安装 3scale

1. 使用以下默认权限创建 Identity and Access Management(IAM)策略：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "s3:ListAllMyBuckets",
               "Resource": "arn:aws:s3:::*"
           },
           {
               "Effect": "Allow",
               "Action": "s3:*",
               "Resource": [
                   "arn:aws:s3:::targetBucketName",
                   "arn:aws:s3:::targetBucketName/*"
               ]
           }
       ]
   }

2. 使用以下规则创建 CORS 配置 ：

   <?xml version="1.0" encoding="UTF-8"?>
   <CORSConfiguration xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
   <CORSRule>
       <AllowedOrigin>https://*</AllowedOrigin>
       <AllowedMethod>GET</AllowedMethod>
   </CORSRule>
   </CORSConfiguration>

流程

1. 点 Operators > Installed Operators。

   1. 从 Installed Operators 列表中，点 3scale Operator。
2. 点 API Manager 选项卡。
3. 点 Create APIManager。

4. 清除示例内容，并将以下 YAML 定义添加到编辑器中，然后单击 Create。

   • 在 3scale 2.8 之前，您可以通过将 HighAvailability 字段设置为 true 来配置自动添加副本。从 3scale 2.8 开始，对副本的添加会通过 APIManager CR 中的 replicas 字段来控制，如下例所示。

     注意

     wildcardDomain 参数可以是您想要将该解析为 IP 地址的任何所需名称，而 IP 地址是一个有效的 DNS 域。

   • 具有最低要求的 APIManager CR：

     apiVersion: apps.3scale.net/v1alpha1
     kind: APIManager
     metadata:
       name: apimanager-sample
     spec:
       wildcardDomain: example.com

   • 配置副本的 APIManager CR：

     apiVersion: apps.3scale.net/v1alpha1
     kind: APIManager
     metadata:
       name: apimanager-sample
     spec:
       system:
         appSpec:
           replicas: 1
         sidekiqSpec:
           replicas: 1
       zync:
         appSpec:
           replicas: 1
         queSpec:
           replicas: 1
       backend:
         cronSpec:
           replicas: 1
         listenerSpec:
           replicas: 1
         workerSpec:
           replicas: 1
       apicast:
         productionSpec:
           replicas: 1
         stagingSpec:
           replicas: 1
       wildcardDomain: example.com

1. 运行以下命令来获取 Admin Portal 凭证：

   oc get secret system-seed -o json | jq -r .data.ADMIN_USER | base64 -d
   oc get secret system-seed -o json | jq -r .data.ADMIN_PASSWORD | base64 -d

   1. 以 Admin Portal 管理员身份登录，以验证这些凭据是否正常工作。

2. 运行以下命令来获取主管理门户凭证：

   oc get secret system-seed -o json | jq -r .data.MASTER_USER | base64 -d
   oc get secret system-seed -o json | jq -r .data.MASTER_PASSWORD | base64 -d

   1. 以 Master Admin Portal 管理员身份登录，以验证这些凭据是否正常工作。

流程

1. 点 Operators > Installed Operators。
2. 从 Installed Operators 列表中，单击 3scale API Management。
3. 点 Subscription 标签页。在 Subscription Details 标题下，您将看到子标题 Approval。
4. 点 Approval 下的链接。默认情况下，链接设置为 Automatic。系统将弹出一个标题为 Change Update Approval Strategy 的模态。
5. 选择您首选的选项：自动（默认） 或 Manual，然后单击 Save。

