6.3. 为 GCP 手动创建 IAM

流程

1. 切换到包含安装程序的目录并创建 install-config.yaml 文件：

   $ openshift-install create install-config --dir <installation_directory>

   其中 <installation_directory> 是安装程序在其中创建文件的目录。

2. 编辑 install-config.yaml 配置文件，把其中的 credentialsMode 参数设置为Manual。

   示例 install-config.yaml 配置文件

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 1
   compute:
   - architecture: amd64
     hyperthreading: Enabled
   ...

   1

   添加这一行将 credentialsMode 参数设置为 Manual。

3. 要生成清单，请在包含安装程序的目录中运行以下命令：

   $ openshift-install create manifests --dir <installation_directory>

4. 从包含安装程序的目录中，获取 openshift-install 二进制文件要使用的 OpenShift Container Platform 发行镜像详情：

   $ openshift-install version

   输出示例

   release image quay.io/openshift-release-dev/ocp-release:4.y.z-x86_64

5. 针对您要部署到的云，找到此发行版本镜像中的所有 CredentialsRequests 对象：

   $ oc adm release extract quay.io/openshift-release-dev/ocp-release:4.y.z-x86_64 --credentials-requests --cloud=gcp

   此命令为每个 CredentialsRequest 对象创建一个 YAML 文件。

   CredentialsRequest 对象示例

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     labels:
       controller-tools.k8s.io: "1.0"
     name: openshift-image-registry-gcs
     namespace: openshift-cloud-credential-operator
   spec:
     secretRef:
       name: installer-cloud-credentials
       namespace: openshift-image-registry
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: GCPProviderSpec
       predefinedRoles:
       - roles/storage.admin
       - roles/iam.serviceAccountUser
       skipServiceCheck: true

6. 在之前生成的 openshift-install 清单目录中为 secret 创建 YAML 文件。secret 必须使用在 spec.secretRef 中为每个 credentialsRequest 定义的命名空间和 secret 名称存储 。secret 数据的格式因云供应商而异。

7. 从包含安装程序的目录中，开始创建集群：

   $ openshift-install create cluster --dir <installation_directory>

   重要

   在升级使用手动维护凭证的集群前，必须确保 CCO 处于可升级状态。详情请参阅您的云供应商的安装内容"使用手动维护凭证对集群进行升级"部分。

流程

1. 提取并检查新版本的 CredentialsRequest 自定义资源。

   云供应商安装内容的"手动创建 IAM"部分解释了如何获取和使用您的云所需的凭证。

2. 更新集群中手动维护的凭证：

   • 为新发行镜像添加的任何 CredentialsRequest 自定义资源创建新 secret。
   • 如果存储在 secret 中的任何现有凭证的 CredentialsRequest 自定义资源更改了其权限要求，请根据需要更新权限。

3. 当所有 secret 对于新发行版本都正确时，表示集群已准备好升级：

   1. 以具有 cluster-admin 角色的用户身份登录到 OpenShift Container Platform CLI。

   2. 编辑 CloudCredential 资源，以在 metadata 字段中添加 upgradeable-to 注解：

      $ oc edit cloudcredential cluster

      要添加的文本

      ...
        metadata:
          annotations:
            cloudcredential.openshift.io/upgradeable-to: <version_number>
      ...

      其中 <version_number> 是您要升级到的版本，格式为 x.y.z。例如，OpenShift Container Platform 4.8.2 代表 OpenShift Container Platform 4.8.2。

      添加可升级状态进行更改的注解后，可能需要几分钟时间。

4. 验证 CCO 是否可升级：

   1. 在 Web 控制台的 Administrator 视角中，导航至 Administration Cluster Settings。
   2. 要查看 CCO 状态详情，请点 Cluster Operators 列表中的 cloud-credential。
   3. 如果 Conditions 部分中的 Upgradeable 状态为 False，请验证 upgradeable-to 注解没有拼写错误。