4.3. 配置无服务器应用程序

流程

1. 要启用 Knative Serving 使用 PVC 并写入它们，请修改 KnativeServing 自定义资源 (CR) 使其包含以下 YAML：

   启用具有写入访问的 PVC

   ...
   spec:
     config:
       features:
         "kubernetes.podspec-persistent-volume-claim": enabled
         "kubernetes.podspec-persistent-volume-write": enabled
   ...

   • kubernetes.podspec-persistent-volume-claim 扩展控制持久性卷 (PV) 是否可以用于 Knative Serving。
   • kubernetes.podspec-persistent-volume-write 扩展控制 Knative Serving 是否使用写入访问权限。

2. 要声明 PV，请修改您的服务使其包含 PV 配置。例如，您可能具有以下配置的持久性卷声明：

   注意

   使用支持您请求的访问模式的存储类。例如，您可以使用 ReadWriteMany 访问模式的 ocs-storagecluster-cephfs 类。

   PersistentVolumeClaim 配置

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: example-pv-claim
     namespace: my-ns
   spec:
     accessModes:
       - ReadWriteMany
     storageClassName: ocs-storagecluster-cephfs
     resources:
       requests:
         storage: 1Gi

   在这种情况下，若要声明具有写访问权限的 PV，请修改服务，如下所示：

   Knative 服务 PVC 配置

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     namespace: my-ns
   ...
   spec:
    template:
      spec:
        containers:
            ...
            volumeMounts: 1
              - mountPath: /data
                name: mydata
                readOnly: false
        volumes:
          - name: mydata
            persistentVolumeClaim: 2
              claimName: example-pv-claim
              readOnly: false 3

   1

   卷挂载规格。

   2

   持久性卷声明规格。

   3

   启用只读访问的标记。

   注意

   要在 Knative 服务中成功使用持久性存储，您需要额外的配置，如 Knative 容器用户的用户权限。

流程

1. 在 spec 中创建一个包含 internal-encryption: "true" 字段的 Knative 服务：

   ...
   spec:
     config:
       network:
         internal-encryption: "true"
   ...

2. 重启 knative-serving 命名空间中的 activator pod 来加载证书：

   $ oc delete pod -n knative-serving --selector app=activator

流程

1. 将 knative.openshift.io/system-namespace=true 标签添加到需要访问应用程序的每个 Knative 系统命名空间：

   1. 标记 knative-serving 命名空间：

      $ oc label namespace knative-serving knative.openshift.io/system-namespace=true

   2. 标记 knative-serving-ingress 命名空间：

      $ oc label namespace knative-serving-ingress knative.openshift.io/system-namespace=true

   3. 标记 knative-eventing 命名空间：

      $ oc label namespace knative-eventing knative.openshift.io/system-namespace=true

   4. 标记 knative-kafka 命名空间：

      $ oc label namespace knative-kafka knative.openshift.io/system-namespace=true

2. 在应用程序命名空间中创建一个 NetworkPolicy 对象，允许从带有 knative.openshift.io/system-namespace 标签的命名空间访问：

   NetworkPolicy 对象示例

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: <network_policy_name> 1
     namespace: <namespace> 2
   spec:
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             knative.openshift.io/system-namespace: "true"
     podSelector: {}
     policyTypes:
     - Ingress

   1

   为您的网络策略提供名称。

   2

   应用程序所在的命名空间。