使用 Red Hat build of Cryostat Operator 配置 Cryostat

流程

1. 在 Red Hat OpenShift web 控制台中，点 Operators > Installed Operators。
2. 从可用 operator 列表中，选择 Red Hat build of Cryostat。
3. 点 Details 标签页。

4. 在 Provided APIs 部分中，提供 Cryostat 和 Cluster Cryostat 自定义资源(CR)。选择以下选项之一：

   • 要创建单命名空间 Cryostat 实例，请选择 Cryostat，然后单击 Create instance。
   • 要创建 Cryostat 的多命名空间实例，请选择 Cluster Cryostat，然后点 Create instance。

5. 要配置 minimal 属性，请选择以下选项之一：

   1. 点 Form view 单选按钮。

      1. 将 Minimal Deployment 开关设置为 true。您还必须在 Name 字段中输入值。

         图 1.1. 将 Minimal Deployment 开关切换到 true

         

      2. 点 Create。根据您创建的实例类型，实例会在以下标签页之一下打开：

         • 如果您创建了单命名空间 Cryostat 实例，则实例位于 Operator 详情页面的 Cryostat 选项卡下。
         • 如果您创建了 Cluster Cryostat 实例，则实例位于 Operator 详情页面的 Cluster Cryostat 选项卡下。

   2. 点 YAML 视图 单选按钮。

      1. 在 spec: 键集中，将 minimal 属性的值更改为 true。

         配置 minimal 属性的示例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           minimal: true
         --

      2. 点击 Save。

验证

1. 在 Red Hat OpenShift Web 控制台中，选择创建 Cryostat 实例的项目，或选择的项目作为 Cluster Cryostat 实例的 Install Namespace。
2. 导航到 Workloads → Deployments。
3. 从部署列表中，选择与 Cryostat 或 Cluster Cryostat 实例的名称匹配的部署。在 Web 控制台中打开 Deployment 详情页面。
4. 导航到 Containers 部分。单个列出的容器表示红帽构建的 Cryostat Operator 已作为最小部署部署了 Cryostat 应用程序。

流程

1. 在 OpenShift web 控制台中进入到 Operators > Installed Operators。
2. 从可用 operator 列表中，选择 Red Hat build of Cryostat。
3. 点 Details 标签页。

4. 在 Provided APIs 部分中，提供 Cryostat 和 Cluster Cryostat 自定义资源(CR)。选择以下选项之一：

   • 要创建单命名空间 Cryostat 实例，请选择 Cryostat，然后单击 Create instance。
   • 要创建 Cryostat 的多命名空间实例，请选择 Cluster Cryostat，然后点 Create instance。

5. 要配置 enableCertManager 属性，请选择以下选项之一：

   1. 点 Form view 单选按钮。

      1. 将 Enable cert-manager Integration 开关设置为 false，然后在 Name 字段中输入值。

         图 1.2. 将 Enable cert-manager Integration 切换到 false

         

      2. 点 Create。根据您创建的实例类型，实例会在以下标签页之一下打开：

         • 如果您创建了单命名空间 Cryostat 实例，则实例位于 Operator 详情页面的 Cryostat 选项卡下。
         • 如果您创建了 Cluster Cryostat 实例，则实例位于 Operator 详情页面的 Cluster Cryostat 选项卡下。

   2. 点 YAML 视图 单选按钮。

      1. 在 YAML 文件的 spec: 键集中，将 enableCertManager 属性更改为 false。

         在 YAML 文件中设置 spec: key 的示例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           enableCertManager: false
         --

      2. 点 Save 按钮。

         Red Hat build of Cryostat Operator 会自动重启 Cryostat 应用程序，使应用程序可以使用更新的 enableCertManager 属性配置运行。

