7.9. 在 GCP 上安装私有集群

1. 当未启用并发多线程 (SMT) 或超线程时，一个 vCPU 相当于一个物理内核。启用后，使用以下公式来计算对应的比例：（每个内核数的线程）× sockets = vCPU。
2. OpenShift Container Platform 和 Kubernetes 对磁盘性能非常敏感，建议使用更快的存储速度，特别是 control plane 节点上需要 10 ms p99 fsync 持续时间的 etcd。请注意，在许多云平台上，存储大小和 IOPS 可一起扩展，因此您可能需要过度分配存储卷来获取足够的性能。
3. 与所有用户置备的安装一样，如果您选择在集群中使用 RHEL 计算机器，则负责所有操作系统生命周期管理和维护，包括执行系统更新、应用补丁和完成所有其他必要的任务。RHEL 7 计算机器的使用已弃用，并已在 OpenShift Container Platform 4.10 及更新的版本中删除。

1. 进入包含安装程序的目录并创建清单文件：

   $ ./openshift-install create manifests --dir <installation_directory> 1

   1

   对于 <installation_directory>，请指定包含集群的 install-config.yaml 文件的目录名称。

2. 在 <installation_directory>/manifests/ 目录中创建一个名为 cluster-ingress-default-ingresscontroller.yaml 的文件：

   $ touch <installation_directory>/manifests/cluster-ingress-default-ingresscontroller.yaml 1

   1

   对于 <installation_directory>，请指定包含集群的 manifests/ 目录的目录名称。

   创建该文件后，几个网络配置文件位于 manifests/ 目录中，如下所示：

   $ ls <installation_directory>/manifests/cluster-ingress-default-ingresscontroller.yaml

   输出示例

   cluster-ingress-default-ingresscontroller.yaml

3. 在编辑器中打开 cluster-ingress-default-ingresscontroller.yaml 文件，并输入描述您想要的 Operator 配置的自定义资源(CR)：

   到 全局的 clientAccess 配置示例

     apiVersion: operator.openshift.io/v1
     kind: IngressController
     metadata:
       name: default
       namespace: openshift-ingress-operator
     spec:
       endpointPublishingStrategy:
         loadBalancer:
           providerParameters:
             gcp:
               clientAccess: Global 1
             type: GCP
           scope: Internal          2
         type: LoadBalancerService

   1

   将 gcp.clientAccess 设置为 Global。

   2

   只有使用内部负载均衡器的 Ingress Controller 才可使用全局访问。

流程

1. 编辑 install-config.yaml 文件并添加代理设置。例如：

   apiVersion: v1
   baseDomain: my.domain.com
   proxy:
     httpProxy: http://<username>:<pswd>@<ip>:<port> 1
     httpsProxy: https://<username>:<pswd>@<ip>:<port> 2
     noProxy: example.com 3
   additionalTrustBundle: | 4
       -----BEGIN CERTIFICATE-----
       <MY_TRUSTED_CA_CERT>
       -----END CERTIFICATE-----
   additionalTrustBundlePolicy: <policy_to_add_additionalTrustBundle> 5

   1

   用于创建集群外 HTTP 连接的代理 URL。URL 方案必须是 http。

   2

   用于创建集群外 HTTPS 连接的代理 URL。

   3

   要从代理中排除的目标域名、IP 地址或其他网络 CIDR 的逗号分隔列表。在域前面加上 . 以仅匹配子域。例如，.y.com 匹配 x.y.com，但不匹配 y.com。使用 * 绕过所有目的地的代理。

   4

   如果提供，安装程序会在 openshift-config 命名空间中生成名为 user-ca-bundle 的配置映射，其包含代理 HTTPS 连接所需的一个或多个额外 CA 证书。然后，Cluster Network Operator 会创建 trusted-ca-bundle 配置映射，将这些内容与 Red Hat Enterprise Linux CoreOS（RHCOS）信任捆绑包合并， Proxy 对象的 trustedCA 字段中也会引用此配置映射。additionalTrustBundle 字段是必需的，除非代理的身份证书由来自 RHCOS 信任捆绑包的颁发机构签名。

   5

   可选：决定 Proxy 对象的配置以引用 trustedCA 字段中 user-ca-bundle 配置映射的策略。允许的值是 Proxyonly 和 Always。仅在配置了 http/https 代理时，使用 Proxyonly 引用 user-ca-bundle 配置映射。使用 Always 始终引用 user-ca-bundle 配置映射。默认值为 Proxyonly。

   注意

   安装程序不支持代理的 readinessEndpoints 字段。

   注意

   如果安装程序超时，重启并使用安装程序的 wait-for 命令完成部署。例如：

   $ ./openshift-install wait-for install-complete --log-level debug

2. 保存该文件并在安装 OpenShift Container Platform 时引用。

流程

1. 在安装程序使用的 GCP 帐户中添加以下粒度权限：

   例 7.49. 所需的 GCP 权限

   • compute.machineTypes.list
   • compute.regions.list
   • compute.zones.list
   • dns.changes.create
   • dns.changes.get
   • dns.managedZones.create
   • dns.managedZones.delete
   • dns.managedZones.get
   • dns.managedZones.list
   • dns.networks.bindPrivateDNSZone
   • dns.resourceRecordSets.create
   • dns.resourceRecordSets.delete
   • dns.resourceRecordSets.list

2. 如果您没有将 install-config.yaml 配置文件中的 credentialsMode 参数设置为 Manual，请修改值，如下所示：

   配置文件片段示例

   apiVersion: v1
   baseDomain: example.com
   credentialsMode: Manual
   # ...

3. 如果您之前还没有创建安装清单文件，请运行以下命令：

   $ openshift-install create manifests --dir <installation_directory>

   其中 <installation_directory> 是安装程序在其中创建文件的目录。

4. 运行以下命令，使用安装文件中的发行镜像设置 $RELEASE_IMAGE 变量：

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

5. 运行以下命令，从 OpenShift Container Platform 发行镜像中提取 CredentialsRequest 自定义资源 (CR) 列表：

   $ oc adm release extract \
     --from=$RELEASE_IMAGE \
     --credentials-requests \
     --included \1
     --install-config=<path_to_directory_with_installation_configuration>/install-config.yaml \2
     --to=<path_to_directory_for_credentials_requests> 3

   1

   --included 参数仅包含特定集群配置所需的清单。

   2

   指定 install-config.yaml 文件的位置。

   3

   指定要存储 CredentialsRequest 对象的目录的路径。如果指定的目录不存在，这个命令会创建它。

   此命令为每个 CredentialsRequest 对象创建一个 YAML 文件。

   CredentialsRequest 对象示例

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component_credentials_request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: GCPProviderSpec
       predefinedRoles:
       - roles/storage.admin
       - roles/iam.serviceAccountUser
       skipServiceCheck: true
     ...

6. 在之前生成的 openshift-install 清单目录中为 secret 创建 YAML 文件。secret 必须使用在 spec.secretRef 中为每个 CredentialsRequest 定义的命名空间和 secret 名称存储。

   带有 secret 的 CredentialsRequest 对象示例

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component_credentials_request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
         ...
     secretRef:
       name: <component_secret>
       namespace: <component_namespace>
     ...

   Secret 对象示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: <component_secret>
     namespace: <component_namespace>
   data:
     service_account.json: <base64_encoded_gcp_service_account_file>