第 6 章 部署

流程

1. 从私钥和公共证书创建一个新的 TLS secret，其中 fullchain.pem 和 privkey.pem 是您的公共或私有通配符证书。

   示例

   $ oc create secret tls <name>-tls --cert=fullchain.pem --key=privkey.pem -n <my_project>

2. 创建新的 CustomDomain 自定义资源(CR)：

   示例 <company_name>-custom-domain.yaml

   apiVersion: managed.openshift.io/v1alpha1
   kind: CustomDomain
   metadata:
     name: <company_name>
   spec:
     domain: apps.<company_name>.io 1
     scope: External
     loadBalancerType: Classic 2
     certificate:
       name: <name>-tls 3
       namespace: <my_project>
     routeSelector: 4
       matchLabels:
        route: acme
     namespaceSelector: 5
       matchLabels:
        type: sharded

   1

   自定义域。

   2

   自定义域的负载均衡器的类型。如果您使用网络负载均衡器，此类型可以是默认的 classic 或 NLB。

   3

   上一步中创建的 secret。

   4

   可选：过滤由 CustomDomain ingress 提供服务的 Routes 组。如果没有提供值，则默认为没有过滤。

   5

   可选：过滤由 CustomDomain ingress 提供服务的 Namespaces 组。如果没有提供值，则默认为没有过滤。

3. 应用 CR：

   示例

   $ oc apply -f <company_name>-custom-domain.yaml

4. 获取新创建的 CR 的状态：

   $ oc get customdomains

   输出示例

   NAME               ENDPOINT                                                    DOMAIN                       STATUS
   <company_name>     xxrywp.<company_name>.cluster-01.opln.s1.openshiftapps.com  *.apps.<company_name>.io     Ready

5. 使用端点值，向受管 DNS 供应商（如 Route53、Azure DNS 或 Google DNS）添加新的通配符 CNAME 记录。

   示例

   *.apps.<company_name>.io -> xxrywp.<company_name>.cluster-01.opln.s1.openshiftapps.com

6. 创建新应用并公开它：

   示例

   $ oc new-app --docker-image=docker.io/openshift/hello-openshift -n my-project

   $ oc create route <route_name> --service=hello-openshift hello-openshift-tls --hostname hello-openshift-tls-my-project.apps.<company_name>.io -n my-project

   $ oc get route -n my-project

   $ curl https://hello-openshift-tls-my-project.apps.<company_name>.io
   Hello OpenShift!

流程

1. 创建新 secret

   $ oc create secret tls <secret-new> --cert=fullchain.pem --key=privkey.pem -n <my_project>

2. Patch CustomDomain CR

   $ oc patch customdomain <company_name> --type='merge' -p '{"spec":{"certificate":{"name":"<secret-new>"}}}'

3. 删除旧的 secret

   $ oc delete secret <secret-old> -n <my_project>