3.2.2. 手动创建 IAM

流程

1. 要生成清单，请在包含安装程序的目录中运行以下命令：

   $ openshift-install create manifests --dir <installation_directory> 1

   1

   对于 <installation_directory>，请指定用于保存安装程序所创建的文件的目录名称。

2. 在 manifests 目录中插入配置映射，以便 Cloud Credential Operator 放置到手动模式中：

   $ cat <<EOF > mycluster/manifests/cco-configmap.yaml
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: cloud-credential-operator-config
     namespace: openshift-cloud-credential-operator
     annotations:
       release.openshift.io/create-only: "true"
   data:
     disabled: "true"
   EOF

3. 删除使用本地云凭证创建的 admin 凭证 secret。这会防止您的 admin 凭证存储在集群中：

   $ rm mycluster/openshift/99_cloud-creds-secret.yaml

4. 从包含安装程序的目录中，获取 openshift-install 二进制文件要使用的 OpenShift Container Platform 发行镜像详情：

   $ openshift-install version

   输出示例

   release image quay.io/openshift-release-dev/ocp-release:4.y.z-x86_64

5. 针对您要部署到的云，找到此发行版本镜像中的所有 CredentialsRequests 对象：

   $ oc adm release extract quay.io/openshift-release-dev/ocp-release:4.y.z-x86_64 --credentials-requests --cloud=azure

   这会显示每个请求的详情。

   CredentialsRequest 对象示例

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     labels:
       controller-tools.k8s.io: "1.0"
     name: openshift-image-registry-azure
     namespace: openshift-cloud-credential-operator
   spec:
     secretRef:
       name: installer-cloud-credentials
       namespace: openshift-image-registry
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: AzureProviderSpec
       roleBindings:
       - role: Contributor

6. 在之前生成的 openshift-install 清单目录中为 secret 创建 YAML 文件。secret 必须使用在 spec.secretRef 中为每个 credentialsRequest 定义的命名空间和 secret 名称存储 。secret 数据的格式因云供应商而异。

7. 从包含安装程序的目录中，开始创建集群：

   $ openshift-install create cluster --dir <installation_directory>

   重要

   在升级使用手动维护凭证的集群前，必须确保 CCO 处于可升级状态。详情请参阅您的云供应商的对手动维护凭证的集群进行升级部分的内容。