使用 Cryostat Operator 配置 Cryostat

流程

1. 在 OpenShift Web 控制台中，点 Operators > Installed Operators。
2. 从可用 operator 列表中选择 Cryostat Operator。
3. 点 Provided APIs 菜单下的 Create instance。

4. 要配置 minimal 属性，请选择以下选项之一：

   1. 点 Form view 单选按钮。

      1. 将 Minimal Deployment 开关设置为 true。您还必须在 Name 字段中输入值。

         图 1.1. 将 Minimal Deployment 开关切换为 true

         
      2. 点 Create。您的 Cryostat 实例会在 Operator 详情页面的 Cryostat 标签页中打开。

   2. 点击 YAML 视图 单选按钮。

      1. 在 spec: key 集中，将 minimal 属性的值更改为 true。

         配置 minimal 属性示例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           minimal: true
         --

      2. 点 Save 按钮。

验证

1. 在 OpenShift Web 控制台中，选择您的 Cryostat 实例。
2. 选择 Resources 选项卡。
3. 从部署列表中，选择与 Cryostat 实例名称匹配的部署。在 Web 控制台中打开 Deployment 详情页面。
4. 导航到 Containers 部分。单个列出的容器表示 Cryostat Operator 已部署您的 Cryostat 应用程序作为最小部署。

流程

1. 在 OpenShift Web 控制台中进入 Operators > Installed Operators。
2. 从可用 operator 列表中选择 Cryostat Operator。
3. 在 Provided APIs 菜单中点 Create instance。

4. 要配置 enableCertManager 属性，请选择以下选项之一：

   1. 点 Form view 单选按钮。

      1. 将 Enable cert-manager Integration switch 设为 false，然后在 Name 字段中输入值。

         图 1.2. 将 Enable cert-manager Integration 开关切换为 false

         
      2. 点 Create。您的 Cryostat 实例会在 Operator 详情页面的 Cryostat 标签页中打开。

   2. 点击 YAML 视图 单选按钮。

      1. 在 YAML 文件的 spec: 键集中，将 enableCertManager 属性更改为 false。

         在 YAML 文件中配置 spec: key 的示例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           enableCertManager: false
         --

      2. 点 Save 按钮。

         Cryostat Operator 会自动重启 Cryostat 应用程序，可让应用程序使用更新的 enableCertManager 属性配置运行。

验证

1. 从 Operator 详情页面的 Cryostat 选项卡中选择您的 Cryostat 实例。
2. 导航到 Cryostat Conditions 表。

3. 验证 TLSSetupComplete 条件已设置为 true，并且此条件的 Reason 列已设置为 CertManagerDisabled。这表示您已将 enableCertManager 属性设置为 false。

   图 1.3. 显示将 TLSSetupComplete 条件设置为 true 的示例

   

流程

1. 要下载默认事件模板，请导航到 Cryostat Web 控制台和 Events 菜单，点 Downloads。

   注意

   事件模板采用 XML 格式，文件名扩展名为 .jfc。

2. 可选： 如果您希望自定义事件模板，使用文本编辑器或 XML 编辑器编辑下载的默认事件模板，以配置模板以满足您的需要。
3. 在 CLI 中输入 oc login 命令，登录到您的 OpenShift Web 控制台。

4. 在 CLI 中输入以下命令，从事件模板创建 ConfigMap 资源。您必须在要部署 Cryostat 应用程序的路径中发出 命令。您可以使用此资源存储运行 Cryostat 实例的集群中的事件模板文件。

   使用 CLI 创建 ConfigMap 资源示例

   $ oc create configmap <template_name> --from-file=<path_to_custom_event_template>

5. 在 OpenShift Web 控制台中，点 Operators > Installed Operators。
6. 从可用 operator 列表中选择 Cryostat Operator。
7. 点 Provided APIs 菜单下的 Create instance。

