3.3. 手动安装 KServe

流程

1. 在一个终端窗口中，如果您还没有以集群管理员登录到 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

2. 为 Red Hat OpenShift Service Mesh 创建所需的命名空间。

   $ oc create ns istio-system

   您会看到以下输出：

   namespace/istio-system created

3. 在名为 smcp.yaml 的 YAML 文件中定义一个 ServiceMeshControlPlane 对象，其内容如下：

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   metadata:
     name: minimal
     namespace: istio-system
   spec:
     tracing:
       type: None
     addons:
       grafana:
         enabled: false
       kiali:
         name: kiali
         enabled: false
       prometheus:
         enabled: false
       jaeger:
         name: jaeger
     security:
       dataPlane:
         mtls: true
       identity:
         type: ThirdParty
     techPreview:
       meshConfig:
         defaultConfig:
           terminationDrainDuration: 35s
     gateways:
       ingress:
         service:
           metadata:
             labels:
               knative: ingressgateway
     proxy:
       networking:
         trafficControl:
           inbound:
             excludedPorts:
               - 8444
               - 8022

   如需有关 YAML 文件中的值的更多信息，请参阅 Service Mesh control plane 配置参考。

4. 创建服务网格 control plane。

   $ oc apply -f smcp.yaml

流程

1. 在一个终端窗口中，如果您还没有以集群管理员登录到 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

2. 检查 Knative Serving 所需的项目（即 命名空间）是否已存在。

   $ oc get ns knative-serving

   如果项目存在，您会看到类似以下示例的输出：

   NAME              STATUS   AGE
   knative-serving   Active   4d20h

3. 如果 knative-serving 项目不存在，请创建它。

   $ oc create ns knative-serving

   您会看到以下输出：

   namespace/knative-serving created

4. 在名为 default-smm.yaml 的 YAML 文件中定义 ServiceMeshMember 对象，其内容如下：

   apiVersion: maistra.io/v1
   kind: ServiceMeshMember
   metadata:
     name: default
     namespace: knative-serving
   spec:
     controlPlaneRef:
       namespace: istio-system
       name: minimal

5. 在 istio-system 命名空间中创建 ServiceMeshMember 对象。

   $ oc apply -f default-smm.yaml

   您会看到以下输出：

   servicemeshmember.maistra.io/default created

6. 在名为 knativeserving-istio.yaml 的 YAML 文件中定义 KnativeServing 对象，其内容如下：

   apiVersion: operator.knative.dev/v1beta1
   kind: KnativeServing
   metadata:
     name: knative-serving
     namespace: knative-serving
     annotations:
       serverless.openshift.io/default-enable-http2: "true"
   spec:
     workloads:
       - name: net-istio-controller
         env:
           - container: controller
             envVars:
               - name: ENABLE_SECRET_INFORMER_FILTERING_BY_CERT_UID
                 value: 'true'
       - annotations:
           sidecar.istio.io/inject: "true" 1
           sidecar.istio.io/rewriteAppHTTPProbers: "true" 2
         name: activator
       - annotations:
           sidecar.istio.io/inject: "true"
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
         name: autoscaler
     ingress:
       istio:
         enabled: true
     config:
       features:
         kubernetes.podspec-affinity: enabled
         kubernetes.podspec-nodeselector: enabled
         kubernetes.podspec-tolerations: enabled

   前面的文件为 KnativeServing 对象定义自定义资源(CR)。CR 还为每个激活器和自动扩展 pod 添加以下操作：

   1

   将 Istio sidecar 注入 pod。这使得 pod 成为服务网格的一部分。

   2

   启用 Istio sidecar 为 pod 重写 HTTP 存活度和就绪度探测。

   注意

   如果为 Knative 服务配置自定义域，您可以使用 TLS 证书来保护映射的服务。要做到这一点，您必须创建一个 TLS secret，然后更新 DomainMapping CR 以使用您创建的 TLS secret。如需更多信息，请参阅 Red Hat OpenShift Serverless 文档中的使用 TLS 证书保护映射的服务。

