20.2. 使用基于代理的安装程序在 Oracle Cloud Infrastructure (OCI) 上安装集群

流程

1. 对于断开连接的环境，将 Red Hat OpenShift 的镜像 registry 镜像到本地容器镜像 registry。

   重要

   检查您的 openshift-install 二进制版本是否与本地镜像容器 registry 相关，而不是共享的 registry，如 Red Hat Quay。

   $ ./openshift-install version

   共享 registry 二进制文件的输出示例

   ./openshift-install 4.16.0
   built from commit ae7977b7d1ca908674a0d45c5c243c766fa4b2ca
   release image registry.ci.openshift.org/origin/release:4.16ocp-release@sha256:0da6316466d60a3a4535d5fed3589feb0391989982fba59d47d4c729912d6363
   release architecture amd64

2. 配置 install-config.yaml 配置文件以满足您的机构需求。

   演示设置外部平台的 install-config.yaml 配置文件示例

   # install-config.yaml
   apiVersion: v1
   baseDomain: <base_domain> 1
   networking:
     clusterNetwork:
     - cidr: 10.128.0.0/14
       hostPrefix: 23
     network type: OVNKubernetes
     machineNetwork:
     - cidr: <ip_address_from_cidr> 2
     serviceNetwork:
     - 172.30.0.0/16
   compute:
     - architecture: amd64 3
     hyperthreading: Enabled
     name: worker
     replicas: 0
   controlPlane:
     architecture: amd64 4
     hyperthreading: Enabled
     name: master
     replicas: 3
   platform:
      external:
       platformName: oci 5
       cloudControllerManager: External
   sshKey: <public_ssh_key> 6
   pullSecret: '<pull_secret>' 7
   # ...

   1

   云供应商的基域。

   2

   CIDR 分配给网络上操作的资源和组件的虚拟网络 (VCN) 的 IP 地址。

   3 4

   根据您的基础架构，您可以选择 x86_64 或 amd64。

   5

   将 OCI 设置为外部平台，以便 OpenShift Container Platform 能够与 OCI 集成。

   6

   指定 SSH 公钥。

   7

   为 OpenShift Container Platform 组件和服务（如 Quay.io）下载容器镜像时，您需要验证目的的 pull secret。请参阅 通过 Red Hat Hybrid Cloud Console 安装 OpenShift Container Platform 4。

3. 在本地系统上创建一个名为 openshift 的目录。

   重要

   不要将 install-config.yaml 和 agent-config.yaml 配置文件移到 openshift 目录中。

4. 完成 Oracle 文档的 "配置文件" 部分中的步骤，以下载 Oracle Cloud Controller Manager (CCM)和 Oracle Container Storage Interface (CSI)清单作为归档文件，并将存档文件保存到 openshift 目录中。您需要 Oracle CCM 清单以在集群安装过程中部署 Oracle CCM，以便 OpenShift Container Platform 可以连接到外部 OCI 平台。在集群安装过程中部署 Oracle CSI 驱动程序需要 Oracle CSI 自定义清单，以便 OpenShift Container Platform 可以从 OCI 声明所需的对象。

5. 访问 Oracle 文档的" 配置文件" 部分中提供的自定义清单文件。

   1. 更改 oci-cloud-controller-manager secret，该 secret 在 oci-ccm.yml 配置文件中定义，以匹配您的机构的区域、比较 OCID、VCN OCID 和子网 OCID。

6. 在 OpenShift Container Platform CLI 中输入以下命令来，使用基于 Agent 的安装程序来生成最小 ISO 镜像（不包括 rootfs 镜像）。您可以在稍后使用此镜像引导所有集群节点。

   $ ./openshift-install agent create image --log-level debug

   该命令还会完成以下操作：

   • 创建子目录 ./<installation_directory>/auth directory:：将 kubeadmin-password 和 kubeconfig 文件放在 子目录中。
   • 根据您在 agent-config.yaml 配置文件中指定的 IP 地址，创建一个 rendezvousIP 文件。

   • 可选：您对 agent-config.yaml 和 install-config.yaml 配置文件所做的任何修改都会导入到 Zero Touch Provisioning (ZTP)自定义资源。

     重要

     基于代理的安装程序使用 Red Hat Enterprise Linux CoreOS (RHCOS)。启动、恢复和修复您的操作系统需要在后续列出的项中提到的 rootfs 镜像。

7. 配置 agent-config.yaml 配置文件，以满足您的机构要求。

   为 IPv4 格式的网络设置值的 agent-config.yaml 配置文件示例。

   apiVersion: v1alpha1
   metadata:
     name: <cluster_name> 1
     namespace: <cluster_namespace> 2
   rendezvousIP: <ip_address_from_CIDR> 3
   bootArtifactsBaseURL: <server_URL> 4
   # ...

   1

   您在 DNS 记录中指定的集群名称。

   2

   OpenShift Container Platform 上集群的命名空间。

   3

   如果您使用 IPv4 作为网络 IP 地址格式，请确保将 rendezvousIP 参数设置为在网络上分配的 VCN 的无类别域间路由 (CIDR) 方法的 IPv4 地址。另外，确保至少有一个实例来自您使用 ISO 引导的实例池中，与您为 rendezvousIP 设置的 IP 地址值匹配。

   4

   要上传 rootfs 镜像的服务器的 URL。

8. 对 agent-config.yaml 配置文件应用以下两个更新之一：

   • 对于断开连接的网络： 运行该命令以生成最小 ISO 镜像后，基于代理的安装程序会将 rootfs 镜像保存到本地系统的 ./<installation_directory>/boot-artifacts 目录中。使用您首选的 Web 服务器，如任何 Hypertext 传输协议守护进程(httpd)，将 rootfs 上传到 agent-config.yaml 配置文件中的 bootArtifactsBaseURL 参数中声明的位置。

