3.2. 在 Azure 上部署工作负载

流程

1. 检索 Azure 订阅 ID：

   $ AZURE_SUBSCRIPTION_ID=$(az account list --query "[?isDefault].id" -o tsv) && echo "AZURE_SUBSCRIPTION_ID: \"$AZURE_SUBSCRIPTION_ID\""

2. 生成 RBAC 内容。这会生成客户端 ID、客户端 secret 和租户 ID：

   $ az ad sp create-for-rbac --role Contributor --scopes /subscriptions/$AZURE_SUBSCRIPTION_ID --query "{ client_id: appId, client_secret: password, tenant_id: tenant }

   输出示例：

   {
     "client_id": `AZURE_CLIENT_ID`,
     "client_secret": `AZURE_CLIENT_SECRET`,
     "tenant_id": `AZURE_TENANT_ID`
   }

3. 记录要在 secret 对象中使用的 RBAC 输出。
4. 在 OpenShift Container Platform web 控制台中导航至 Operators Installed Operators。
5. 点 OpenShift 沙盒容器 Operator 标题。
6. 单击右上角的 Import 图标(+)。

7. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     AZURE_CLIENT_ID: "<azure_client_id>" 1
     AZURE_CLIENT_SECRET: "<azure_client_secret>" 2
     AZURE_TENANT_ID: "<azure_tenant_id>" 3
     AZURE_SUBSCRIPTION_ID: "<azure_subscription_id>" 4

   1

   指定 AZURE_CLIENT_ID 值。

   2

   指定 AZURE_CLIENT_SECRET 值。

   3

   指定 AZURE_TENANT_ID 值。

   4

   指定 AZURE_SUBSCRIPTION_ID 值。

8. 点 Save 应用更改。

流程

1. 从 Azure 实例获取以下值：

   1. 检索并记录 Azure VNet 名称：

      $ AZURE_VNET_NAME=$(az network vnet list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Name:name}" --output tsv)

      这个值用于检索 Azure 子网 ID。

   2. 检索并记录 Azure 子网 ID：

      $ AZURE_SUBNET_ID=$(az network vnet subnet list --resource-group ${AZURE_RESOURCE_GROUP} --vnet-name $AZURE_VNET_NAME --query "[].{Id:id} | [? contains(Id, 'worker')]" --output tsv) && echo "AZURE_SUBNET_ID: \"$AZURE_SUBNET_ID\""

   3. 检索并记录 Azure 网络安全组(NSG) ID：

      $ AZURE_NSG_ID=$(az network nsg list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Id:id}" --output tsv) && echo "AZURE_NSG_ID: \"$AZURE_NSG_ID\""

   4. 检索并记录 Azure 资源组：

      $ AZURE_RESOURCE_GROUP=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.azure.resourceGroupName}') && echo "AZURE_RESOURCE_GROUP: \"$AZURE_RESOURCE_GROUP\""

   5. 检索并记录 Azure 区域：

      $ AZURE_REGION=$(az group show --resource-group ${AZURE_RESOURCE_GROUP} --query "{Location:location}" --output tsv) && echo "AZURE_REGION: \"$AZURE_REGION\""

2. 在 OpenShift Container Platform web 控制台中导航至 Operators Installed Operators。
3. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
4. 单击右上角的 Import 图标 (+)。

5. 在 Import YAML 窗口中，粘贴以下 YAML 清单：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "azure"
     VXLAN_PORT: "9000"
     AZURE_INSTANCE_SIZE: "Standard_B2als_v2" 1
     AZURE_INSTANCE_SIZES: "Standard_B2als_v2,Standard_D2as_v5,Standard_D4as_v5,Standard_D2ads_v5" 2
     AZURE_SUBNET_ID: "<azure_subnet_id>" 3
     AZURE_NSG_ID: "<azure_nsg_id>" 4
     PROXY_TIMEOUT: "5m"
     DISABLECVM: "true"
     AZURE_IMAGE_ID: "<azure_image_id>" 5
     AZURE_REGION: "<azure_region>" 6
     AZURE_RESOURCE_GROUP: "<azure_resource_group>" 7

   1

   定义工作负载中没有定义类型时使用的默认实例大小。

   2

   列出创建 pod 时可以指定的所有实例大小。这可让您为大型工作负载需要较少的内存和更小的实例大小的工作负载定义较小的实例大小。

   3

   指定您检索的 AZURE_SUBNET_ID 值。

   4

   指定您检索的 AZURE_NSG_ID 值。

   5

   可选：默认情况下，这个值会在运行 KataConfig CR 时填充，使用基于集群凭证的 Azure 镜像 ID。如果创建自己的 Azure 镜像，请指定正确的镜像 ID。