8. 选择以下选项之一将 XML 格式的事件模板上传到资源中：

   1. 点 Form view 单选按钮。

      1. 导航到 Cryostat 实例的 Event Templates 部分。
      2. 在 Event Templates 菜单中点 Add Event Template。在 OpenShift 控制台中打开 Event Templates 部分。

      3. 从 Config Map Name 下拉列表中，选择包含事件模板的 ConfigMap 资源。

         图 1.4. Cryostat 实例的事件模板选项

         
      4. 在 Filename 字段中输入 ConfigMap 中包含的 .jfc 文件的名称。
      5. 点 Create 按钮生成带有自定义事件模板的 Cryostat 实例。

   2. 点击 YAML 视图 单选按钮。

      1. 为 eventTemplates 属性指定任何自定义事件模板。此属性将 Cryostat Operator 指向 ConfigMap，以便 Cryostat Operator 可以读取事件模板。

         为 eventTemplates 属性指定自定义事件模板示例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           eventTemplates:
           - configMapName: custom-template1
             filename: my-template1.jfc
           - configMapName: custom-template2
             filename: my-template2.jfc
         --

         重要

         您必须从 configMapName 下拉列表中选择与 Cryostat 实例关联的 ConfigMap 名称。另外，您必须在 filename 字段中指定一个与 ConfigMap 关联的键。

         Cryostat Operator 现在可将自定义事件模板作为 XML 文件提供给您的 Cryostat 应用程序。您的自定义事件模板会在 Cryostat web 控制台中与默认事件模板一起打开。

验证

1. 在 Cryostat Web 控制台中，从菜单中点击 Events。如果 web 控制台中打开 Authentication Required 窗口，请输入您的凭证并点 Save。

2. 在 Event Templates 选项卡中，检查您的自定义事件模板是否显示在可用事件模板列表中。

   图 1.5. Event Templates 选项卡下列出的自定义事件模板示例

   

流程

1. 在 OpenShift Web 控制台中，点 Operators > Installed Operators。
2. 从可用 operator 列表中选择 Cryostat Operator。

3. 要配置 TLS 证书，请选择以下选项之一：

   1. 在 Operator 详情页面的 Details 标签页中创建一个 Cryostat 实例。

      1. 在 Provided APIs 菜单下，点 Create instance。
      2. 在 Name 字段中输入值。

      3. 展开 Trusted TLS CertifIcates 选项，然后单击 Add Trusted TLS 证书。OpenShift Web 控制台中显示选项列表。

         图 1.6. Trusted TLS Certificates 选项

         

      4. 从 Secret Name 下拉列表中选择 TLS secret。Certificate Key 字段是可选的。

         注意

         您可以点 Remove Trusted TLS 证书 来删除 TLS 证书。

      5. 点 Create。您的 Cryostat 实例会在 Operator 详情页面的 Cryostat 标签页中打开。

   2. 导航到 Operator Details 页面中的 YAML 选项卡。您的 Cryostat Operator 的 YAML 文件在您的 OpenShift Container Platform Web 控制台中打开。

      1. 在 trustedCertSecrets 数组的 secretName 属性中指定您的 secret，它和您的 Cryostat 应用程序位于同一个命名空间中。

         在 trustedCertSecrets 阵列中指定 secret 的示例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           trustedCertSecrets:
           - secretName: my-tls-secret
         --

      2. 可选： 将 certificateKey 属性值更改为应用程序的 X.509 证书文件名称。如果没有更改值，则 certificateKey 属性默认为 tls.crt。

         更改 certificateKey 属性的值示例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           trustedCertSecrets:
           - secretName: my-tls-secret
             certificateKey: ca.crt
         --

      3. 点 Save 按钮。

         Cryostat Operator 会自动重启带有配置的安全设置的 Cryostat 实例。

验证

1. 在 CLI 中发出以下命令，确定所有应用程序 pod 是否都存在于与 Cryostat pod 相同的 OpenShift 集群命名空间中：

   $ oc get pods

2. 登录到您的 Cryostat 实例的 web 控制台。
3. 在 Cryostat 实例的 Dashboard 菜单中，从下拉列表中选择 Target JVM。