     例如，如果 bootArtifactsBaseURL 参数状态 http://192.168.122.20，您可以将生成的 rootfs 镜像上传到此位置，以便基于代理的安装程序可以从 http://192.168.122.20/agent.x86_64-rootfs.img 访问镜像。在基于代理的安装程序为外部平台引导最小 ISO 后，基于代理的安装程序将 rootfs 镜像从 http://192.168.122.20/agent.x86_64-rootfs.img 位置下载到系统内存中。

     注意

     基于代理的安装程序还将 bootArtifactsBaseURL 的值添加到最小 ISO 镜像的配置中，以便在 Operator 引导集群节点时，基于代理的安装程序会将 rootfs 镜像下载到系统内存中。

   • 对于连接的网络： 您不需要在 agent-config.yaml 配置文件中指定 bootArtifactsBaseURL 参数。基于代理的安装程序的默认行为从 https://rhcos.mirror.openshift.com 读取 rootfs URL 位置。在基于代理的安装程序为外部平台引导最小 ISO 后，基于代理的安装程序，然后从默认的 RHCOS URL 将 rootfs 文件下载到您的系统内存中。

     重要

     考虑超过 1 GB 的完整 ISO 镜像包括 rootfs 镜像。镜像大于最小 ISO 镜像，该镜像通常小于 150 MB。

流程

1. 为您的防火墙的允许列表设置以下 registry URL：

   URL	port	功能
   registry.redhat.io	443	提供核心容器镜像
   access.redhat.com	443	托管签名存储，容器客户端需要验证从 registry.access.redhat.com 中拉取的镜像。在防火墙环境中，确保此资源位于允许列表中。
   registry.access.redhat.com	443	托管存储在 Red Hat Ecosytem Catalog 中的所有容器镜像，包括核心容器镜像。
   quay.io	443	提供核心容器镜像
   cdn.quay.io	443	提供核心容器镜像
   cdn01.quay.io	443	提供核心容器镜像
   cdn02.quay.io	443	提供核心容器镜像
   cdn03.quay.io	443	提供核心容器镜像
   cdn04.quay.io	443	提供核心容器镜像
   cdn05.quay.io	443	提供核心容器镜像
   cdn06.quay.io	443	提供核心容器镜像
   sso.redhat.com	443	https://console.redhat.com 站点使用来自 sso.redhat.com 的身份验证

   • 您可以在 allowlist 中使用通配符 Ifquay.io 和 Ifopenshiftapps.com 而不是 cdn.quay.io 和 cdn0[1-6].quay.io。
   • 您可以使用通配符 *.access.redhat.com 来简化配置，并确保所有子域（包括 registry.access.redhat.com ）都被允许。
   • 在 allowlist 中添加站点（如 quay.io ）时，不要向 denylist 添加通配符条目，如 *.quay.io。在大多数情况下，镜像 registry 使用内容交付网络（CDN）来提供镜像。如果防火墙阻止访问，则初始下载请求重定向到一个主机名（如 cdn01.quay.io ）时，镜像下载将被拒绝。
2. 将防火墙的允许列表设置为包含为构建所需的语言或框架提供资源的任何站点。

3. 如果不禁用 Telemetry，您必须授予对以下 URL 的访问权限，以访问 Red Hat Insights：

   URL	port	功能
   cert-api.access.redhat.com	443	Telemetry 所需
   api.access.redhat.com	443	Telemetry 所需
   infogw.api.openshift.com	443	Telemetry 所需
   console.redhat.com	443	Telemetry 和 insights-operator需要

4. 将防火墙的允许列表设置为包含以下 registry URL：

   URL	port	功能
   api.openshift.com	443	集群令牌需要，并检查集群是否有可用的更新。
   rhcos.mirror.openshift.com	443	需要此项以下载 Red Hat Enterprise Linux CoreOS(RHCOS)镜像。

5. 将防火墙的允许列表设置为包含以下外部 URL：每个存储库 URL 都托管 OCI 容器。考虑将镜像镜像到几个存储库，以减少任何性能问题。

   URL	port	功能
   k8s.gcr.io	port	为基于社区的镜像 registry 托管容器镜像的 Kubernetes registry。此镜像 registry 托管在自定义 Google Container Registry (GCR)域中。
   ghcr.io	port	一个 GitHub 镜像 registry，您可以在其中存储和管理开放容器项目镜像。需要访问令牌发布、安装和删除私有、内部和公共软件包。
   storage.googleapis.com	443	发行版本镜像签名源，但 Cluster Version Operator 只需要一个可正常工作的源。
   registry.k8s.io	port	替换 k8s.gcr.io 镜像 registry，因为 k8s.gcr.io 镜像 registry 不支持其他平台和供应商。

流程

1. 将代理 ISO 镜像上传到 Oracle 的默认 Object Storage 存储桶，并将代理 ISO 镜像作为自定义镜像导入到此存储桶。确保将自定义镜像配置为以统一可扩展固件接口(UEFI)模式引导。如需更多信息，请参阅创建 OpenShift Container Platform ISO 镜像(Oracle 文档)。

2. 从集群拓扑提供的基础镜像创建计算实例。请参阅在 OCI (Oracle 文档)上创建 OpenShift Container Platform 集群。

   重要

   在创建计算实例前，请检查您有足够的内存和磁盘资源。另外，请确保至少有一个计算实例与 agent-config.yaml 文件中 rendezvousIP 下声明的地址相同的 IP 地址。