验证

1. 选择 Cryostat 或 Cluster Cryostat 实例：

   • 如果您创建了 Cryostat 实例，请从 Operator 详情页面的 Cryostat 选项卡中选择 Cryostat 实例。
   • 如果您创建了 Cluster Cryostat 实例，请从 Operator 详情页面上的 Cluster Cryostat 选项卡中选择 Cluster Cryostat 实例。
2. 进入到 Cryostat Conditions 表。

3. 验证 TLSSetupComplete 条件是否已设置为 true，并且此条件的 Reason 列是否已设置为 CertManagerDisabled。这表示您已将 enableCertManager 属性设置为 false。

   图 1.3. 显示 TLSSetupComplete 条件设置为 true 的示例

   

流程

1. 要下载默认事件模板，请导航到 Cryostat web 控制台并从 Events 菜单中点 Downloads。

   注意

   事件模板采用 XML 格式，文件扩展名为 .jfc。

2. 可选： 如果要自定义事件模板，请使用文本编辑器或 XML 编辑器编辑下载的默认事件模板，以配置模板以满足您的需要。
3. 通过在 CLI 中输入 oc login 命令登录到您的 Red Hat OpenShift Web 控制台。

4. 在 CLI 中输入以下命令来从事件模板创建 ConfigMap 资源。您必须在要部署 Cryostat 应用程序的路径中发出该命令。您可以使用此资源存储运行 Cryostat 实例的集群中的事件模板文件。

   使用 CLI 创建 ConfigMap 资源的示例

   $ oc create configmap <template_name> --from-file=<path_to_custom_event_template>

5. 在 Red Hat OpenShift web 控制台中，点 Operators > Installed Operators。
6. 从可用 operator 列表中，选择 Red Hat build of Cryostat。

7. 在 Operator 详情页面的 Details 选项卡下，创建一个 Cryostat 或 Cluster Cryostat 实例。

   1. 在 Provided APIs 部分中，提供 Cryostat 和 Cluster Cryostat 自定义资源(CR)。选择以下选项之一：

      • 要创建单命名空间 Cryostat 实例，请选择 Cryostat，然后单击 Create instance。
      • 要创建 Cryostat 的多命名空间实例，请选择 Cluster Cryostat，然后点 Create instance。

8. 选择以下选项之一将 XML 格式的事件模板上传到资源中：

   1. 点 Form view 单选按钮。

      1. 导航到 Cryostat 或 Cluster Cryostat 实例的 Event Templates 部分。
      2. 在 Event Templates 菜单中点 Add Event Template。在 Red Hat OpenShift 控制台中打开一个 Event Templates 部分。

      3. 在 Config Map Name 下拉列表中选择包含您的事件模板的 ConfigMap 资源。

         图 1.4. Cryostat 实例的 event Templates 选项

         
      4. 在 Filename 字段中，输入 ConfigMap 中包含的 .jfc 文件的名称。
      5. 要使用自定义事件模板生成 Cryostat 或 Cluster Cryostat 实例，请点 Create。

   2. 点 YAML 视图 单选按钮。

      1. 为 eventTemplates 属性指定任何自定义事件模板。此属性将 Red Hat build of Cryostat Operator 指向 ConfigMap，以便 Red Hat build of Cryostat Operator 可以读取事件模板。

         为 eventTemplates 属性指定自定义事件模板的示例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           eventTemplates:
           - configMapName: custom-template1
             filename: my-template1.jfc
           - configMapName: custom-template2
             filename: my-template2.jfc
         --

         重要

         您必须从 configMapName 下拉列表中选择与 Cryostat 或 Cluster Cryostat 实例关联的 ConfigMap 名称。另外，您必须在 filename 字段中指定与 ConfigMap 关联的键。

         Red Hat build of Cryostat Operator 现在可将自定义事件模板作为 XML 文件提供给您的 Cryostat 应用程序。您的自定义事件模板会与 Cryostat web 控制台中的默认事件模板一起打开。

验证

1. 在 Cryostat web 控制台中，点菜单中的 Events。如果在 web 控制台中打开了一个 Authentication Required 窗口，请输入您的凭证并点 Save。

