9.4. 在受限网络中的 Nutanix 上安装集群

流程

1. 如果您在本地计算机上没有可用于在集群节点上进行身份验证的现有 SSH 密钥对，请创建一个。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ ssh-keygen -t ed25519 -N '' -f <path>/<file_name> 1

   1

   指定新 SSH 密钥的路径和文件名，如 ~/.ssh/id_ed25519。如果您已有密钥对，请确保您的公钥位于 ~/.ssh 目录中。

   注意

   如果您计划在 x86_64、ppc64le 和 s390x 架构上安装使用 RHEL 加密库（这些加密库已提交给 NIST 用于 FIPS 140-2/140-3 验证）的 OpenShift Container Platform 集群，则不要创建使用 ed25519 算法的密钥。相反，创建一个使用 rsa 或 ecdsa 算法的密钥。

2. 查看公共 SSH 密钥：

   $ cat <path>/<file_name>.pub

   例如，运行以下命令来查看 ~/.ssh/id_ed25519.pub 公钥：

   $ cat ~/.ssh/id_ed25519.pub

3. 将 SSH 私钥身份添加到本地用户的 SSH 代理（如果尚未添加）。在集群节点上，或者要使用 ./openshift-install gather 命令，需要对该密钥进行 SSH 代理管理，才能在集群节点上进行免密码 SSH 身份验证。

   注意

   在某些发行版中，自动管理默认 SSH 私钥身份，如 ~/.ssh/id_rsa 和 ~/.ssh/id_dsa。

   1. 如果 ssh-agent 进程尚未为您的本地用户运行，请将其作为后台任务启动：

      $ eval "$(ssh-agent -s)"

      输出示例

      Agent pid 31874

      注意

      如果集群处于 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必须是 RSA 或 ECDSA。

4. 将 SSH 私钥添加到 ssh-agent ：

   $ ssh-add <path>/<file_name> 1

   1

   指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_ed25519.pub

   输出示例

   Identity added: /home/<you>/<path>/<file_name> (<computer_name>)

流程

1. 在 Prism Central web 控制台中下载 Nutanix root CA 证书。
2. 提取包含 Nutanix root CA 证书的压缩文件。

3. 将您的操作系统的文件添加到系统信任中。例如，在 Fedora 操作系统中运行以下命令：

   # cp certs/lin/* /etc/pki/ca-trust/source/anchors

4. 更新您的系统信任关系。例如，在 Fedora 操作系统中运行以下命令：

   # update-ca-trust extract

流程

1. 进入包含安装程序的目录并运行以下命令：

   $ ./openshift-install coreos print-stream-json

2. 使用命令的输出来查找 Nutanix 镜像的位置，然后点链接下载它。

   输出示例

   "nutanix": {
     "release": "411.86.202210041459-0",
     "formats": {
       "qcow2": {
         "disk": {
           "location": "https://rhcos.mirror.openshift.com/art/storage/releases/rhcos-4.11/411.86.202210041459-0/x86_64/rhcos-411.86.202210041459-0-nutanix.x86_64.qcow2",
           "sha256": "42e227cac6f11ac37ee8a2f9528bb3665146566890577fd55f9b950949e5a54b"

3. 通过内部 HTTP 服务器或 Nutanix 对象提供镜像。
4. 记录下载镜像的位置。在部署集群前，您可以使用镜像的位置更新安装配置文件中的 platform 部分 (install-config.yaml)。

流程

1. 创建 install-config.yaml 文件。

   1. 进入包含安装程序的目录并运行以下命令：

      $ ./openshift-install create install-config --dir <installation_directory> 1

      1

      对于 <installation_directory>，请指定要存储安装程序创建的文件的目录名称。

      在指定目录时：

      • 验证该目录是否具有执行权限。在安装目录中运行 Terraform 二进制文件需要这个权限。
      • 使用空目录。有些安装资产，如 bootstrap X.509 证书的过期间隔较短，因此不得重复使用安装目录。如果要重复使用另一个集群安装中的单个文件，您可以将它们复制到您的目录中。但是，安装资产的文件名可能会在发行版本间有所变化。从以前的 OpenShift Container Platform 版本中复制安装文件时请小心。

