12.5. control plane 机器的配置选项

流程

1. 在云供应商的 web 门户或控制台中，执行以下操作：

   1. 找到并删除相关的负载均衡器组件：

      • 对于 AWS，删除外部负载均衡器。私有区的 API DNS 条目已指向内部负载均衡器，它使用相同的配置，因此您无需修改内部负载均衡器。
   2. 在公共区中删除 api.$clustername.$yourdomain DNS 条目。

2. 通过删除 control plane 机器集自定义资源中的以下指示行来删除外部负载均衡器：

   # ...
   providerSpec:
     value:
   # ...
       loadBalancers:
       - name: lk4pj-ext 1
         type: network 2
       - name: lk4pj-int
         type: network
   # ...

   1

   删除外部负载均衡器的 name 值，它以 -ext 结尾。

   2

   删除外部负载均衡器的 type 值。

流程

1. 编辑 providerSpec 字段中的以下行：

   providerSpec:
     value:
       ...
       instanceType: <compatible_aws_instance_type> 1

   1

   使用与之前选择相同的基础指定较大的 AWS 实例类型。例如，您可以将 m6i.xlarge 更改为 m6i.2xlarge 或 m6i.4xlarge。

2. 保存您的更改。

流程

1. 在文本编辑器中，为现有机器集打开 YAML 文件或创建新机器。

2. 编辑 providerSpec 字段中的以下行：

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   # ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             instanceType: <supported_instance_type> 1
             networkInterfaceType: EFA 2
             placement:
               availabilityZone: <zone> 3
               region: <region> 4
             placementGroupName: <placement_group> 5
   # ...

   1

   指定支持 EFA 的实例类型。

   2

   指定 EFA 网络接口类型。

   3

   指定区域，如 us-east-1a。

   4

   指定区域，如 us-east-1。

   5

   指定要部署机器的现有 AWS PG 的名称。

流程

1. 在云供应商的 web 门户或控制台中，执行以下操作：

   1. 找到并删除相关的负载均衡器组件：
   2. 在公共区中删除 api.$clustername.$yourdomain DNS 条目。

2. 通过删除 control plane 机器集自定义资源中的以下指示行来删除外部负载均衡器：

   # ...
   providerSpec:
     value:
   # ...
       loadBalancers:
       - name: lk4pj-ext 1
         type: network 2
       - name: lk4pj-int
         type: network
   # ...

   1

   删除外部负载均衡器的 name 值，它以 -ext 结尾。

   2

   删除外部负载均衡器的 type 值。

流程

1. 运行以下命令之一，显示所有可用的 OpenShift Container Platform 镜像：

   • 北美：

     $  az vm image list --all --offer rh-ocp-worker --publisher redhat -o table

     输出示例

     Offer          Publisher       Sku                 Urn                                                             Version
     -------------  --------------  ------------------  --------------------------------------------------------------  -----------------
     rh-ocp-worker  RedHat          rh-ocp-worker       RedHat:rh-ocp-worker:rh-ocp-worker:413.92.2023101700            413.92.2023101700
     rh-ocp-worker  RedHat          rh-ocp-worker-gen1  RedHat:rh-ocp-worker:rh-ocp-worker-gen1:413.92.2023101700       413.92.2023101700

   • 欧洲、中东和非洲地区：

     $  az vm image list --all --offer rh-ocp-worker --publisher redhat-limited -o table

     输出示例

     Offer          Publisher       Sku                 Urn                                                                     Version
     -------------  --------------  ------------------  --------------------------------------------------------------          -----------------
     rh-ocp-worker  redhat-limited  rh-ocp-worker       redhat-limited:rh-ocp-worker:rh-ocp-worker:413.92.2023101700            413.92.2023101700
     rh-ocp-worker  redhat-limited  rh-ocp-worker-gen1  redhat-limited:rh-ocp-worker:rh-ocp-worker-gen1:413.92.2023101700       413.92.2023101700