2. 在 Event Templates 选项卡下，检查您的自定义事件模板是否在可用事件模板列表中显示。

   图 1.5. 在 Event Templates 选项卡下列出的自定义事件模板示例

   

流程

1. 在 Red Hat OpenShift web 控制台中，点 Operators > Installed Operators。
2. 从可用 operator 列表中，选择 Red Hat build of Cryostat。
3. 在 Operator 详情页面中，点 Details 选项卡。

4. 在 Provided APIs 部分中，提供 Cryostat 和 Cluster Cryostat 自定义资源(CR)。选择以下选项之一：

   1. 要创建单命名空间 Cryostat 实例，请选择 Cryostat，然后单击 Create instance。
   2. 要创建 Cryostat 的多命名空间实例，请选择 Cluster Cryostat，然后点 Create instance。

5. 要配置 TLS 证书，请选择以下选项之一：

   1. 点 Form view 单选按钮。

      1. 在 Name 字段中，为您要创建的 Cryostat 实例指定一个名称。

      2. 展开 Trusted TLS Certificates 选项，然后单击 Add Trusted TLS Certificate。在 Red Hat OpenShift Web 控制台中显示选项列表。

         图 1.6. Trusted TLS Certificates 选项

         

      3. 从 Secret Name 列表中选择 TLS secret。Certificate Key 字段是可选的。

         注意

         您可以通过单击 Remove Trusted TLS 证书来删除 TLS 证书。

      4. 点 Create。根据您创建的实例类型，实例会在以下标签页之一下打开：

         • 如果您创建了单命名空间 Cryostat 实例，则实例位于 Operator 详情页面的 Cryostat 选项卡下。
         • 如果您创建了 Cluster Cryostat 实例，则实例位于 Operator 详情页面的 Cluster Cryostat 选项卡下。

   2. 点 YAML 视图 单选按钮。

      1. 在 trustedCertSecrets 数组的 secretName 属性中指定您的 secret （位于与 Cryostat 应用程序相同的命名空间中）。

         在 trustedCertSecrets 阵列中指定 secret 的示例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           trustedCertSecrets:
           - secretName: my-tls-secret
         --

      2. 可选： 将 certificateKey 属性值改为应用程序的 X.509 证书文件名。如果没有更改值，则 certificateKey 属性默认为 tls.crt。

         更改 certificateKey 属性的值示例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           trustedCertSecrets:
           - secretName: my-tls-secret
             certificateKey: ca.crt
         --

      3. 点击 Save。

         Red Hat build of Cryostat Operator 会自动使用配置的安全设置重启 Cryostat 实例。

验证

1. 通过在 CLI 中运行以下命令来确定所有应用程序 pod 是否都与 Cryostat pod 位于同一个 OpenShift 集群命名空间中：

   $ oc get pods

2. 登录到 Cryostat 实例的 web 控制台。
3. 在 Cryostat 实例的 Dashboard 菜单中，从 Target 列表中选择一个目标 JVM。

4. 在 Cryostat web 控制台的导航菜单中选择 Recordings。在 Authentication Required 对话框中，输入您的 secret 的凭证，然后选择 Save 以将您的凭据提供给目标 JVM。

   注意

   如果所选目标为 JMX 连接启用了密码身份验证，则系统提示连接时必须为目标 JVM 提供 JMX 凭据。

   Cryostat 通过经过身份验证的 JMX 连接连接到您的应用程序。现在，您可以使用 Recordings 和 Events 功能来监控应用程序的 JFR 数据。

流程

1. 在 Red Hat OpenShift web 控制台中，点 Operators > Installed Operators。

2. 从可用 operator 列表中，选择 Red Hat build of Cryostat。

   1. 点 Details 标签页。

3. 在 Provided APIs 部分中，提供 Cryostat 和 Cluster Cryostat 自定义资源(CR)。选择以下选项之一：

   • 要创建单命名空间 Cryostat 实例，请选择 Cryostat，然后单击 Create instance。
   • 要创建 Cryostat 的多命名空间实例，请选择 Cluster Cryostat，然后点 Create instance。

