集成

流程

1. 创建为 Knative 服务签名的 root 证书和私钥：

   $ openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 \
       -subj '/O=Example Inc./CN=example.com' \
       -keyout root.key \
       -out root.crt

2. 创建通配符证书：

   $ openssl req -nodes -newkey rsa:2048 \
       -subj "/CN=*.apps.openshift.example.com/O=Example Inc." \
       -keyout wildcard.key \
       -out wildcard.csr

3. 为通配符证书签名：

   $ openssl x509 -req -days 365 -set_serial 0 \
       -CA root.crt \
       -CAkey root.key \
       -in wildcard.csr \
       -out wildcard.crt

4. 使用通配符证书创建 secret：

   $ oc create -n istio-system secret tls wildcard-certs \
       --key=wildcard.key \
       --cert=wildcard.crt

   此证书由 OpenShift Serverless 与 Service Mesh 集成时创建的网关获取，以便入口网关使用此证书提供流量。

流程

1. 将您要与 Service Mesh 集成的命名空间作为成员添加到 ServiceMeshMemberRoll 对象中：

   apiVersion: maistra.io/v1
   kind: ServiceMeshMemberRoll
   metadata:
     name: default
     namespace: istio-system
   spec:
     members: 1
       - knative-serving
       - knative-eventing
       - <namespace>

   1

   要与 Service Mesh 集成的命名空间列表。

   重要

   此命名空间列表必须包含 knative-serving 和 knative-eventing 命名空间。

2. 应用 ServiceMeshMemberRoll 资源：

   $ oc apply -f <filename>

3. 创建必要的网关，以便 Service Mesh 可以接受流量：

   使用 HTTP 的 knative-local-gateway 对象示例

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: knative-ingress-gateway
     namespace: knative-serving
   spec:
     selector:
       istio: ingressgateway
     servers:
       - port:
           number: 443
           name: https
           protocol: HTTPS
         hosts:
           - "*"
         tls:
           mode: SIMPLE
           credentialName: <wildcard_certs> 1
   ---
   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
    name: knative-local-gateway
    namespace: knative-serving
   spec:
    selector:
      istio: ingressgateway
    servers:
      - port:
          number: 8081
          name: http
          protocol: HTTP 2
        hosts:
          - "*"
   ---
   apiVersion: v1
   kind: Service
   metadata:
    name: knative-local-gateway
    namespace: istio-system
    labels:
      experimental.istio.io/disable-gateway-port-translation: "true"
   spec:
    type: ClusterIP
    selector:
      istio: ingressgateway
    ports:
      - name: http2
        port: 80
        targetPort: 8081

   1

   添加包含通配符证书的 secret 名称。

   2

   knative-local-gateway 提供 HTTP 流量。使用 HTTP 表示来自 Service Mesh 外部的流量不会加密，但使用内部主机名，如 example.default.svc.cluster.local。您可以通过创建另一个通配符证书和使用不同的 protocol spec 的额外网关来为这个路径设置加密。

   使用 HTTPS 的 knative-local-gateway 对象示例

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: knative-local-gateway
     namespace: knative-serving
   spec:
     selector:
       istio: ingressgateway
     servers:
       - port:
           number: 443
           name: https
           protocol: HTTPS
         hosts:
           - "*"
         tls:
           mode: SIMPLE
           credentialName: <wildcard_certs>

4. 应用 Gateway 资源：

   $ oc apply -f <filename>

5. 通过创建以下 KnativeServing 自定义资源定义 (CRD) 来安装 Knative Serving，该定义还启用了 Istio 集成：

   apiVersion: operator.knative.dev/v1beta1
   kind: KnativeServing
   metadata:
     name: knative-serving
     namespace: knative-serving
   spec:
     ingress:
       istio:
         enabled: true 1
     deployments: 2
     - name: activator
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: autoscaler
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"

