3.7. 配置网络

流程

1. 为 OpenShift Dev Spaces 预先创建一个项目：

   $ oc create project openshift-devspaces

2. 创建 TLS secret：

   $ oc create secret TLS <tls_secret_name> \ 1
   --key <key_file> \ 2
   --cert <cert_file> \ 3
   -n openshift-devspaces

   1

   TLS secret 名称

   2

   带有私钥的文件

   3

   包含证书的文件

3. 在 secret 中添加所需的标签：

   $ oc label secret <tls_secret_name> \ 1
   app.kubernetes.io/part-of=che.eclipse.org -n openshift-devspaces

   1

   TLS secret 名称

4. 配置 CheCluster 自定义资源。请参阅 第 3.1.2 节 “使用 CLI 配置 CheCluster 自定义资源”。

   spec:
     networking:
       hostname: <hostname>     1
       tlsSecretName: <secret>  2

   1

   Custom Red Hat OpenShift Dev Spaces server hostname

   2

   TLS secret 名称

5. 如果已经部署了 OpenShift Dev Spaces，请等待所有 OpenShift Dev Spaces 组件完成。

流程

1. 将要导入的所有 CA 链 PEM 文件串联到 custom-ca-certificates.pem 文件中，并删除与 Java 信任存储不兼容的返回字符。

   $ cat ca-cert-for-{prod-id-short}-*.pem | tr -d '\r' > custom-ca-certificates.pem

2. 使用所需 TLS 证书创建 custom-ca-certificates 配置映射：

   $ oc create configmap custom-ca-certificates \
       --from-file=custom-ca-certificates.pem \
       --namespace=openshift-devspaces

3. 标记 custom-ca-certificates 配置映射：

   $ oc label configmap custom-ca-certificates \
       app.kubernetes.io/component=ca-bundle \
       app.kubernetes.io/part-of=che.eclipse.org \
       --namespace=openshift-devspaces

4. 如果 OpenShift Dev Spaces 之前尚未部署，则部署 OpenShift Dev Spaces。否则，请等待 OpenShift Dev Spaces 组件的推出完成。
5. 重启正在运行的工作区以使更改生效。

验证步骤

1. 验证配置映射是否包含自定义 CA 证书。这个命令以 PEM 格式返回您的自定义 CA 证书：

   $ oc get configmap \
       --namespace=openshift-devspaces \
       --output='jsonpath={.items[0:].data.custom-ca-certificates\.pem}' \
       --selector=app.kubernetes.io/component=ca-bundle,app.kubernetes.io/part-of=che.eclipse.org

2. 验证 OpenShift Dev Spaces pod 包含挂载 ca-certs-merged 配置映射的卷：

   $ oc get pod \
       --selector=app.kubernetes.io/component=devspaces \
       --output='jsonpath={.items[0].spec.volumes[0:].configMap.name}' \
       --namespace=openshift-devspaces \
       | grep ca-certs-merged

3. 验证 OpenShift Dev Spaces 服务器容器是否有自定义 CA 证书。这个命令以 PEM 格式返回您的自定义 CA 证书：

   $ oc exec -t deploy/devspaces \
       --namespace=openshift-devspaces \
       -- cat /public-certs/custom-ca-certificates.pem

4. 在 OpenShift Dev Spaces 服务器中验证导入的证书计数是否不为空：

   $ oc logs deploy/devspaces --namespace=openshift-devspaces \
       | grep custom-ca-certificates.pem

5. 列出证书的 SHA256 指纹：

   $ for certificate in ca-cert*.pem ;
     do openssl x509 -in $certificate -digest -sha256 -fingerprint -noout | cut -d= -f2;
     done

6. 验证 OpenShift Dev Spaces 服务器 Java 信任存储是否包含具有相同指纹的证书：

   $ oc exec -t deploy/devspaces --namespace=openshift-devspaces -- \
       keytool -list -keystore /home/user/cacerts \
       | grep --after-context=1 custom-ca-certificates.pem

7. 启动工作区，获取其创建的项目名称：< workspace_namespace > 并等待工作区启动。

8. 验证 che-trusted-ca-certs 配置映射是否包含您的自定义 CA 证书。这个命令以 PEM 格式返回您的自定义 CA 证书：

   $ oc get configmap che-trusted-ca-certs \
       --namespace=<workspace_namespace> \
       --output='jsonpath={.data.custom-ca-certificates\.custom-ca-certificates\.pem}'

9. 验证工作区 pod 是否挂载 che-trusted-ca-certs 配置映射：

   $ oc get pod \
       --namespace=<workspace_namespace> \
       --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
       --output='jsonpath={.items[0:].spec.volumes[0:].configMap.name}' \
       | grep che-trusted-ca-certs

10. 验证 generic -developer-image 容器（或工作区 devfile 中定义的容器）挂载 che-trusted-ca-certs 卷：

    $ oc get pod \
        --namespace=<workspace_namespace> \
        --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
        --output='jsonpath={.items[0:].spec.containers[0:]}' \
        | jq 'select (.volumeMounts[].name == "che-trusted-ca-certs") | .name'

11. 获取工作区 pod 名称 &lt ;workspace_pod_name> ：

    $ oc get pod \
        --namespace=<workspace_namespace> \
        --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
        --output='jsonpath={.items[0:].metadata.name}' \

12. 验证工作区容器是否具有自定义 CA 证书。这个命令以 PEM 格式返回您的自定义 CA 证书：

    $ oc exec <workspace_pod_name> \
        --namespace=<workspace_namespace> \
        -- cat /public-certs/custom-ca-certificates.custom-ca-certificates.pem