流程

1. 编写用于定义您要注入的自定义环境的 Lua 代码。例如，以下 env1.lua 文件显示了 3scale 操作器为所有服务加载的自定义日志策略。

   local cjson = require('cjson')
   local PolicyChain = require('apicast.policy_chain')
   local policy_chain = context.policy_chain
   
   local logging_policy_config = cjson.decode([[
   {
     "enable_access_logs": false,
     "custom_logging": "\"{{request}}\" to service {{service.id}} and {{service.name}}"
   }
   ]])
   
   policy_chain:insert( PolicyChain.load_policy('logging', 'builtin', logging_policy_config), 1)
   
   return {
     policy_chain = policy_chain,
     port = { metrics = 9421 },
   }

2. 从定义自定义环境的 Lua 文件创建 secret。例如：

   oc create secret generic custom-env-1 --from-file=./env1.lua

   secret 可以包含多个自定义虚拟环境。为定义自定义环境的每个文件指定 '-from-file 选项。Operator 会加载每个自定义环境。

3. 定义 APIManager 自定义资源来引用您刚才创建的 secret。以下示例显示了相对于引用定义自定义环境的 secret 的内容。

   apiVersion: apps.3scale.net/v1alpha1
   kind: APIManager
   metadata:
     name: apimanager-apicast-custom-environment
   spec:
     wildcardDomain: <desired-domain>
     apicast:
       productionSpec:
         customEnvironments:
           - secretRef:
               name: custom-env-1
       stagingSpec:
         customEnvironments:
           - secretRef:
               name: custom-env-1

   APIManager 自定义资源可以引用定义自定义虚拟环境的多个 secret。Operator 会加载每个自定义环境。

4. 创建添加自定义虚拟环境的 APIManager 自定义资源。例如：

   oc apply -f apimanager.yaml

流程

1. 从定义一个自定义策略的文件创建 secret。例如：

   oc create secret generic my-first-custom-policy-secret \
    --from-file=./apicast-policy.json \
    --from-file=./init.lua \
    --from-file=./my-first-custom-policy.lua

   如果您有多个自定义策略，请为每个自定义策略创建一个 secret。secret 只能包含一个自定义策略。

2. 定义一个 APIManager 自定义资源来引用包含自定义策略的每个 secret。您可以为 APIcast staging 和 APIcast production 指定相同的 secret。以下示例显示有关引用包含自定义策略的 secret 的内容。

   apiVersion: apps.3scale.net/v1alpha1
   kind: APIManager
   metadata:
     name: apimanager-apicast-custom-policy
   spec:
     apicast:
       stagingSpec:
         customPolicies:
           - name: my-first-custom-policy
             version: "0.1"
             secretRef:
               name: my-first-custom-policy-secret
           - name: my-second-custom-policy
             version: "0.1"
             secretRef:
               name: my-second-custom-policy-secret
       productionSpec:
         customPolicies:
           - name: my-first-custom-policy
             version: "0.1"
             secretRef:
               name: my-first-custom-policy-secret
           - name: my-second-custom-policy
             version: "0.1"
             secretRef:
               name: my-second-custom-policy-secret

   APIManager 自定义资源可以引用定义不同自定义策略的多个 secret。Operator 加载每个自定义策略。

3. 创建 APIManager 自定义资源来引用包含自定义策略的 secret。例如：

   oc apply -f apimanager.yaml

流程

1. 在 stringData.config 中包含您的 OpenTracing 配置详情的 secret。这是包含您的 OpenTracing 配置详细信息的属性的唯一有效值。任何其他规格都阻止 APIcast 收到您的 OpenTracing 配置详细信息。以下示例显示了一个有效的 secret 定义：

   apiVersion: v1
   kind: Secret
   metadata:
     name: myjaeger
   stringData:
     config: |-
         {
         "service_name": "apicast",
         "disabled": false,
         "sampler": {
           "type": "const",
           "param": 1
         },
         "reporter": {
           "queueSize": 100,
           "bufferFlushInterval": 10,
           "logSpans": false,
           "localAgentHostPort": "jaeger-all-in-one-inmemory-agent:6831"
         },
         "headers": {
           "jaegerDebugHeader": "debug-id",
           "jaegerBaggageHeader": "baggage",
           "TraceContextHeaderName": "uber-trace-id",
           "traceBaggageHeaderPrefix": "testctx-"
         },
         "baggage_restrictions": {
             "denyBaggageOnInitializationFailure": false,
             "hostPort": "127.0.0.1:5778",
             "refreshInterval": 60
         }
         }
   type: Opaque