7. 在指定的 knative-serving 命名空间中创建 KnativeServing 对象。

   $ oc apply -f knativeserving-istio.yaml

   您会看到以下输出：

   knativeserving.operator.knative.dev/knative-serving created

流程

1. 在一个终端窗口中，如果您还没有以集群管理员登录到 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <admin_username> -p <password>

   重要

   如果您有自己的通配符证书和密钥在配置网关时指定，请跳至此步骤的第 11 步。

2. 设置环境变量，以定义为网关生成通配符证书和密钥的基础目录。

   $ export BASE_DIR=/tmp/kserve
   $ export BASE_CERT_DIR=${BASE_DIR}/certs

3. 设置环境变量以定义 OpenShift 集群的入口控制器使用的通用名称。

   $ export COMMON_NAME=$(oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}' | awk -F'.' '{print $(NF-1)"."$NF}')

4. 设置环境变量以定义 OpenShift 集群的入口控制器使用的域名。

   $ export DOMAIN_NAME=$(oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}')

5. 根据之前设置的环境变量，为证书生成创建所需的基础目录。

   $ mkdir ${BASE_DIR}
   $ mkdir ${BASE_CERT_DIR}

6. 为生成通配符证书创建 OpenSSL 配置。

   $ cat <<EOF> ${BASE_DIR}/openssl-san.config
   [ req ]
   distinguished_name = req
   [ san ]
   subjectAltName = DNS:*.${DOMAIN_NAME}
   EOF

7. 生成 root 证书。

   $ openssl req -x509 -sha256 -nodes -days 3650 -newkey rsa:2048 \
   -subj "/O=Example Inc./CN=${COMMON_NAME}" \
   -keyout $BASE_DIR/root.key \
   -out $BASE_DIR/root.crt

8. 生成由 root 证书签名的通配符证书。

   $ openssl req -x509 -newkey rsa:2048 \
   -sha256 -days 3560 -nodes \
   -subj "/CN=${COMMON_NAME}/O=Example Inc." \
   -extensions san -config ${BASE_DIR}/openssl-san.config \
   -CA $BASE_DIR/root.crt \
   -CAkey $BASE_DIR/root.key \
   -keyout $BASE_DIR/wildcard.key  \
   -out $BASE_DIR/wildcard.crt
   
   $ openssl x509 -in ${BASE_DIR}/wildcard.crt -text

9. 验证通配符证书。

   $ openssl verify -CAfile ${BASE_DIR}/root.crt ${BASE_DIR}/wildcard.crt

10. 将脚本创建的通配符密钥和证书导出到新的环境变量。

    $ export TARGET_CUSTOM_CERT=${BASE_CERT_DIR}/wildcard.crt
    $ export TARGET_CUSTOM_KEY=${BASE_CERT_DIR}/wildcard.key

11. 可选： 要将 您自己的 通配符密钥和证书导出到新环境变量，请输入以下命令：

    $ export TARGET_CUSTOM_CERT=<path_to_certificate>
    $ export TARGET_CUSTOM_KEY=<path_to_key>

    注意

    在您提供的证书中，您必须指定 OpenShift 集群的入口控制器使用的域名。您可以运行以下命令来检查这个值：

    $ oc get ingresses.config.openshift.io cluster -o jsonpath='{.spec.domain}'

12. 使用您为通配符证书和密钥设置的环境变量，在 istio-system 命名空间中创建 TLS secret。

    $ oc create secret tls wildcard-certs --cert=${TARGET_CUSTOM_CERT} --key=${TARGET_CUSTOM_KEY} -n istio-system