   注意

   使用可用于 compute 和 control plane 节点的最新镜像。如果需要，您的虚拟机会在安装过程中自动升级。

2. 运行以下命令之一检查您的所提供的镜像：

   • 北美：

     $ az vm image show --urn redhat:rh-ocp-worker:rh-ocp-worker:<version>

   • 欧洲、中东和非洲地区：

     $ az vm image show --urn redhat-limited:rh-ocp-worker:rh-ocp-worker:<version>

3. 运行以下命令之一查看提供的术语：

   • 北美：

     $ az vm image terms show --urn redhat:rh-ocp-worker:rh-ocp-worker:<version>

   • 欧洲、中东和非洲地区：

     $ az vm image terms show --urn redhat-limited:rh-ocp-worker:rh-ocp-worker:<version>

4. 运行以下命令之一接受产品条款：

   • 北美：

     $ az vm image terms accept --urn redhat:rh-ocp-worker:rh-ocp-worker:<version>

   • 欧洲、中东和非洲地区：

     $ az vm image terms accept --urn redhat-limited:rh-ocp-worker:rh-ocp-worker:<version>

5. 记录您所提供的镜像详情，特别是 publisher, offer, sku, 和 version 的值。

6. 使用您提供的镜像详情，在机器集 YAML 文件的 providerSpec 部分添加以下参数：

   Azure Marketplace 机器的 providerSpec 镜像值示例

   providerSpec:
     value:
       image:
         offer: rh-ocp-worker
         publisher: redhat
         resourceID: ""
         sku: rh-ocp-worker
         type: MarketplaceWithPlan
         version: 413.92.2023101700

1. 使用 secureBoot 字段。
2. 使用 virtualizedTrustedPlatformModule 字段。

流程

1. 在文本编辑器中，为现有机器集打开 YAML 文件或创建新机器。

2. 编辑 providerSpec 字段下的以下部分以提供有效的配置：

   启用 UEFI 安全引导和 vTPM 的有效配置示例

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   # ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             securityProfile:
               settings:
                 securityType: TrustedLaunch 1
                 trustedLaunch:
                   uefiSettings: 2
                     secureBoot: Enabled 3
                     virtualizedTrustedPlatformModule: Enabled 4
   # ...

   1

   为 Azure 虚拟机启用可信启动。所有有效配置都需要这个值。

   2

   指定要使用的 UEFI 安全功能。所有有效配置都需要这个部分。

   3

   启用 UEFI 安全引导。

   4

   启用使用 vTPM。

流程

1. 在文本编辑器中，为现有机器集打开 YAML 文件或创建新机器。

2. 在 providerSpec 字段中编辑以下部分：

   配置示例

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   # ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             osDisk:
               # ...
               managedDisk:
                 securityProfile: 1
                   securityEncryptionType: VMGuestStateOnly 2
               # ...
             securityProfile: 3
               settings:
                   securityType: ConfidentialVM 4
                   confidentialVM:
                     uefiSettings: 5
                       secureBoot: Disabled 6
                       virtualizedTrustedPlatformModule: Enabled 7
             vmSize: Standard_DC16ads_v5 8
   # ...

   1

   在使用机密虚拟机时，指定受管磁盘的安全配置集设置。

   2

   启用 Azure VM Guest State (VMGS) blob 加密。此设置需要使用 vTPM。

   3

   指定机密虚拟机的安全配置集设置。

   4

   启用使用机密虚拟机。所有有效配置都需要这个值。

   5

   指定要使用的 UEFI 安全功能。所有有效配置都需要这个部分。

   6

   禁用 UEFI 安全引导。

   7

   启用使用 vTPM。

   8

   指定支持机密虚拟机的实例类型。

流程

1. 在文本编辑器中，为现有机器集打开 YAML 文件或创建新机器。

2. 编辑 providerSpec 字段中的以下行：

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             disks:
               type: pd-ssd 1

   1

   control plane 节点必须使用 pd-ssd 磁盘类型。

流程

1. 在文本编辑器中，为现有机器集打开 YAML 文件或创建新机器。

2. 在 providerSpec 字段中编辑以下部分：

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             confidentialCompute: Enabled 1
             onHostMaintenance: Terminate 2
             machineType: n2d-standard-8 3
   ...

   1

   指定是否启用机密虚拟机。有效值为 Disabled 或 Enabled。

   2

   指定主机维护事件期间虚拟机的行为，如硬件或软件更新。对于使用机密虚拟机的机器，此值必须设置为 Terminate，这会停止虚拟机。机密虚拟机不支持实时迁移。

   3

   指定支持机密虚拟机的机器类型。机密虚拟机支持 N2D 和 C2D 系列机器类型。

流程

1. 在文本编辑器中，为现有机器集打开 YAML 文件或创建新机器。

2. 在 providerSpec 字段中编辑以下部分：

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   # ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             shieldedInstanceConfig: 1
               integrityMonitoring: Enabled 2
               secureBoot: Disabled 3
               virtualizedTrustedPlatformModule: Enabled 4
   # ...