2. 创建 secret.例如，如果您将以前的 secret 定义保存到 myjaeger.yaml 文件中，您将运行以下命令：

   oc create secret generic myjaeger --from-file myjaeger.yaml

3. 定义一个指定 OpenTracing 属性的 APIManager 自定义资源。在 CR 定义中，将 openTracing.tracingConfigSecretRef.name 属性设置为包含您的 OpenTracing 配置详情的 secret 的名称。下例仅显示了与配置 OpenTracing 相关的内容。

   apiVersion: apps.3scale.net/v1alpha1
   kind: APIManager
   metadata:
     name: apimanager1
   spec:
     apicast:
       stagingSpec:
         ...
         openTracing:
           enabled: true
           tracingLibrary: jaeger
           tracingConfigSecretRef:
             name: myjaeger
       productionSpec:
         ...
           openTracing:
             enabled: true
             tracingLibrary: jaeger
             tracingConfigSecretRef:
               name: myjaeger

4. 创建配置 OpenTracing 的 APIManager 自定义资源。例如，如果您在 apimanager1.yaml 文件中保存 APIManager 自定义资源，您将运行以下命令：

   oc apply -f apimanager1.yaml

流程

1. 从有效的证书创建 secret，例如：

   oc create secret tls mycertsecret --cert=server.crt --key=server.key

   配置会公开 APIManager CRD 中的 secret 引用。您可以创建 secret，然后按如下所示引用 APIManager 自定义资源中的 secret 名称：

   • 生产环境：APIManager CR 在 .spec.apicast.productionSpec.httpsCertificateSecretRef 字段中公开证书。

   • Staging：APIManager CR 在 .spec.apicast.stagingSpec.httpsCertificateSecretRef 字段中公开证书。

     另外，您还可以配置以下内容：

   • httpsPort 表示哪个端口 APIcast 应开始侦听 HTTPS 连接。如果这与 HTTP 端口 APIcast 有冲突，则仅将此端口用于 HTTPS。

   • httpsVerifyDepth 定义客户端证书链的最大长度。

     注意

     提供有效的证书和 APImanager CR 的引用。如果配置可以访问 httpsPort，但不能访问 httpsCertificateSecretRef，APIcast 使用嵌入的自签名证书。不建议这样做。

2. 点 Operators > Installed Operators。
3. 从 Installed Operators 列表中，点 3scale Operator。
4. 点 API Manager 选项卡。
5. 点 Create APIManager。

6. 在编辑器中添加以下 YAML 定义。

   1. 如果为生产环境启用，请配置以下 YAML 定义：

      spec:
        apicast:
          productionSpec:
            httpsPort: 8443
            httpsVerifyDepth: 1
            httpsCertificateSecretRef:
              name: mycertsecret

   2. 如果为 staging 启用，请配置以下 YAML 定义：

      spec:
        apicast:
          stagingSpec:
            httpsPort: 8443
            httpsVerifyDepth: 1
            httpsCertificateSecretRef:
              name: mycertsecret

7. 点 Create。

流程

1. 创建新数据库。

2. 应用以下设置：

   ALTER SYSTEM SET max_string_size=extended SCOPE=SPFILE;

3. 在使用 3scale 安装 Oracle 数据库前，需要先创建一个常规的、非系统用户。

   1. Oracle 数据库的常规的、非系统用户的密码必须是唯一的，且与 system 的密码不匹配。

   2. Oracle Database 初始化脚本运行以下 SQL 命令：

      ALTER USER {DB_USER} IDENTIFIED BY {DB_PASSWORD}

      • 在启动 3scale 安装前，请确保此 SQL 命令正确执行。
      • {DB_USER} 和 {DB_PASSWORD} 是常规的非系统用户的用户名和密码。
      • 如果参数 PASSWORD_REUSE_TIME and PASSWORD_REUSE_MAX 被设置为限制重新使用相同的密码，则数据库配置可能会阻止这个命令成功完成。