13. 使用以下内容创建 gateways.yaml YAML 文件：

    apiVersion: v1
    kind: Service 1
    metadata:
      labels:
        experimental.istio.io/disable-gateway-port-translation: "true"
      name: knative-local-gateway
      namespace: istio-system
    spec:
      ports:
        - name: http2
          port: 80
          protocol: TCP
          targetPort: 8081
      selector:
        knative: ingressgateway
      type: ClusterIP
    ---
    apiVersion: networking.istio.io/v1beta1
    kind: Gateway
    metadata:
      name: knative-ingress-gateway 2
      namespace: knative-serving
    spec:
      selector:
        knative: ingressgateway
      servers:
        - hosts:
            - '*'
          port:
            name: https
            number: 443
            protocol: HTTPS
          tls:
            credentialName: wildcard-certs
            mode: SIMPLE
    ---
    apiVersion: networking.istio.io/v1beta1
    kind: Gateway
    metadata:
     name: knative-local-gateway 3
     namespace: knative-serving
    spec:
     selector:
       knative: ingressgateway
     servers:
       - port:
           number: 8081
           name: https
           protocol: HTTPS
         tls:
           mode: ISTIO_MUTUAL
         hosts:
           - "*"

    1

    在 istio-system 命名空间中为 Knative 本地网关定义服务。

    2

    在 knative-serving 命名空间中 定义一个入口网关。网关使用您在此流程前面创建的 TLS secret。入口网关处理 Knative 的外部流量。

    3

    在 knative-serving 命名空间中为 Knative 定义本地网关。

14. 应用 gateways.yaml 文件来创建定义的资源。

    $ oc apply -f gateways.yaml

    您会看到以下输出：

    service/knative-local-gateway created
    gateway.networking.istio.io/knative-ingress-gateway created
    gateway.networking.istio.io/knative-local-gateway created

流程

1. 以集群管理员身份登录 OpenShift Web 控制台。
2. 在 Web 控制台中，点 Operators OperatorHub。
3. 在 OperatorHub 页面上，在 Filter by keyword 字段中键入 Red Hat - Authorino。
4. 点 Red Hat - Authorino Operator。
5. 在 Red Hat - Authorino Operator 页面中，查看 Operator 信息，然后点 Install。
6. 在 Install Operator 页面中，保留 Update channel,Version,Installation mode,Installed Namespace 和 Update Approval 的默认值。
7. 点 Install。

流程

1. 打开一个新的终端窗口。

2. 登录到 OpenShift 命令行界面(CLI)，如下所示：

   $ oc login <openshift_cluster_url> -u <username> -p <password>

3. 创建一个命名空间来安装 Authorino 实例。

   $ oc new-project <namespace_for_authorino_instance>

   注意

   自动安装过程为 Authorino 实例创建一个名为 redhat-ods-applications-auth-provider 的命名空间。考虑在手动安装时使用相同的命名空间名称。

4. 要在现有 OpenShift Service Mesh 实例中为 Authorino 实例注册新命名空间，请创建一个包含以下内容的新 YAML 文件：

     apiVersion: maistra.io/v1
     kind: ServiceMeshMember
     metadata:
       name: default
       namespace: <namespace_for_authorino_instance>
     spec:
       controlPlaneRef:
         namespace: <namespace_for_service_mesh_instance>
         name: <name_of_service_mesh_instance>

5. 保存 YAML 文件。

6. 在集群中创建 ServiceMeshMember 资源。

   $ oc create -f <file_name>.yaml

7. 要配置 Authorino 实例，请创建一个新的 YAML 文件，如下例所示：

     apiVersion: operator.authorino.kuadrant.io/v1beta1
     kind: Authorino
     metadata:
       name: authorino
       namespace: <namespace_for_authorino_instance>
     spec:
       authConfigLabelSelectors: security.opendatahub.io/authorization-group=default
       clusterWide: true
       listener:
         tls:
           enabled: false
       oidcServer:
         tls:
           enabled: false