   2. 在提示符处，提供云的配置详情：

      1. 可选： 选择用于访问集群机器的 SSH 密钥。

         注意

         对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

      2. 选择 nutanix 作为目标平台。
      3. 输入 Prism Central 域名或 IP 地址。
      4. 输入用于登录 Prism Central 的端口。

      5. 输入用于登录 Prism Central 的凭证。

         安装程序连接到 Prism Central。

      6. 选择用于管理 OpenShift Container Platform 集群的 Prism Element。
      7. 选择要使用的网络子网。
      8. 输入您为 control plane API 访问配置的虚拟 IP 地址。
      9. 输入您为集群入口配置的虚拟 IP 地址。
      10. 输入基域。这个基域必须与您在 DNS 记录中配置的域相同。

      11. 为集群输入描述性名称。

          您输入的集群名称必须与您在配置 DNS 记录时指定的集群名称匹配。

2. 在 install-config.yaml 文件中，将 platform.nutanix.clusterOSImage 的值设置为镜像位置或名称。例如：

   platform:
     nutanix:
         clusterOSImage: http://mirror.example.com/images/rhcos-47.83.202103221318-0-nutanix.x86_64.qcow2

3. 编辑 install-config.yaml 文件，以提供在受限网络中安装所需的额外信息。

   1. 更新 pullSecret 值，使其包含 registry 的身份验证信息：

      pullSecret: '{"auths":{"<mirror_host_name>:5000": {"auth": "<credentials>","email": "you@example.com"}}}'

      对于 <mirror_host_name>，请指定 您在镜像 registry 证书中指定的 registry 域名 ；对于 <credentials>， 请指定您的镜像 registry 的 base64 编码用户名和密码。

   2. 添加 additionalTrustBundle 参数和值。

      additionalTrustBundle: |
        -----BEGIN CERTIFICATE-----
        ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ
        -----END CERTIFICATE-----

      该值必须是您用于镜像 registry 的证书文件内容。证书文件可以是现有的可信证书颁发机构，也可以是您为镜像 registry 生成的自签名证书。

   3. 添加镜像内容资源，类似于以下 YAML 摘录：

      imageContentSources:
      - mirrors:
        - <mirror_host_name>:5000/<repo_name>/release
        source: quay.io/openshift-release-dev/ocp-release
      - mirrors:
        - <mirror_host_name>:5000/<repo_name>/release
        source: registry.redhat.io/ocp/release

      对于这些值，请使用镜像 registry 时创建的 imageContentSourcePolicy.yaml 文件。

   4. 可选：将发布策略设置为 Internal：

      publish: Internal

      通过设置这个选项，您可以创建一个内部 Ingress Controller 和一个私有负载均衡器。

4. 可选：更新 install.config.yaml 文件中的一个或多个默认配置参数，以自定义安装。

   有关参数的更多信息，请参阅"安装配置参数"。

   注意

   如果要安装三节点集群，请确保将 compute.replicas 参数设置为 0。这样可确保集群的 control plane 可以调度。如需更多信息，请参阅"在 {platform} 上安装三节点集群"。

5. 备份 install-config.yaml 文件，以便您可以使用它安装多个集群。

   重要

   install-config.yaml 文件会在安装过程中消耗掉。如果要重复使用此文件，必须现在备份。

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 从 产品变体 下拉列表中选择架构。
3. 从 版本 下拉列表中选择适当的版本。
4. 点 OpenShift v4.16 Linux Client 条目旁的 Download Now 来保存文件。

5. 解包存档：

   $ tar xvf <file>

6. 将 oc 二进制文件放到 PATH 中的目录中。

   要查看您的 PATH，请执行以下命令：

   $ echo $PATH

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 从 版本 下拉列表中选择适当的版本。
3. 点 OpenShift v4.16 Windows Client 条目旁的 Download Now 来保存文件。
4. 使用 ZIP 程序解压存档。