      • Oracle 数据库 system 用户以系统权限执行命令。

        • 详情包括在此GitHub 仓库中。
        • 在数据库中初始化表时，可以在 Oracle Database initializer 中执行最新的操作。其他命令可能未列在这些链接中。
      • 当有要运行的模式迁移时，也需要升级 system 用户，因此可能会执行前面链接中包括的其他命令。

流程

1. 从 GitHub 存储库下载 3scale OpenShift 模板并提取存档：

   tar -xzf 3scale-amp-openshift-templates-3scale-2.12.0-GA.tar.gz

2. 在 Instant Client Downloads 页面中下载：

   • 客户端：可以是 basic-lite 或 basic。
   • ODBC driver。

   • Oracle 数据库 19c 的 SDK。

     • 对于 3scale，使用 Instant Client Downloads for Linux x86-64 (64-bit)
     • 对于 ppc64le 和 3scale，使用 Oracle Instant Client Downloads for Linux on Power Little Endian (64-bit)

3. 查看 Red Hat 3scale API Management 支持的配置中的以下 Oracle 软件组件：

   • Oracle Instant 客户端软件包：Basic 或 Basic Light
   • Oracle Instant 客户端软件包：SDK

   • Oracle Instant 客户端软件包：ODBC

     表 2.3. Oracle 19c 示例软件包(3scale)

     Oracle 19c 软件包名称	压缩的文件名
     基本的	instantclient-basic-linux.x64-19.8.0.0.0dbru.zip
     Basic Light	instantclient-basiclite-linux.x64-19.8.0.0.0dbru.zip
     SDK	instantclient-sdk-linux.x64-19.8.0.0.0dbru.zip
     ODBC	instantclient-odbc-linux.x64-19.8.0.0.0dbru.zip

     表 2.4. Oracle 19c 示例软件包用于 ppc64le 和 3scale

     Oracle 19c 软件包名称	压缩的文件名
     基本的	instantclient-basic-linux.leppc64.c64-19.3.0.0.0dbru.zip
     Basic Light	instantclient-basiclite-linux.leppc64.c64-19.3.0.0.0dbru.zip
     SDK	instantclient-sdk-linux.leppc64.c64-19.3.0.0.0dbru.zip
     ODBC	instantclient-odbc-linux.leppc64.c64-19.3.0.0.0dbru.zip

   注意

   如果本地下载并存储的客户端软件包版本与 3scale 期望不匹配，3scale 将自动下载并使用以下步骤中的相应版本。

4. 将 Oracle Database Instant Client Package 文件放在 3scale-amp-openshift-templates-3scale-2.12-GA/amp/system-oracle/oracle-client-files 目录中。

5. 使用您在创建 registry 服务帐户中创建的凭证登录到 registry.redhat.io 帐户。

   $ docker login registry.redhat.io

6. 构建基于 Oracle 的自定义系统镜像.镜像标签必须是固定镜像标签，如下例所示：

   $ docker build . --tag myregistry.example.com/system-oracle:2.12.0-1

7. 将基于 Oracle 的系统镜像推送到 OCP 集群可访问的容器注册表。此容器 registry 是安装 3scale 解决方案的位置：

   $ docker push myregistry.example.com/system-oracle:2.12.0-1

流程

1. 通过使用对应字段创建 system-database secret，设置 Oracle Database URL 连接字符串和 Oracle Database 系统密码。请参阅为 Oracle 数据库安装外部数据库。

2. 通过创建 APIManager 自定义资源来安装 3scale 解决方案。按照使用 operator 部署 3scale 中的说明进行操作。

   • APIManager 自定义资源必须指定设置为您之前构建的基于 Oracle 的系统的 .spec.system.image 字段：

     apiVersion: apps.3scale.net/v1alpha1
     kind: APIManager
     metadata:
       name: example-apimanager
     spec:
       imagePullSecrets:
       - name: threescale-registry-auth
       - name: custom-registry-auth
       system:
         image: "myregistry.example.com/system-oracle:2.12.0-1"
       externalComponents:
         system:
           database: true