8. 保存 YAML 文件。

9. 在集群中创建 Authorino 资源。

   $ oc create -f <file_name>.yaml

10. 对 Authorino 部署进行补丁以注入 Istio sidecar，这会使 OpenShift Service Mesh 实例的 Authorino 实例的一部分。

    $ oc patch deployment <name_of_authorino_instance> -n <namespace_for_authorino_instance> -p '{"spec": {"template":{"metadata":{"labels":{"sidecar.istio.io/inject":"true"}}}} }'

流程

1. 在一个终端窗口中，如果您还没有以具有更新 OpenShift Service Mesh 实例的用户身份登录 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <username> -p <password>

2. 创建包含以下内容的新 YAML 文件：

   spec:
    techPreview:
      meshConfig:
        extensionProviders:
        - name: redhat-ods-applications-auth-provider
          envoyExtAuthzGrpc:
            service: <name_of_authorino_instance>-authorino-authorization.<namespace_for_authorino_instance>.svc.cluster.local
            port: 50051

3. 保存 YAML 文件。

4. 使用 oc patch 命令将 YAML 文件应用到 OpenShift Service Mesh 实例。

   $ oc patch smcp <name_of_service_mesh_instance> --type merge -n <namespace_for_service_mesh_instance> --patch-file <file_name>.yaml

   重要

   只有在 OpenShift Service Mesh 实例中尚未指定其他扩展供应商时，才能应用显示的配置作为补丁。如果您已经指定了其他扩展供应商，则必须手动编辑 ServiceMeshControlPlane 资源来添加配置。

流程

1. 在一个终端窗口中，如果您还没有以具有更新 KServe 部署权限的用户身份登录 OpenShift 集群，请登录 OpenShift CLI，如下例所示：

   $ oc login <openshift_cluster_url> -u <username> -p <password>

2. 创建包含以下内容的新 YAML 文件：

   apiVersion: security.istio.io/v1beta1
   kind: AuthorizationPolicy
   metadata:
     name: kserve-predictor
   spec:
     action: CUSTOM
     provider:
        name: redhat-ods-applications-auth-provider 1
     rules:
        - to:
             - operation:
                  notPaths:
                     - /healthz
                     - /debug/pprof/
                     - /metrics
                     - /wait-for-drain
     selector:
        matchLabels:
           component: predictor

   1

   您指定的名称必须与添加到 OpenShift Service Mesh 实例的扩展供应商名称匹配。

3. 保存 YAML 文件。

4. 在命名空间中为 OpenShift Service Mesh 实例创建 AuthorizationPolicy 资源。

   $ oc create -n <namespace_for_service_mesh_instance> -f <file_name>.yaml

5. 创建包含以下内容的另一个新 YAML 文件：

   apiVersion: networking.istio.io/v1alpha3
   kind: EnvoyFilter
   metadata:
     name: activator-host-header
   spec:
     priority: 20
     workloadSelector:
       labels:
         component: predictor
     configPatches:
     - applyTo: HTTP_FILTER
       match:
         listener:
           filterChain:
             filter:
               name: envoy.filters.network.http_connection_manager
       patch:
         operation: INSERT_BEFORE
         value:
           name: envoy.filters.http.lua
           typed_config:
             '@type': type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua
             inlineCode: |
              function envoy_on_request(request_handle)
                 local headers = request_handle:headers()
                 if not headers then
                   return
                 end
                 local original_host = headers:get("k-original-host")
                 if original_host then
                   port_seperator = string.find(original_host, ":", 7)
                   if port_seperator then
                     original_host = string.sub(original_host, 0, port_seperator-1)
                   end
                   headers:replace('host', original_host)
                 end
               end

   显示的 EnvoyFilter 资源持续将 HTTP 主机标头重置为最初包含在任何推销请求中的标头。

6. 在命名空间中为您的 OpenShift Service Mesh 实例创建 EnvoyFilter 资源。

   $ oc create -n <namespace_for_service_mesh_instance> -f <file_name>.yaml