   6

   指定您检索到的 AZURE_REGION 值。

   7

   指定您检索的 AZURE_RESOURCE_GROUP 值。

6. 点 Save 应用更改。

   为您的云供应商创建一个配置映射。

流程

1. 登录您的 OpenShift Container Platform 集群。

2. 运行以下命令来生成 SSH 密钥对：

   $ ssh-keygen -f ./id_rsa -N ""

3. 在 OpenShift Container Platform Web 控制台中导航至 Workloads Secrets。
4. 在 Secrets 页面中，验证您是否位于 openshift-sandboxed-containers-operator 项目中。
5. 点 Create 并选择 Key/value secret。
6. 在 Secret name 字段中，输入 ssh-key-secret。
7. 在 Key 字段中，输入 id_rsa.pub。
8. 在 Value 字段中，粘贴您的公共 SSH 密钥。

9. 点 Create。

   SSH 密钥 secret 已创建。

10. 删除您创建的 SSH 密钥：

    $ shred -remove id_rsa.pub id_rsa

流程

1. 在 OpenShift Container Platform web 控制台中导航至 Operators Installed Operators。
2. 选择 OpenShift 沙盒容器 Operator。
3. 在 KataConfig 选项卡中，点 Create KataConfig。

4. 输入以下详情：

   • Name: 可选：默认名称为 example-kataconfig。
   • 标签 ：可选：输入任何相关的、识别到 KataConfig 资源的属性。每个标签代表一个键值对。
   • enablePeerPods ：为公共云、IBM Z® 和 IBM® LinuxONE 部署选择。

   • KataConfigPoolSelector。可选： 要在所选节点上安装 kata-remote，请在所选节点上安装标签的匹配表达式：

     1. 展开 kataConfigPoolSelector 区域。
     2. 在 kataConfigPoolSelector 区域中，展开 matchExpressions。这是标签选择器要求列表。
     3. 点 Add matchExpressions。
     4. 在 Key 字段中，输入选择器应用到的标签键。
     5. 在 Operator 字段中，输入键与标签值的关系。有效的运算符为 In、NotIn、Exists 和 DoesNotExist。
     6. 展开 Values 区域，然后点 Add value。
     7. 在 Value 字段中，为 key 标签值输入 true 或 false。
   • loglevel ：定义使用 kata-remote 运行时类为节点检索的日志数据级别。

5. 点 Create。KataConfig CR 会被创建并在 worker 节点上安装 kata-remote 运行时类。

   在验证安装前，等待 kata-remote 安装完成，以及 worker 节点重新引导。

验证

1. 在 KataConfig 选项卡中，点 KataConfig CR 查看其详情。

2. 点 YAML 选项卡查看 status 小节。

   status 小节包含 conditions 和 kataNodes 键。status.kataNodes 的值是一个节点数组，每个节点都列出处于 kata-remote 安装的特定状态的节点。每次有更新时都会出现一条消息。

3. 点 Reload 以刷新 YAML。

   当 status.kataNodes 数组中的所有 worker 都会显示 installed 和 conditions.InProgress: False 时，集群中会安装 kata-remote。

流程

1. 运行以下命令检查当前的限制：

   $ oc get peerpodconfig peerpodconfig-openshift -n openshift-sandboxed-containers-operator \
   -o jsonpath='{.spec.limit}{"\n"}'

2. 运行以下命令修改 peerpodConfig CR 的 limit 属性：

   $ oc patch peerpodconfig peerpodconfig-openshift -n openshift-sandboxed-containers-operator \
   --type merge --patch '{"spec":{"limit":"<value>"}}' 1

   1

   将 <value> 替换为您要定义的限制。

流程

1. 在 OpenShift Container Platform Web 控制台中，导航到 Workloads workload type，如 Pods。
2. 在工作负载类型页面中，点对象查看其详情。
3. 点 YAML 标签。

4. 将 spec.runtimeClassName: kata-remote 添加到每个 pod 模板工作负载对象的清单中，如下例所示：

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata-remote
   # ...

5. 向 pod 模板对象添加注解，以使用手动定义的实例大小或自动实例大小：

   • 要使用手动定义的实例大小，请添加以下注解：

     apiVersion: v1
     kind: <object>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.machine_type: Standard_B2als_v2 1
     # ...

