17.2. 启用集群范围代理

流程

1. 创建包含代理 HTTPS 连接所需的额外 CA 证书的 ConfigMap。

   注意

   如果代理的身份证书由来自 RHCOS 信任捆绑包的颁发机构签名，您可以跳过这一步。

   1. 利用以下内容，创建一个名为 user-ca-bundle.yaml 的文件，并提供 PEM 编码证书的值：

      apiVersion: v1
      data:
        ca-bundle.crt: | 1
          <MY_PEM_ENCODED_CERTS> 2
      kind: ConfigMap
      metadata:
        name: user-ca-bundle 3
        namespace: openshift-config 4

      1

      这个数据键必须命名为 ca-bundle.crt。

      2

      一个或多个 PEM 编码的 X.509 证书，用来为代理的身份证书签名。

      3

      要从 Proxy 对象引用的 ConfigMap 名称。

      4

      ConfigMap 必须在 openshift-config 命名空间中。

   2. 从此文件创建 ConfigMap：

      $ oc create -f user-ca-bundle.yaml

2. 使用 oc edit 命令修改 Proxy 对象：

   $ oc edit proxy/cluster

3. 为代理配置所需的字段：

   apiVersion: config.openshift.io/v1
   kind: Proxy
   metadata:
     name: cluster
   spec:
     httpProxy: http://<username>:<pswd>@<ip>:<port> 1
     httpsProxy: http://<username>:<pswd>@<ip>:<port> 2
     noProxy: example.com 3
     readinessEndpoints:
     - http://www.google.com 4
     - https://www.google.com
     trustedCA:
       name: user-ca-bundle 5

   1

   用于创建集群外 HTTP 连接的代理 URL。URL 必须是 http。

   2

   用于创建集群外 HTTPS 连接的代理 URL。

   3

   要排除代理的目标域名、域、IP 地址或其他网络 CIDR 的逗号分隔列表。

   在域前面加 . 来仅匹配子域。例如： .y.com 匹配 x.y.com，但不匹配 y.com。使用 * 可对所有目的地绕过所有代理。如果您扩展了未包含在安装配置中 networking.machineNetwork[].cidr 字段定义的 worker，您必须将它们添加到此列表中，以防止连接问题。

   如果未设置 httpProxy 或 httpsProxy 字段，则此字段将被忽略。

   4

   将 httpProxy 和 httpsProxy 值写进状态之前，执行就绪度检查时要使用的一个或多个集群外部 URL。

   5

   引用 openshift-config 命名空间中的 ConfigMap，其包含代理 HTTPS 连接所需的额外 CA 证书。注意 ConfigMap 必须已经存在，然后才能在这里引用它。此字段是必需的，除非代理的身份证书由来自 RHCOS 信任捆绑包的颁发机构签名。

4. 保存文件以使改变生效。