12.2. 启用集群范围代理

流程

1. 创建包含代理 HTTPS 连接所需的额外 CA 证书的 ConfigMap。

   注意

   如果代理的身份证书由来自 RHCOS 信任捆绑包的颁发机构签名，您可以跳过这一步。

   1. 利用以下内容，创建一个名为 user-ca-bundle.yaml 的文件，并提供 PEM 编码证书的值：

      apiVersion: v1
      data:
        ca-bundle.crt: | 1
          <MY_PEM_ENCODED_CERTS> 2
      kind: ConfigMap
      metadata:
        name: user-ca-bundle 3
        namespace: openshift-config 4

      1

      这个数据键必须命名为 ca-bundle.crt。

      2

      一个或多个 PEM 编码的 X.509 证书，用来为代理的身份证书签名。

      3

      要从 Proxy 对象引用的 ConfigMap 名称。

      4

      ConfigMap 必须在 openshift-config 命名空间中。

   2. 从此文件创建 ConfigMap：

      $ oc create -f user-ca-bundle.yaml

2. 使用 oc edit 命令修改 Proxy 对象：

   $ oc edit proxy/cluster

3. 为代理配置所需的字段：

   apiVersion: config.openshift.io/v1
   kind: Proxy
   metadata:
     name: cluster
   spec:
     httpProxy: http://<username>:<pswd>@<ip>:<port> 1
     httpsProxy: http://<username>:<pswd>@<ip>:<port> 2
     noProxy: example.com 3
     readinessEndpoints:
     - http://www.google.com 4
     - https://www.google.com
     trustedCA:
       name: user-ca-bundle 5

   1

   用于创建集群外 HTTP 连接的代理 URL。URL 必须是 http。

   2

   用于创建集群外 HTTPS 连接的代理 URL。如果没有指定，则 httpProxy 会同时用于 HTTP 和 HTTPS 连接。URL 方案必须是 http；目前不支持 https。

   3

   要排除代理的目标域名、域、IP 地址或其他网络 CIDR 的逗号分隔列表。域之前加上前缀 . 可包含该域的所有子域。使用 * 可对所有目的地绕过所有代理。请注意，如果您要纵向扩展未包含在安装配置的 networking.machineCIDR 中的 worker，您必须将它们添加到此列表中，以防止连接问题。

   4

   将 httpProxy 和 httpsProxy 值写进状态之前，执行就绪度检查时要使用的一个或多个集群外部 URL。

   5

   引用 openshift-config 命名空间中的 ConfigMap，其包含代理 HTTPS 连接所需的额外 CA 证书。注意 ConfigMap 必须已经存在，然后才能在这里引用它。此字段是必需的，除非代理的身份证书由来自 RHCOS 信任捆绑包的颁发机构签名。

4. 保存文件以应用更改。