流程

1. 以具有 cluster-admin 特权的用户身份登录。

2. 生成默认项目模板：

   $ oc adm create-bootstrap-project-template -o yaml > template.yaml

3. 使用文本编辑器，通过添加对象或修改现有对象来修改生成的 template.yaml 文件。

4. 项目模板必须创建在 openshift-config 命名空间中。加载修改后的模板：

   $ oc create -f template.yaml -n openshift-config

5. 使用 Web 控制台或 CLI 编辑项目配置资源。

   • 使用 Web 控制台：

     1. 导航至 Administration → Cluster Settings 页面。
     2. 点击 Global Configuration，查看所有配置资源。
     3. 找到 Project 的条目，并点击 Edit YAML。

   • 使用 CLI：

     1. 编辑 project.config.openshift.io/cluster 资源：

        $ oc edit project.config.openshift.io/cluster

6. 更新 spec 部分，使其包含 projectRequestTemplate 和 name 参数，再设置您上传的项目模板的名称。默认名称为 project-request。

   带有自定义项目模板的项目配置资源

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
     ...
   spec:
     projectRequestTemplate:
       name: <template_name>

7. 保存更改后，创建一个新项目来验证是否成功应用了您的更改。

流程

1. 运行以下命令来编辑新项目的默认模板：

   $ oc edit template <project_template> -n openshift-config

   将 <project_template> 替换为您为集群配置的缺省模板的名称。默认模板名称为 project-request。

2. 在模板中，将每个 NetworkPolicy 对象作为一个元素添加到 objects参数中。objects 参数可以是一个或多个对象的集合。

   在以下示例中，objects 参数集合包括几个 NetworkPolicy 对象：

   objects:
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-same-namespace
     spec:
       podSelector:
       ingress:
       - from:
         - podSelector: {}
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-openshift-ingress
     spec:
       ingress:
       - from:
         - namespaceSelector:
             matchLabels:
               network.openshift.io/policy-group: ingress
       podSelector: {}
       policyTypes:
       - Ingress
   ...

3. 可选：通过运行以下命令创建一个新项目，来确认您的网络策略对象已被成功创建：

   1. 创建一个新项目

      $ oc new-project <project> 1

      1

      将 <project> 替换为您要创建的项目的名称。

   2. 确认新项目模板中的网络策略对象存在于新项目中：

      $ oc get networkpolicy
      NAME                           POD-SELECTOR   AGE
      allow-from-openshift-ingress   <none>         7s
      allow-from-same-namespace      <none>         7s

1. 在 Pod 资源定义中，将 k8s.v1.cni.cncf.io/networks 参数添加到 Pod metadata 映射中。k8s.v1.cni.cncf.io/networks 接受由一个或多个 NetworkAttachmentDefinition 自定义资源 (CR) 名称组成并用逗号分隔的字符串：

   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: <network>[,<network>,...] 1

   1

   将 <network> 替换为要与 Pod 关联的额外网络的名称。要指定多个额外网络，请使用逗号分隔各个网络。逗号之间不可包括空格。如果您多次指定同一额外网络，则 Pod 会将多个网络接口附加到该网络。

   在以下示例中，两个额外网络附加到 Pod：

   apiVersion: v1
   kind: Pod
   metadata:
     name: example-pod
     annotations:
       k8s.v1.cni.cncf.io/networks: net1,net2
   spec:
     containers:
     - name: example-pod
       command: ["/bin/bash", "-c", "sleep 2000000000000"]
       image: centos/tools

2. 运行以下命令来创建 Pod：

   $ oc create -f pod.yaml

3. 可选：通过运行以下命令，确认 Pod CR 中是否存在注解。将 <name> 替换为 Pod 的名称。

   $ oc get pod <name> -o yaml

   在以下示例中，example-pod Pod 附加到 net1 额外网络：

   $ oc get pod example-pod -o yaml
   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: macvlan-bridge
       k8s.v1.cni.cncf.io/networks-status: |- 1
         [{
             "name": "openshift-sdn",
             "interface": "eth0",
             "ips": [
                 "10.128.2.14"
             ],
             "default": true,
             "dns": {}
         },{
             "name": "macvlan-bridge",
             "interface": "net1",
             "ips": [
                 "20.2.2.100"
             ],
             "mac": "22:2f:60:a5:f8:00",
             "dns": {}
         }]
     name: example-pod
     namespace: default
   spec:
     ...
   status:
     ...

