7.3. 为 GCP 手动创建 IAM

流程

1. 运行以下命令，切换到包含安装程序的目录并创建 install-config.yaml 文件：

   $ openshift-install create install-config --dir <installation_directory>

   其中 <installation_directory> 是安装程序在其中创建文件的目录。

2. 编辑 install-config.yaml 配置文件，使其包含将 credentialsMode 参数设置为 Manual。

   install-config.yaml 配置文件示例

   apiVersion: v1
   baseDomain: cluster1.example.com
   credentialsMode: Manual 1
   compute:
   - architecture: amd64
     hyperthreading: Enabled
   ...

   1

   添加这一行将 credentialsMode 参数设置为 Manual。

3. 要生成清单，请在包含安装程序的目录中运行以下命令：

   $ openshift-install create manifests --dir <installation_directory>

   其中 <installation_directory> 是安装程序在其中创建文件的目录。

4. 在包含安装程序的目录中，运行以下命令来获取构建 openshift-install 二进制文件的 OpenShift Container Platform 发行镜像的详情：

   $ openshift-install version

   输出示例

   release image quay.io/openshift-release-dev/ocp-release:4.y.z-x86_64

5. 运行以下命令，找到此发行版本镜像中的所有 CredentialsRequest 对象：

   $ oc adm release extract quay.io/openshift-release-dev/ocp-release:4.y.z-x86_64 \
     --credentials-requests \
     --cloud=gcp

   此命令为每个 CredentialsRequest 对象创建一个 YAML 文件。

   CredentialsRequest 对象示例

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component-credentials-request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: GCPProviderSpec
       predefinedRoles:
       - roles/storage.admin
       - roles/iam.serviceAccountUser
       skipServiceCheck: true
     ...

6. 在之前生成的 openshift-install 清单目录中为 secret 创建 YAML 文件。secret 必须使用在 spec.secretRef 中为每个 CredentialsRequest 定义的命名空间和 secret 名称存储。

   带有 secret 的 CredentialsRequest 对象示例

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: <component-credentials-request>
     namespace: openshift-cloud-credential-operator
     ...
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
         ...
     secretRef:
       name: <component-secret>
       namespace: <component-namespace>
     ...

   Secret 对象示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: <component-secret>
     namespace: <component-namespace>
   data:
     service_account.json: <base64_encoded_gcp_service_account_file>

流程

1. 提取并检查 新版本的 CredentialsRequest 自定义资源。

   详情请参阅您的云供应商的“手动创建 IAM”部分来了解如何获取和使用您的云所需的凭证。

2. 更新集群中手动维护的凭证：

   • 为新发行镜像添加的任何 CredentialsRequest 自定义资源创建新 secret。
   • 如果存储在 secret 中的任何现有凭证的 CredentialsRequest 自定义资源更改了其权限要求，请根据需要更新权限。

3. 当所有 secret 都对新发行版本正确时，表示集群已准备好升级：

   1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI。

   2. 编辑 CloudCredential 资源，以在 metadata 字段中添加 可升级至 注解：

      $ oc edit cloudcredential cluster

      要添加的文本

      ...
        metadata:
          annotations:
            cloudcredential.openshift.io/upgradeable-to: <version_number>
      ...

      其中 <version_number> 是您要升级到的版本，格式为 x.y.z。例如，OpenShift Container Platform 4.8.2 代表 OpenShift Container Platform 4.8.2。

      添加可升级状态进行更改的注解后，可能需要几分钟时间。

4. 验证 CCO 是否可升级：

   1. 在 Web 控制台的 Administrator 视角中，导航到 Administration Cluster Settings。
   2. 要查看 CCO 状态详情，请点击 Cluster Operators 列表中的 cloud-credential。
   3. 如果 Conditions 部分中的 Upgradeable 状态为 False，请验证 upgradeable-to 注解没有拼写错误。