     1

     指定配置映射中定义的实例大小。

   • 要使用自动实例大小，请添加以下注解：

     apiVersion: v1
     kind: <Pod>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.default_vcpus: <vcpus>
         io.katacontainers.config.hypervisor.default_memory: <memory>
     # ...

     定义可供工作负载使用的内存量。工作负载将根据可用内存量在自动实例大小上运行。

6. 点 Save 应用更改。

   OpenShift Container Platform 创建工作负载对象并开始调度它。

流程

1. 检索 Azure 订阅 ID：

   $ AZURE_SUBSCRIPTION_ID=$(az account list --query "[?isDefault].id" -o tsv) && echo "AZURE_SUBSCRIPTION_ID: \"$AZURE_SUBSCRIPTION_ID\""

2. 生成 RBAC 内容。这会生成客户端 ID、客户端 secret 和租户 ID：

   $ az ad sp create-for-rbac --role Contributor --scopes /subscriptions/$AZURE_SUBSCRIPTION_ID --query "{ client_id: appId, client_secret: password, tenant_id: tenant }

   输出示例：

   {
     "client_id": `AZURE_CLIENT_ID`,
     "client_secret": `AZURE_CLIENT_SECRET`,
     "tenant_id": `AZURE_TENANT_ID`
   }

3. 记录要在 secret 对象中使用的 RBAC 输出。

4. 根据以下示例创建 peer-pods-secret.yaml 清单文件：

   apiVersion: v1
   kind: Secret
   metadata:
     name: peer-pods-secret
     namespace: openshift-sandboxed-containers-operator
   type: Opaque
   stringData:
     AZURE_CLIENT_ID: "<azure_client_id>" 1
     AZURE_CLIENT_SECRET: "<azure_client_secret>" 2
     AZURE_TENANT_ID: "<azure_tenant_id>" 3
     AZURE_SUBSCRIPTION_ID: "<azure_subscription_id>" 4

   1

   指定 AZURE_CLIENT_ID 值。

   2

   指定 AZURE_CLIENT_SECRET 值。

   3

   指定 AZURE_TENANT_ID 值。

   4

   指定 AZURE_SUBSCRIPTION_ID 值。

5. 通过应用清单来创建 secret 对象：

   $ oc apply -f peer-pods-secret.yaml

流程

1. 从 Azure 实例获取以下值：

   1. 检索并记录 Azure VNet 名称：

      $ AZURE_VNET_NAME=$(az network vnet list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Name:name}" --output tsv)

      这个值用于检索 Azure 子网 ID。

   2. 检索并记录 Azure 子网 ID：

      $ AZURE_SUBNET_ID=$(az network vnet subnet list --resource-group ${AZURE_RESOURCE_GROUP} --vnet-name $AZURE_VNET_NAME --query "[].{Id:id} | [? contains(Id, 'worker')]" --output tsv) && echo "AZURE_SUBNET_ID: \"$AZURE_SUBNET_ID\""

   3. 检索并记录 Azure 网络安全组(NSG) ID：

      $ AZURE_NSG_ID=$(az network nsg list --resource-group ${AZURE_RESOURCE_GROUP} --query "[].{Id:id}" --output tsv) && echo "AZURE_NSG_ID: \"$AZURE_NSG_ID\""

   4. 检索并记录 Azure 资源组：

      $ AZURE_RESOURCE_GROUP=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.azure.resourceGroupName}') && echo "AZURE_RESOURCE_GROUP: \"$AZURE_RESOURCE_GROUP\""

   5. 检索并记录 Azure 区域：

      $ AZURE_REGION=$(az group show --resource-group ${AZURE_RESOURCE_GROUP} --query "{Location:location}" --output tsv) && echo "AZURE_REGION: \"$AZURE_REGION\""

2. 根据以下示例创建 peer-pods-cm.yaml 清单：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: peer-pods-cm
     namespace: openshift-sandboxed-containers-operator
   data:
     CLOUD_PROVIDER: "azure"
     VXLAN_PORT: "9000"
     AZURE_INSTANCE_SIZE: "Standard_B2als_v2" 1
     AZURE_INSTANCE_SIZES: "Standard_B2als_v2,Standard_D2as_v5,Standard_D4as_v5,Standard_D2ads_v5" 2
     AZURE_SUBNET_ID: "<azure_subnet_id>" 3
     AZURE_NSG_ID: "<azure_nsg_id>" 4
     PROXY_TIMEOUT: "5m"
     DISABLECVM: "true"
     AZURE_IMAGE_ID: "<azure_image_id>" 5
     AZURE_REGION: "<azure_region>" 6
     AZURE_RESOURCE_GROUP: "<azure_resource_group>" 7

