

   3

   在其中部署 VPC 的可用区的数量。

   4

   指定一个 1 到 3 之间的整数。

   5

   各个可用区中每个子网的大小。

   6

   指定 5 到 13 之间的整数，其中 5 为 /27，13 为 /19。

2. 进入名为 "CloudFormation template for the VPC" 的文档部分，然后从提供的模板中复制语法。将复制的模板语法保存为本地系统中的 YAML 文件。此模板描述了集群所需的 VPC。

3. 运行以下命令，启动 CloudFormation 模板以创建代表 VPC 的 AWS 资源堆栈：

   重要

   您必须在一行内输入命令。

   $ aws cloudformation create-stack --stack-name <name> \1
        --template-body file://<template>.yaml \2
        --parameters file://<parameters>.json  3

   1

   <name> 是 CloudFormation 堆栈的名称，如 cluster-VPC。如果您删除集群，则需要此堆栈的名称。

   2

   <template> 是您保存的 CloudFormation 模板 YAML 文件的相对路径和名称。

   3

   <parameters> 是相对路径和 CloudFormation 参数 JSON 文件的名称。

   输出示例

   arn:aws:cloudformation:us-east-1:123456789012:stack/cluster-vpc/dbedae40-2fd3-11eb-820e-12a48460849f

4. 运行以下命令确认模板组件已存在：

   $ aws cloudformation describe-stacks --stack-name <name>

   在 StackStatus 显示 CREATE_COMPLETE 后，输出会显示以下参数的值。您必须为创建集群运行的其他 CloudFormation 模板提供这些参数值。

   VpcId	您的 VPC ID。
   PublicSubnetIds	新公共子网的 ID。
   PrivateSubnetIds	新专用子网的 ID。
   PublicRouteTableId	新公共路由表 ID 的 ID。

流程

1. 进入名为"CloudFormation template for the VPC 子网"的文档部分，并从模板中复制语法。将复制的模板语法保存为本地系统中的 YAML 文件。此模板描述了集群所需的 VPC。

2. 运行以下命令来部署 CloudFormation 模板，它会创建一个代表 VPC 的 AWS 资源堆栈：

   $ aws cloudformation create-stack --stack-name <stack_name> \1
     --region ${CLUSTER_REGION} \
     --template-body file://<template>.yaml \2
     --parameters \
       ParameterKey=VpcId,ParameterValue="${VPC_ID}" \3
       ParameterKey=ClusterName,ParameterValue="${CLUSTER_NAME}" \4
       ParameterKey=ZoneName,ParameterValue="${ZONE_NAME}" \5
       ParameterKey=PublicRouteTableId,ParameterValue="${ROUTE_TABLE_PUB}" \6
       ParameterKey=PublicSubnetCidr,ParameterValue="${SUBNET_CIDR_PUB}" \7
       ParameterKey=PrivateRouteTableId,ParameterValue="${ROUTE_TABLE_PVT}" \8
       ParameterKey=PrivateSubnetCidr,ParameterValue="${SUBNET_CIDR_PVT}" 9

   1

   <stack_name> 是 CloudFormation 堆栈的名称，如 cluster-wl-<local_zone_shortname>。如果您删除集群，则需要此堆栈的名称。

   2

   <template> 是相对路径，以及保存的 CloudFormation 模板 YAML 文件的名称。

   3

   ${VPC_ID} 是 VPC ID，它是 VPC 模板输出中的 VpcID 值。

   4

   ${ZONE_NAME} 是创建子网的 Local Zones 名称的值。

   5

   ${CLUSTER_NAME} 是 ClusterName 的值，用作新 AWS 资源名称的前缀。

   6

   ${SUBNET_CIDR_PUB} 是一个有效的 CIDR 块，用于创建公共子网。这个块必须是 VPC CIDR 块 VpcCidr 的一部分。

   7

   ${ROUTE_TABLE_PVT} 是从 VPC 的 CloudFormation 堆栈的输出中提取的 PrivateRouteTableId。

   8

   ${SUBNET_CIDR_PVT} 是一个有效的 CIDR 块，用于创建专用子网。这个块必须是 VPC CIDR 块 VpcCidr 的一部分。

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 1

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 验证您可以使用导出的配置成功运行 oc 命令：

   $ oc whoami

   输出示例

   system:admin

流程

1. 从安装主机上的 kubeadmin -password 文件中获取 kubeadmin 用户的密码：

   $ cat <installation_directory>/auth/kubeadmin-password

   注意

   另外，您还可以从安装主机上的 <installation_directory>/.openshift_install.log 日志文件获取 kubeadmin 密码。

2. 列出 OpenShift Container Platform Web 控制台路由：

   $ oc get routes -n openshift-console | grep 'console-openshift'

   注意

   另外，您还可以从安装主机上的 <installation_directory>/.openshift_install.log 日志 文件获取 OpenShift Container Platform 路由。

   输出示例

   console     console-openshift-console.apps.<cluster_name>.<base_domain>            console     https   reencrypt/Redirect   None

3. 在 Web 浏览器中导航到上一命令输出中包括的路由，以 kubeadmin 用户身份登录。

1. 要检查从添加到 install-config.yaml 文件中的子网中创建的机器集，请运行以下命令：

   $ oc get machineset -n openshift-machine-api

   输出示例

   NAME                                  DESIRED   CURRENT   READY   AVAILABLE   AGE
   cluster-7xw5g-edge-us-east-1-nyc-1a   1         1         1       1           3h4m
   cluster-7xw5g-worker-us-east-1a       1         1         1       1           3h4m
   cluster-7xw5g-worker-us-east-1b       1         1         1       1           3h4m
   cluster-7xw5g-worker-us-east-1c       1         1         1       1           3h4m

2. 要检查从机器集创建的机器，请运行以下命令：

   $ oc get machines -n openshift-machine-api

   输出示例

   NAME                                        PHASE     TYPE          REGION      ZONE               AGE
   cluster-7xw5g-edge-us-east-1-nyc-1a-wbclh   Running   c5d.2xlarge   us-east-1   us-east-1-nyc-1a   3h
   cluster-7xw5g-master-0                      Running   m6i.xlarge    us-east-1   us-east-1a         3h4m
   cluster-7xw5g-master-1                      Running   m6i.xlarge    us-east-1   us-east-1b         3h4m
   cluster-7xw5g-master-2                      Running   m6i.xlarge    us-east-1   us-east-1c         3h4m
   cluster-7xw5g-worker-us-east-1a-rtp45       Running   m6i.xlarge    us-east-1   us-east-1a         3h
   cluster-7xw5g-worker-us-east-1b-glm7c       Running   m6i.xlarge    us-east-1   us-east-1b         3h
   cluster-7xw5g-worker-us-east-1c-qfvz4       Running   m6i.xlarge    us-east-1   us-east-1c         3h

3. 要检查具有边缘角色的节点，请运行以下命令：

   $ oc get nodes -l node-role.kubernetes.io/edge

   输出示例

   NAME                           STATUS   ROLES         AGE    VERSION
   ip-10-0-207-188.ec2.internal   Ready    edge,worker   172m   v1.25.2+d2e245f