   1

   启用 Istio 集成。

   2

   为 Knative Serving data plane pod 启用 sidecar 注入。

6. 应用 KnativeServing 资源：

   $ oc apply -f <filename>

7. 通过创建以下 KnativeEventing 自定义资源定义(CRD)，该定义也可以启用 Istio 集成来安装 Knative Eventing：

   apiVersion: operator.knative.dev/v1beta1
   kind: KnativeEventing
   metadata:
     name: knative-eventing
     namespace: knative-eventing
   spec:
     config:
       features:
         istio: enabled 1
     workloads:
     - name: pingsource-mt-adapter
       annotations:
         "sidecar.istio.io/inject": "true" 2
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: imc-dispatcher
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: mt-broker-ingress
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: mt-broker-filter
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"

   1

   启用 Eventing istio 控制器为每个 InMemoryChannel 或 KafkaChannel 服务创建一个 DestinationRule。

   2

   为 Knative Eventing pod 启用 sidecar 注入。

1. 应用 KnativeEventing 资源：

   $ oc apply -f <filename>

2. 通过创建以下 KnativeKafka 自定义资源定义(CRD)，该定义也可以启用 Istio 集成来安装 Knative Kafka：

   apiVersion: operator.serverless.openshift.io/v1alpha1
   kind: KnativeKafka
   metadata:
     name: knative-kafka
     namespace: knative-eventing
   spec:
     channel:
       enabled: true
       bootstrapServers: <bootstrap_servers> 1
     source:
       enabled: true
     broker:
       enabled: true
       defaultConfig:
         bootstrapServers: <bootstrap_servers> 2
         numPartitions: <num_partitions>
         replicationFactor: <replication_factor>
     sink:
       enabled: true
     workloads: 3
     - name: kafka-controller
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: kafka-broker-receiver
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: kafka-broker-dispatcher
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: kafka-channel-receiver
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: kafka-channel-dispatcher
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: kafka-source-dispatcher
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: kafka-sink-receiver
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"

   1 2

   Apache Kafka 集群 URL，例如： my-cluster-kafka-bootstrap.kafka:9092。

   3

   为 Knative Kafka pod 启用 sidecar 注入。

1. 应用 KnativeKafka 资源：

   $ oc apply -f <filename>

2. 安装 ServiceEntry 以使 Red Hat OpenShift Service Mesh 了解 KnativeKafka 组件和 Apache Kafka 集群之间的通信：

   apiVersion: networking.istio.io/v1alpha3
   kind: ServiceEntry
   metadata:
     name: kafka-cluster
     namespace: knative-eventing
   spec:
     hosts: 1
       - <bootstrap_servers_without_port>
     exportTo:
       - "."
     ports: 2
       - number: 9092
         name: tcp-plain
         protocol: TCP
       - number: 9093
         name: tcp-tls
         protocol: TCP
       - number: 9094
         name: tcp-sasl-tls
         protocol: TCP
       - number: 9095
         name: tcp-sasl-plain
         protocol: TCP
       - number: 9096
         name: tcp-noauth
         protocol: TCP
     location: MESH_EXTERNAL
     resolution: NONE

   1

   Apache Kafka 集群主机列表，例如： my-cluster-kafka-bootstrap.kafka。

   2

   Apache Kafka 集群监听程序端口。

   注意

   spec.ports 中列出的端口是 TCP 端口示例，它依赖于如何配置 Apache Kafka 集群。

3. 应用 ServiceEntry 资源：

   $ oc apply -f <filename>

   重要

   确保在 ServiceEntry 中设置地址。如果没有设置地址，无论主机是什么，ServiceEntry 中定义的端口上的所有流量都会匹配。

验证

1. 创建一个启用了 sidecar 注入并使用 pass-through 路由的 Knative Service：

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: <service_name>
     namespace: <namespace> 1
     annotations:
       serving.knative.openshift.io/enablePassthrough: "true" 2
   spec:
     template:
       metadata:
         annotations:
           sidecar.istio.io/inject: "true" 3
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
       spec:
         containers:
         - image: <image_url>