   1

   定义工作负载中没有定义类型时使用的默认实例大小。

   2

   列出创建 pod 时可以指定的所有实例大小。这可让您为大型工作负载需要较少的内存和更小的实例大小的工作负载定义较小的实例大小。

   3

   指定您检索的 AZURE_SUBNET_ID 值。

   4

   指定您检索的 AZURE_NSG_ID 值。

   5

   可选：默认情况下，这个值会在运行 KataConfig CR 时填充，使用基于集群凭证的 Azure 镜像 ID。如果创建自己的 Azure 镜像，请指定正确的镜像 ID。

   6

   指定您检索到的 AZURE_REGION 值。

   7

   指定您检索的 AZURE_RESOURCE_GROUP 值。

3. 应用清单以创建配置映射：

   $ oc apply -f peer-pods-cm.yaml

   为您的云供应商创建一个配置映射。

流程

1. 登录您的 OpenShift Container Platform 集群。

2. 运行以下命令来生成 SSH 密钥对：

   $ ssh-keygen -f ./id_rsa -N ""

3. 运行以下命令来创建 Secret 对象：

   $ oc create secret generic ssh-key-secret \
       -n openshift-sandboxed-containers-operator \
       --from-file=id_rsa.pub=./id_rsa.pub \
       --from-file=id_rsa=./id_rsa

   SSH 密钥 secret 已创建。

4. 删除您创建的 SSH 密钥：

   $ shred -remove id_rsa.pub id_rsa

流程

1. 根据以下示例创建 cluster-kataconfig.yaml 清单文件：

   apiVersion: kataconfiguration.openshift.io/v1
   kind: KataConfig
   metadata:
     name: cluster-kataconfig
   spec:
     enablePeerPods: true
     logLevel: info

2. 可选： 要在所选节点上安装 kata-remote，请根据以下示例指定节点标签：

   apiVersion: kataconfiguration.openshift.io/v1
   kind: KataConfig
   metadata:
     name: cluster-kataconfig
   spec:
     kataConfigPoolSelector:
       matchLabels:
         <label_key>: '<label_value>' 1
   # ...

   1

   指定所选节点的标签。

3. 创建 KataConfig CR：

   $ oc create -f cluster-kataconfig.yaml

   新的 KataConfig CR 被创建，并在 worker 节点上作为运行时类安装 kata-remote。

   在验证安装前，等待 kata-remote 安装完成，以及 worker 节点重新引导。

流程

1. 运行以下命令检查当前的限制：

   $ oc get peerpodconfig peerpodconfig-openshift -n openshift-sandboxed-containers-operator \
   -o jsonpath='{.spec.limit}{"\n"}'

2. 运行以下命令修改 peerpodConfig CR 的 limit 属性：

   $ oc patch peerpodconfig peerpodconfig-openshift -n openshift-sandboxed-containers-operator \
   --type merge --patch '{"spec":{"limit":"<value>"}}' 1

   1

   将 <value> 替换为您要定义的限制。

流程

1. 将 spec.runtimeClassName: kata-remote 添加到每个 pod 模板工作负载对象的清单中，如下例所示：

   apiVersion: v1
   kind: <object>
   # ...
   spec:
     runtimeClassName: kata-remote
   # ...

2. 向 pod 模板对象添加注解，以使用手动定义的实例大小或自动实例大小：

   • 要使用手动定义的实例大小，请添加以下注解：

     apiVersion: v1
     kind: <object>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.machine_type: Standard_B2als_v2 1
     # ...

     1

     指定配置映射中定义的实例大小。

   • 要使用自动实例大小，请添加以下注解：

     apiVersion: v1
     kind: <Pod>
     metadata:
       annotations:
         io.katacontainers.config.hypervisor.default_vcpus: <vcpus>
         io.katacontainers.config.hypervisor.default_memory: <memory>
     # ...

     定义可供工作负载使用的内存量。工作负载将根据可用内存量在自动实例大小上运行。

3. 运行以下命令，将更改应用到工作负载对象：

   $ oc apply -f <object.yaml>

   OpenShift Container Platform 创建工作负载对象并开始调度它。