4. 要更改 Cryostat 应用程序的存储设置，请选择以下选项之一：

   1. 点 Form view 单选按钮。

      1. 导航到 Storage Options 部分，然后在 Name 字段中输入值。
      2. 展开 Storage Options，再点 Empty Dir。在 Red Hat OpenShift Web 控制台中打开展开的选择选项。

      3. 将 Enabled 开关设置为 true。

         图 1.7. 显示 Empty Dir 交换机设置为 true的示例

         

      4. 点 Create。根据您创建的实例类型，实例会在以下标签页之一下打开：

         • 如果您创建了单命名空间 Cryostat 实例，则实例位于 Operator 详情页面的 Cryostat 选项卡下。
         • 如果您创建了 Cluster Cryostat 实例，则实例位于 Operator 详情页面的 Cluster Cryostat 选项卡下。

   2. 点 YAML 视图 单选按钮。

      1. 在 YAML 文件的 spec: 键集中，添加 storageOptions 定义，并将 emptyDir 属性设置为 true。

         显示 emptyDir 属性设为 true的示例

         --
         apiVersion: operator.cryostat.io/v1beta1
         kind: Cryostat
         metadata:
           name: cryostat-sample
         spec:
           storageOptions:
             emptyDir:
               enabled: true
               medium: "Memory"
               sizeLimit: 1Gi
         --

      2. 可选： 为 medium 和 sizeLimit 属性设置值。
      3. 点 Save 按钮。Red Hat build of Cryostat Operator 为存储创建一个 EmptyDir 卷，而不是为您的 Cryostat 实例创建 PVC。

流程

1. 在 Red Hat OpenShift web 控制台中点 Operators > Installed Operators。
2. 从可用 operator 列表中，选择 Red Hat build of Cryostat。
3. 点 Provided APIs > Create。Red Hat build of Cryostat Operator 不会为 Report sidecar pod 创建服务帐户。相反，这些 pod 在自己的命名空间中使用默认服务帐户。

4. 要配置安全上下文，请完成以下选项之一：

   1. 点 YAML 视图。在 spec: 元素中，编辑 securityOptions 和 reportOptions 属性以匹配您的安全要求。

      安全上下文配置示例

      apiVersion: operator.cryostat.io/v1beta1
      kind: Cryostat
      metadata:
        name: cryostat-sample
      spec:
        securityOptions:
          podSecurityContext:
            runAsNonRoot: true
            seccompProfile:
              type: RuntimeDefault
          coreSecurityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop:
                - ALL
            runAsUser: 1001
          dataSourceSecurityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop:
                - ALL
          grafanaSecurityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop:
                - ALL
        reportOptions:
          replicas: 1
          podSecurityContext:
            runAsNonRoot: true
            seccompProfile:
              type: RuntimeDefault
          reportsSecurityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop:
                - ALL
            runAsUser: 1001

   2. 展开 Advanced Configuration 以打开 Red Hat OpenShift Web 控制台中的附加选项。

      图 2.1. 高级配置菜单选项

      
   3. 展开 Core Security Context。在可用选项列表中，为您的安全上下文定义设置。
5. 点 Create。
6. 根据情况，对数据源 安全上下文、Grafana 安全上下文 和 Pod 安全上下文 重复步骤一到五。

7. 可选： 如果您使用 Report Generator 服务，您也可以为此服务配置安全上下文，如下所示：

   1. 在 Report Options 中，展开 高级配置。
   2. 展开 Security Options。根据需要定义 报告安全上下文 和 Pod 安全上下文。