流程

1. 使用 oc get pvc 命令查找包含错误 MySQL 数据的 PVC：

   # oc get pvc
   NAME                    STATUS    VOLUME    CAPACITY   ACCESSMODES   AGE
   backend-redis-storage   Bound     vol003    100Gi      RWO,RWX       4d
   mysql-storage           Bound     vol006    100Gi      RWO,RWX       4d
   system-redis-storage    Bound     vol008    100Gi      RWO,RWX       4d
   system-storage          Bound     vol004    100Gi      RWO,RWX       4d

2. 点 OpenShift UI 中的 cancel 部署，以停止 system-mysql 容器集的部署。
3. 删除 MySQL 路径下的所有内容，以清理卷。
4. 启动新的 system-mysql 部署。

流程

1. 键入以下命令以验证容器 registry 身份验证的配置：

   $ oc get secret

   • 如果 secret 存在，您会在终端中看到以下输出：

     threescale-registry-auth          kubernetes.io/dockerconfigjson        1         4m9s

   • 但是，如果没有看到输出结果，您必须执行以下操作：
2. 在创建 registry 服务帐户时，使用之前设置的凭证来创建您的 secret。
3. 使用在 OpenShift 中配置 registry 身份验证的步骤，替换 oc create secret 命令中的 <your-registry-service-account-username> and <your-registry-service-account-password>。

4. 在与 APIManager 资源相同的命名空间中生成 threescale-registry-auth secret。您必须在 <project-name> 中运行以下命令：

   oc project <project-name>
   oc create secret docker-registry threescale-registry-auth \
     --docker-server=registry.redhat.io \
     --docker-username="<your-registry-service-account-username>" \
     --docker-password="<your-registry-service-account-password>"
     --docker-email="<email-address>"

5. 删除并重新创建 APIManager 资源：

   $ oc delete -f apimanager.yaml
   apimanager.apps.3scale.net "example-apimanager" deleted
   
   $ oc create -f apimanager.yaml
   apimanager.apps.3scale.net/example-apimanager created

验证

1. 键入以下命令，以确认部署的状态为 Starting 或 Ready ：pod 会开始生成：

   $ oc describe apimanager
   (...)
   Status:
     Deployments:
       Ready:
         apicast-staging
         system-memcache
         system-mysql
         system-redis
         zync
         zync-database
         zync-que
       Starting:
         apicast-production
         backend-cron
         backend-worker
         system-sidekiq
         system-sphinx
       Stopped:
         backend-listener
         backend-redis
         system-app

2. 键入以下命令以查看每个 pod 的状态：

   $ oc get pods
   NAME                               READY   STATUS             RESTARTS   AGE
   3scale-operator-66cc6d857b-sxhgm   1/1     Running            0          17h
   apicast-production-1-deploy        1/1     Running            0          17m
   apicast-production-1-pxkqm         0/1     Pending            0          17m
   apicast-staging-1-dbwcw            1/1     Running            0          17m
   apicast-staging-1-deploy           0/1     Completed          0          17m
   backend-cron-1-deploy              1/1     Running            0          17m

流程

1. 用于持久性卷的目录 MUST 具有 root 组的写入权限。对 root 用户具有读写权限不够，因为 MySQL 服务以 root 组中的不同用户身份运行。以 root 用户身份执行以下命令：

   chmod -R g+w /path/for/pvs

2. 执行以下命令以防止 SElinux 阻止访问：

   chcon -Rt svirt_sandbox_file_t /path/for/pvs

流程

1. 进入到 [Your_product_name] > Integration > Configuration，将 APIcast 配置提升到 Staging。

2. 在 APIcast 配置 下，您将看到添加到产品的每个后端的映射规则。点 Promote v.[n] to Staging APIcast。

   • v.[n] 表示要提升的版本号。

3. 提升到暂存后，您可以将其提升为 Production。在 Staging APIcast 下，点 Promote v.[n] to Production APIcast。