4. 从 Cryostat Web 控制台的左侧面板中选择 Recordings。在 Authentication Required 对话框窗口中 输入您的 secret 的凭据，然后选择 Save，将凭证提供给目标 JVM。

   注意

   如果所选目标启用了 JMX 连接的密码身份验证，在提示输入连接时必须为目标 JVM 提供 JMX 凭据。

   Cryostat 通过经过身份验证的 JMX 连接连接到您的应用程序。现在，您可以使用 记录 和事件功能来监控应用程序的 JFR 数据。

流程

1. 在 OpenShift Web 控制台中，点 Operators > Installed Operators。
2. 从可用 operator 列表中选择 Cryostat Operator。
3. 点 Provided APIs 菜单下的 Create instance。

4. 选择以下选项之一来更改 Cryostat 应用程序的存储设置：

   1. 点 Form view 单选按钮。

      1. 导航到 Storage Options 部分，然后在 Name 字段中输入一个值。
      2. 展开 Storage Options，再单击 Empty Dir。在 OpenShift Web 控制台中打开展开的选项选择。

      3. 将 Enabled 开关设置为 true。

         图 1.7. 显示 Empty Dir switch 设为 true的示例

         
      4. 点 Create。您的 Cryostat 实例在 Operator 详情页面上的 Cryostat 标签页下打开。

   2. 点击 YAML 视图 单选按钮。

      1. 在 YAML 文件的 spec: 键集合中，添加 storageOptions 定义，并将 emptyDir 属性设置为 true。

         显示 emptyDir 属性设置为 true的示例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           storageOptions:
             emptyDir:
               enabled: true
               medium: "Memory"
               sizeLimit: 1Gi
         --

      2. 可选： 为 medium 和 sizeLimit 属性设置值。
      3. 点 Save 按钮。Cryostat Operator 为存储创建一个 EmptyDir 卷，而不是为您的 Cryostat 实例创建一个 PVC。

流程

1. 在 OpenShift web 控制台中点 Operators > Installed Operators。
2. 从可用 Operator 列表中，选择 Red Hat build of Cryostat。
3. 点 Provided APIs > Create。默认情况下，Cryostat Operator 为您的 Cryostat pod 创建一个服务帐户，并为您启用的任何 Report sidecar pod 创建一个服务帐户。

4. 要配置安全上下文，请完成以下选项之一：

   1. 点 YAML 视图。在 spec: 元素中，编辑 securityOptions 和 reportOptions 属性以匹配您的安全要求。

      安全上下文配置示例

      apiVersion: operator.cryostat.io/v1beta1
      kind: Cryostat
      metadata:
        name: cryostat-sample
      spec:
        securityOptions:
          podSecurityContext:
            runAsNonRoot: true
            seccompProfile:
              type: RuntimeDefault
          coreSecurityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop:
                - ALL
            runAsUser: 1001
          dataSourceSecurityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop:
                - ALL
          grafanaSecurityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop:
                - ALL
        reportOptions:
          replicas: 1
          podSecurityContext:
            runAsNonRoot: true
            seccompProfile:
              type: RuntimeDefault
          reportsSecurityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop:
                - ALL
            runAsUser: 1001

   2. 展开 Advanced Configurations，以在 OpenShift Web 控制台中打开附加选项。

      图 2.1. 高级配置菜单选项

      

      展开 Core 安全上下文。在可用选项列表中，为您的安全上下文定义设置。

5. 点 Create。
6. 根据需要，为 数据源安全上下文、Grafana 安全上下文 和 Pod 安全上下文重复一个到 五个。

7. 可选： 如果您使用 Report Generator 服务，您也可以为此服务配置安全上下文，如下所示：

   1. 在 报告选项 中，展开 Advanced Configuration。
   2. 展开 Security Options。根据情况定义 报告安全上下文 和 Pod 安全上下文。