流程

1. 在 ConfigMap 中定义自定义权限映射。

   包含权限映射的 ConfigMap 示例

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: auth-properties
   data:
     auth.properties: |
       TARGET=pods,deployments.apps
       RECORDING=pods,pods/exec
       CERTIFICATE=deployments.apps,pods,cryostats.operator.cryostat.io
       CREDENTIALS=cryostats.operator.cryostat.io

   要使用自定义权限映射，ClusterRole 必须存在，并包含自定义权限映射中列出的所有 Red Hat OpenShift 对象的权限。

   包含必要规则的 ClusterRole 示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: additional-oauth-client
   rules:
   - apiGroups:
     - operator.cryostat.io
     resources:
     - cryostats
     verbs:
     - create
     - patch
     - delete
     - get
   - apiGroups:
     - ""
     resources:
     - pods
     - pods/exec
     verbs:
     - create
     - patch
     - delete
     - get
   - apiGroups:
     - apps
     resources:
     - deployments
     verbs:
     - create
     - patch
     - delete
     - get

   在 Red Hat OpenShift Web 控制台中输入凭证后，OAuth 服务器使用您的凭证和指定的范围来生成 API 令牌。

2. 在 Cryostat 自定义资源(CR)中提供 authProperties spec，以引用包含映射内容的 ConfigMap，以及为这些映射的 Red Hat OpenShift 资源定义 RBAC 访问的 ClusterRole。

   带有定义自定义权限映射的 authProperties 的 Cryostat CR 示例

   apiVersion: operator.cryostat.io/v1beta1
   kind: Cryostat
   metadata:
     name: cryostat-sample
   spec:
     authProperties:
   	configMapName: auth-properties
   	filename: auth.properties
   	clusterRoleName: oauth-cluster-role

   另外，您可以打开 Red Hat OpenShift Web 控制台，创建一个 Cryostat 实例，并在 Authorization Properties 选项中定义 ClusterRole Name、ConfigMap Name 和 Filename 属性，您可以在 Advanced configuration 部分中访问它。

   图 3.1. OpenShift Web 控制台的高级配置部分

   

验证

1. 在 Installed Operators 菜单中，选择 Cryostat 实例。
2. 单击 Application URL 部分中的链接，以访问登录屏幕。OAuth 服务器将您重定向到 OpenShift Container Platform 登录页面。
3. 输入您的凭证详情，然后点 Login。对于您第一次通过 OAuth 服务器登录时，您的 Web 浏览器上会打开一个 Authorize Access 页面。
4. 在 Requested Permissions 选项中，确认集群角色名称与您在 Cryostat CR 中指定的名称匹配。

5. 在 Authorize Access 窗口中，您可以选择所需的复选框。要获得最佳 Cryostat 性能，请选择所有复选框。

   图 3.2. 列出三个权限的 Authorize Access 窗口

   

   Authorize Access 窗口列出了以下权限：

   • user:check-access，这是检查内部 Cryostat 应用程序请求的权限。权限为用户提供了查看其特权的只读访问权限。
   • role:cryostat-operator-oauth-client:<namespace >，它是内部 Cryostat 应用程序请求的权限检查。通过 CLI 将 < namespace > 替换为项目名称或命名空间的名称。权限允许用户完成 cryostat-operator-oauth-client 角色指定的操作，但升级资源（如 secret）的权限除外。
   • role:<user-define-clusterrole-name>:<namespace > : 您在 Cryostat CR spec 中定义的 clusterrole。通过 CLI 将 < namespace > 替换为项目名称或命名空间的名称。权限允许用户完成 additional-oauth-client 角色 指定的任何操作的访问权限，但升级对资源（如 secret）的访问。

6. 选择以下选项之一：

   1. 如果要接受所选请求权限，请点击 Allow selected permissions。

   2. 如果要拒绝所有请求的权限选项，请单击 Deny 按钮。

      您的 Web 浏览器会将您重定向到 Cryostat web 控制台，您可以在其中监控 Java 虚拟机(JVM)中运行的 Java 应用程序。