   • v.[n] 表示要提升的版本号。

4. 要在命令行中测试对您的 API 的请求，请使用用于测试的curl 示例中提供的命令。

   • curl 命令示例基于产品中的第一个映射规则。

流程

1. 列出所有存储库：sudo yum repolist all.
2. 查找 *-extras 存储库。
3. 启用 extras 存储库：sudo yum-config-manager --enable rhui-REGION-rhel-server-extras.
4. 安装 Docker 容器化环境软件包：sudo yum install docker。

流程

1. 启动 Docker 守护进程：

   sudo systemctl start docker.service

2. 检查 Docker 守护进程是否正在运行：

   sudo systemctl status docker.service

3. 从 Red Hat registry 下载可以使用 Docker 容器引擎镜像：

   sudo docker pull registry.redhat.io/3scale-amp2/apicast-gateway-rhel8:3scale2.12

4. 在 Docker 容器引擎中运行 APIcast：

   sudo docker run --name apicast --rm -p 8080:8080 -e THREESCALE_PORTAL_ENDPOINT=https://<access_token>@<domain>-admin.3scale.net registry.redhat.io/3scale-amp2/apicast-gateway-rhel8:3scale2.12

   在这里，<access_token> 是 3scale 帐户管理 API 的访问令牌。您可以使用 Provider Key 而不是访问令牌。<domain>-admin.3scale.net 是 3scale 管理门户的 URL。

流程

1. 使用以下字段创建 backend-redis 和 system-redis secret：

   backend-redis

   REDIS_QUEUES_SENTINEL_HOSTS
   REDIS_QUEUES_SENTINEL_ROLE
   REDIS_QUEUES_URL
   REDIS_STORAGE_SENTINEL_HOSTS
   REDIS_STORAGE_SENTINEL_ROLE
   REDIS_STORAGE_URL

   system-redis

   NAMESPACE
   SENTINEL_HOSTS
   SENTINEL_ROLE
   URL

   • 当使用 sendinels 为 Redis 配置时，backend-redis 和 system-redis 中的对应 URL 字段以 redis://[:redis-password@]redis-group[/db] 格式引用 Redis 组，其中 [x] 表示可选元素 x，redis-password、redis-group 和 db 是变量：

     示例

     redis://:redispwd@mymaster/5

   • SENTINEL_HOSTS 字段采用以下格式以逗号分隔：

     redis://:sentinel-password@sentinel-hostname-or-ip:port

     • 对于列表的每个元素，[x] 表示可选元素 x，sendinel-password、finel-hostname-or-ip，port 是相应地替换的变量：

       示例

       :sentinelpwd@123.45.67.009:2711,:sentinelpwd@other-sentinel:2722

   • SENTINEL_ROLE 字段为 master 或 slave 字段。

2. 按照使用 operator 部署 3scale 中的内容部署 3scale。

   1. 忽略因为 backend-redis 和 system-redis 已存在的错误。

1. 使用所有字段编辑 backend-redis 和 system-redis secret，如 部署 3scale 为 HA 所示。

2. 确保为后端容器集定义了以下 backend-redis 环境变量。

   name: BACKEND_REDIS_SENTINEL_HOSTS
     valueFrom:
       secretKeyRef:
         key: REDIS_STORAGE_SENTINEL_HOSTS
         name: backend-redis
   name: BACKEND_REDIS_SENTINEL_ROLE
     valueFrom:
       secretKeyRef:
         key: REDIS_STORAGE_SENTINEL_ROLE
         name: backend-redis

3. 确保为 system-(app|sidekiq|sphinx) pod 定义了以下 system-redis 环境变量。

   name: REDIS_SENTINEL_HOSTS
     valueFrom:
       secretKeyRef:
         key: SENTINEL_HOSTS
         name: system-redis
   name: REDIS_SENTINEL_ROLE
     valueFrom:
       secretKeyRef:
         key: SENTINEL_ROLE
         name: system-redis

4. 继续执行说明以使用模板升级 3scale。