   1

   作为 Service Mesh member roll 一部分的命名空间。

   2

   指示 Knative Serving 生成 OpenShift Container Platform 直通启用路由，以便您已生成的证书直接通过 ingress 网关提供。

   3

   将 Service Mesh sidecar 注入 Knative 服务 pod。

2. 应用 Service 资源：

   $ oc apply -f <filename>

流程

1. 在 Knative Serving 自定义资源 (CR) 的 observability spec 中将 prometheus 指定为 metrics.backend-destination ：

   apiVersion: operator.knative.dev/v1beta1
   kind: KnativeServing
   metadata:
     name: knative-serving
   spec:
     config:
       observability:
         metrics.backend-destination: "prometheus"
   ...

   此步骤可防止默认禁用指标。

2. 应用以下网络策略来允许来自 Prometheus 命名空间中的流量：

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: allow-from-openshift-monitoring-ns
     namespace: knative-serving
   spec:
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             name: "openshift-monitoring"
     podSelector: {}
   ...

3. 修改并重新应用 istio-system 命名空间中的默认 Service Mesh control plane，使其包含以下 spec：

   ...
   spec:
     proxy:
       networking:
         trafficControl:
           inbound:
             excludedPorts:
             - 8444
   ...

流程

1. 将您要与 Service Mesh 集成的命名空间作为成员添加到 ServiceMeshMemberRoll 对象中：

   apiVersion: maistra.io/v1
   kind: ServiceMeshMemberRoll
   metadata:
     name: default
     namespace: istio-system
   spec:
     members:
       - <namespace> 1
   ...

   1

   要与 Service Mesh 集成的命名空间列表。

2. 应用 ServiceMeshMemberRoll 资源：

   $ oc apply -f <filename>

3. 创建允许 Knative 系统 Pod 到 Knative 服务流量的网络策略：

   1. 对于您要与 Service Mesh 集成的每个命名空间，创建一个 NetworkPolicy 资源：

      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-serving-system-namespace
        namespace: <namespace> 1
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                knative.openshift.io/part-of: "openshift-serverless"
        podSelector: {}
        policyTypes:
        - Ingress
      ...

      1

      添加您要与 Service Mesh 集成的命名空间。

      注意

      knative.openshift.io/part-of: "openshift-serverless" 标签添加到 OpenShift Serverless 1.22.0 中。如果使用 OpenShift Serverless 1.21.1 或更早版本，请将 knative.openshift.io/part-of 标签添加到 knative-serving 和 knative-serving-ingress 命名空间。

      将标签添加到 knative-serving 命名空间：

      $ oc label namespace knative-serving knative.openshift.io/part-of=openshift-serverless

      将标签添加到 knative-serving-ingress 命名空间：

      $ oc label namespace knative-serving-ingress knative.openshift.io/part-of=openshift-serverless

   2. 应用 NetworkPolicy 资源：

      $ oc apply -f <filename>

流程

1. 创建 Knative 服务并使用 --limit nvidia.com/gpu=1 标志将 GPU 资源要求限制设置为 1：

   $ kn service create hello --image <service-image> --limit nvidia.com/gpu=1

   GPU 资源要求限制为 1 表示该服务有 1 个专用的 GPU 资源。服务不共享 GPU 资源。所有需要 GPU 资源的其他服务都必须等待 GPU 资源不再被使用为止。

   限值为 1 个 GPU 意味着超过使用 1 个 GPU 资源的应用程序会受到限制。如果服务请求超过 1 个 GPU 资源，它将部署到可以满足 GPU 资源要求的节点。

2. 可选。对于现有服务，您可以使用 --limit nvidia.com/gpu=3 标志将 GPU 资源要求限制改为 3：

   $ kn service update hello --limit nvidia.com/gpu=3