   1

   在本节中，指定您想要的 Shielded VM 选项。

   2

   指定是否启用了完整性监控。有效值为 Disabled 或 Enabled。

   注意

   启用完整性监控后，不得禁用虚拟可信平台模块 (vTPM)。

   3

   指定是否启用了 UEFI 安全引导。有效值为 Disabled 或 Enabled。

   4

   指定是否启用了 vTPM。有效值为 Disabled 或 Enabled。

流程

1. 要允许特定服务帐户使用 KMS 密钥，并为服务帐户授予正确的 IAM 角色，请使用您的 KMS 密钥名称、密钥环名称和位置运行以下命令：

   $ gcloud kms keys add-iam-policy-binding <key_name> \
     --keyring <key_ring_name> \
     --location <key_ring_location> \
     --member "serviceAccount:service-<project_number>@compute-system.iam.gserviceaccount.com” \
     --role roles/cloudkms.cryptoKeyEncrypterDecrypter

2. 在机器集 YAML 文件中的 providerSpec 字段中配置加密密钥。例如：

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             disks:
             - type:
               encryptionKey:
                 kmsKey:
                   name: machine-encryption-key 1
                   keyRing: openshift-encrpytion-ring 2
                   location: global 3
                   projectID: openshift-gcp-project 4
                 kmsKeyServiceAccount: openshift-service-account@openshift-gcp-project.iam.gserviceaccount.com 5

   1

   用于磁盘加密的客户管理的加密密钥名称。

   2

   KMS 密钥所属的 KMS 密钥环的名称。

   3

   KMS 密钥环存在的 GCP 位置。

   4

   可选：存在 KMS 密钥环的项目 ID。如果没有设置项目 ID，则会使用创建机器设置的机器设置 projectID。

   5

   可选：用于给定 KMS 密钥加密请求的服务帐户。如果没有设置服务帐户，则使用 Compute Engine 默认服务帐户。

   当使用更新的 providerSpec 对象配置创建新机器后，磁盘加密密钥就会使用 KMS 密钥加密。

1. 修改集群基础架构自定义资源 (CR)。
2. 修改集群 control plane 机器集 CR。
3. 修改或替换计算机器设置 CR。

流程

1. 编辑 providerSpec 字段中的以下行：

   providerSpec:
     value:
   # ...
       flavor: m1.xlarge 1

   1

   指定与现有选择相同的 RHOSP 类别类型。例如，您可以将 m6i.xlarge 更改为 m6i.2xlarge 或 m6i.4xlarge。您可以根据垂直扩展需求选择大或较小的类别。

2. 保存您的更改。

流程

1. 使用 vCenter 控制台查找您要添加到机器的任何标签的标签 ID：

   1. 登录到 vCenter 控制台。
   2. 在 Home 菜单中，点 Tags & Custom Attributes。
   3. 选择您要添加到机器的标签。

   4. 使用您选择的标签的浏览器 URL 来识别标签 ID。

      标签 URL 示例

      https://vcenter.example.com/ui/app/tags/tag/urn:vmomi:InventoryServiceTag:208e713c-cae3-4b7f-918e-4051ca7d1f97:GLOBAL/permissions

      标签 ID 示例

      urn:vmomi:InventoryServiceTag:208e713c-cae3-4b7f-918e-4051ca7d1f97:GLOBAL

2. 在文本编辑器中，为现有机器集打开 YAML 文件或创建新机器。

3. 编辑 providerSpec 字段中的以下行：

   apiVersion: machine.openshift.io/v1
   kind: ControlPlaneMachineSet
   # ...
   spec:
     template:
       spec:
         providerSpec:
           value:
             tagIDs: 1
             - <tag_id_value> 2
   # ...

   1

   指定要添加到此机器集置备的机器上最多 10 个标签列表。

   2

   指定要添加到机器的标签值。例如，urn:vmomi:InventoryServiceTag:208e713c-cae3-4b7f-918e-4051ca7d1f97:GLOBAL.