流程

1. 在 ConfigMap 对象中定义自定义权限映射。

   包含权限映射的 ConfigMap 示例

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: auth-properties
   data:
     auth.properties: |
       TARGET=pods,deployments.apps
       RECORDING=pods,pods/exec
       CERTIFICATE=deployments.apps,pods,cryostats.operator.cryostat.io
       CREDENTIALS=cryostats.operator.cryostat.io

   要使用自定义权限映射，ClusterRole 必须存在，并包含自定义权限映射中列出的所有 OpenShift 对象的权限。

   包含必要规则的 ClusterRole 示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: additional-oauth-client
   rules:
   - apiGroups:
     - operator.cryostat.io
     resources:
     - cryostats
     verbs:
     - create
     - patch
     - delete
     - get
   - apiGroups:
     - ""
     resources:
     - pods
     - pods/exec
     verbs:
     - create
     - patch
     - delete
     - get
   - apiGroups:
     - apps
     resources:
     - deployments
     verbs:
     - create
     - patch
     - delete
     - get

   在 OpenShift Web 控制台中输入凭据后，OAuth 服务器将使用您的凭据和指定范围来生成 API 令牌。

2. 在 Cryostat 自定义资源(CR)中提供 authProperties spec，以引用包含映射内容的 ConfigMap 和 ClusterRole，为映射的 OpenShift 资源定义 RBAC 访问权限。

   带有定义自定义权限映射的 authProperties 的 Cryostat CR 示例

   apiVersion: operator.cryostat.io/v1beta1
   kind: Cryostat
   metadata:
     name: cryostat-sample
   spec:
     authProperties:
   	configMapName: auth-properties
   	filename: auth.properties
   	clusterRoleName: oauth-cluster-role

   或者，您可以打开 OpenShift Web 控制台，创建一个 Cryostat 实例，并在 Authorization Properties 选项中定义 ClusterRole Name、ConfigMap Name 和 Filename 属性，您可以在 Advanced configuration 部分中访问它们。

   图 3.1. OpenShift Web 控制台中的高级配置部分

   

验证

1. 在 Installed Operators 菜单中，选择您的 Cryostat 实例。
2. 单击 Application URL 部分中的链接，以访问登录屏幕。OAuth 服务器将您重定向到 OpenShift Container Platform 登录页面。
3. 输入您的凭证详情，然后点 Login。第一次通过 OAuth 服务器登录时，网页浏览器上打开一个 Authorize Access 页面。
4. 在 Requested Permissions 选项中，确认集群角色名称与您在 Cryostat CR 中指定的名称匹配。

5. 在 Authorize Access 窗口中，您可以选择所需的复选框。为了获得最佳 Cryostat 性能，请选中所有复选框。

   图 3.2. Authorize Access 窗口列出了三个权限

   

   Authorize Access 窗口列出以下权限：

   • user:check-access，这是检查内部 Cryostat 应用请求的权限。权限为用户提供了查看其特权的只读权限。
   • role:cryostat-operator-oauth-client:<namespace >，这是检查内部 Cryostat 应用程序请求的权限检查。通过 CLI 将 <namespace> 替换为项目名称或命名空间。权限可让用户访问完成 cryostat-operator-oauth-client 角色指定的任何操作，但访问升级资源（如 secret）除外。
   • role:<user-define-clusterrole-name>:<namespace > ：您在 Cryostat CR spec 中定义的 clusterrole。通过 CLI 将 <namespace> 替换为项目名称或命名空间。权限可让用户访问完成 additional-oauth-client 角色 指定的任何操作，除了升级对资源（如 secret）的访问外。

6. 选择以下选项之一：

   1. 如果要接受所选请求的权限，请点击 Allow selected permissions。

   2. 如果要拒绝所有请求的权限选项，请单击 Deny 按钮。

      您的 Web 浏览器将您重定向到 Cryostat Web 控制台，您可以在其中监控 Java 虚拟机(JVM)中运行的 Java 应用程序。