5. 将 oc 二进制文件移到 PATH 中的目录中。

   要查看您的 PATH，请打开命令提示并执行以下命令：

   C:\> path

流程

1. 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
2. 从 版本 下拉列表中选择适当的版本。

3. 点 OpenShift v4.16 macOS Client 条目旁的 Download Now 来保存文件。

   注意

   对于 macOS arm64，请选择 OpenShift v4.16 macOS arm64 Client 条目。

4. 解包和解压存档。

5. 将 oc 二进制文件移到 PATH 的目录中。

   要查看您的 PATH，请打开终端并执行以下命令：

   $ echo $PATH

流程

1. 按照以下格式创建一个包含凭证数据的 YAML 文件：

   凭证数据格式

   credentials:
   - type: basic_auth 1
     data:
       prismCentral: 2
         username: <username_for_prism_central>
         password: <password_for_prism_central>
       prismElements: 3
       - name: <name_of_prism_element>
         username: <username_for_prism_element>
         password: <password_for_prism_element>

   1

   指定身份验证类型。仅支持基本身份验证。

   2

   指定 Prism Central 凭证。

   3

   可选：指定 Prism Element 凭证。

2. 运行以下命令，使用安装文件中的发行镜像设置 $RELEASE_IMAGE 变量：

   $ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')

3. 运行以下命令，从 OpenShift Container Platform 发行镜像中提取 CredentialsRequest 自定义资源 (CR) 列表：

   $ oc adm release extract \
     --from=$RELEASE_IMAGE \
     --credentials-requests \
     --included \1
     --install-config=<path_to_directory_with_installation_configuration>/install-config.yaml \2
     --to=<path_to_directory_for_credentials_requests> 3

   1

   --included 参数仅包含特定集群配置所需的清单。

   2

   指定 install-config.yaml 文件的位置。

   3

   指定要存储 CredentialsRequest 对象的目录的路径。如果指定的目录不存在，这个命令会创建它。

   CredentialsRequest 对象示例

     apiVersion: cloudcredential.openshift.io/v1
     kind: CredentialsRequest
     metadata:
       annotations:
         include.release.openshift.io/self-managed-high-availability: "true"
       labels:
         controller-tools.k8s.io: "1.0"
       name: openshift-machine-api-nutanix
       namespace: openshift-cloud-credential-operator
     spec:
       providerSpec:
         apiVersion: cloudcredential.openshift.io/v1
         kind: NutanixProviderSpec
       secretRef:
         name: nutanix-credentials
         namespace: openshift-machine-api

4. 运行以下命令，使用 ccoctl 工具处理所有 CredentialsRequest 对象：

   $ ccoctl nutanix create-shared-secrets \
     --credentials-requests-dir=<path_to_credentials_requests_directory> \1
     --output-dir=<ccoctl_output_dir> \2
     --credentials-source-filepath=<path_to_credentials_file> 3

   1

   指定包含组件 CredentialsRequests 对象文件的目录路径。

   2

   可选：指定您希望 ccoctl 实用程序在其中创建对象的目录。默认情况下，实用程序在运行命令的目录中创建对象。

   3

   可选：指定包含凭证数据 YAML 文件的目录。默认情况下，ccoctl 预期此文件位于 <home_directory>/.nutanix/credentials 中。

5. 编辑 install-config.yaml 配置文件，使 credentialsMode 参数设置为 Manual。

   install-config.yaml 配置文件示例

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 1
   ...

   1

   添加这一行，将 credentialsMode 参数设置为 Manual。

6. 运行以下命令来创建安装清单：

   $ openshift-install create manifests --dir <installation_directory> 1

   1

   指定包含集群的 install-config.yaml 文件的目录路径。

7. 运行以下命令，将生成的凭证文件复制到目标清单目录中：

   $ cp <ccoctl_output_dir>/manifests/*credentials.yaml ./<installation_directory>/manifests