   1

   k8s.v1.cni.cncf.io/networks-status 参数是对象的 JSON 数组。每个对象描述附加到 Pod 的额外网络的状态。注解值保存为纯文本值。

1. 运行以下命令来编辑 Pod 资源定义。将 <name> 替换为要编辑的 Pod 的名称。

   $ oc edit pod <name>

2. 通过执行以下操作之一，更新 annotations 映射，以便从 Pod 中删除额外网络：

   • 要从 Pod 中删除所有额外网络，请从 Pod 资源定义中删除 k8s.v1.cni.cncf.io/networks 参数，如下例所示：

     apiVersion: v1
     kind: Pod
     metadata:
       name: example-pod
       annotations: {}
     spec:
       containers:
       - name: example-pod
         command: ["/bin/bash", "-c", "sleep 2000000000000"]
         image: centos/tools

   • 要从 Pod 中删除一个特定的额外网络，请删除这个额外网络的 NetworkAttachmentDefinition 名称，以更新 k8s.v1.cni.cncf.io/networks 参数。

3. 可选：通过运行以下命令，确认 Pod 不再附加到额外网络。将 <name> 替换为 Pod 的名称。

   $ oc describe pod <name>

   在以下示例中，example-pod Pod 仅附加到默认集群网络。

   $ oc describe pod example-pod
   
   Name:               example-pod
   ...
   Annotations:        k8s.v1.cni.cncf.io/networks-status:
                         [{
                             "name": "openshift-sdn",
                             "interface": "eth0",
                             "ips": [
                                 "10.131.0.13"
                             ],
                             "default": true, 1
                             "dns": {}
                         }]
   Status:             Running
   ...

   1

   只有默认集群网络附加到 Pod。

1. 运行以下命令来编辑 CNO CR：

   $ oc edit networks.operator.openshift.io cluster

2. 通过为要创建的额外网络添加配置来修改您要创建的 CR，如以下示例 CR 中所示。

   以下 YAML 配置 bridge CNI 插件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "type": "bridge",
         "master": "eth1",
         "ipam": {
           "type": "static",
           "addresses": [
             {
               "address": "191.168.1.1/24"
             }
           ]
         }
       }'

   1

   指定额外网络附加定义的配置。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 创建了 NetworkAttachmentDefinition CR。CNO 创建 CR 之前可能会有延迟。

   $ oc get network-attachment-definitions -n <namespace>
   NAME                 AGE
   test-network-1       14m

1. 运行以下命令来编辑 CNO CR：

   $ oc edit networks.operator.openshift.io cluster

2. 通过为要创建的额外网络添加配置来修改您要创建的 CR，如以下示例 CR 中所示。

   以下 YAML 配置 macvlan CNI 插件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: SimpleMacvlan
       simpleMacvlanConfig:
         ipamConfig:
           type: static
           staticIPAMConfig:
             addresses:
             - address: 10.1.1.0/24

   1

   指定额外网络附加定义的配置。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 创建了 NetworkAttachmentDefinition CR。CNO 创建 CR 之前可能会有延迟。

   $ oc get network-attachment-definitions -n <namespace>
   NAME                 AGE
   test-network-1       14m

1. 运行以下命令来编辑 CNO CR：

   $ oc edit networks.operator.openshift.io cluster

2. 通过为要创建的额外网络添加配置来修改您要创建的 CR，如以下示例 CR 中所示。

   以下 YAML 配置 ipvlan CNI 插件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "type": "ipvlan",
         "master": "eth1",
         "mode": "l2",
         "ipam": {
           "type": "static",
           "addresses": [
             {
               "address": "191.168.1.1/24"
             }
           ]
         }
       }'

   1

   指定额外网络附加定义的配置。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 创建了 NetworkAttachmentDefinition CR。CNO 创建 CR 之前可能会有延迟。

   $ oc get network-attachment-definitions -n <namespace>
   NAME                 AGE
   test-network-1       14m

1. 运行以下命令来编辑 CNO CR：

   $ oc edit networks.operator.openshift.io cluster

2. 通过为要创建的额外网络添加配置来修改您要创建的 CR，如以下示例 CR 中所示。

   以下 YAML 配置 host-device CNI 插件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "type": "host-device",
         "device": "eth1"
       }'

   1

   指定额外网络附加定义的配置。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 创建了 NetworkAttachmentDefinition CR。CNO 创建 CR 之前可能会有延迟。

   $ oc get network-attachment-definitions -n <namespace>
   NAME                 AGE
   test-network-1       14m

流程

1. 创建以下 SriovNetworkNodePolicy CR，然后在 <name>-sriov-node-network.yaml 文件中保存 YAML。使用配置的实际名称替换 <name>。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetworkNodePolicy
   metadata:
     name: <name> 1
     namespace: sriov-network-operator 2
   spec:
     resourceName: <sriov_resource_name> 3
     nodeSelector:
       feature.node.kubernetes.io/network-sriov.capable: "true" 4
     priority: <priority> 5
     mtu: <mtu> 6
     numVfs: <num> 7
     nicSelector: 8
       vendor: "<vendor_code>" 9
       deviceID: "<device_id>" 10
       pfNames: ["<pf_name>", ...] 11
       rootDevices: ["<pci_bus_id>", "..."] 12
     deviceType: <device_type> 13
     isRdma: false 14

   1

   为 CR 指定一个名称。

   2

   指定 SR-IOV Operator 安装到的命名空间。

   3

   指定 SR-IOV 设备插件的资源名称。如果 Pod spec 中引用了，则会添加 openshift.io/ 前缀。您可以为一个资源名称创建多个 SriovNetworkNodePolicy CR。

   4

   指定节点选择器来选择要配置哪些节点。用户可以选择手动标记节点，也可以使用 Kubernetes Node Feature Discovery 等工具进行。只有所选节点上的 SR-IOV 网络设备才会被配置。SR-IOV CNI 插件和设备插件只能部署到所选节点上。

   5

   指定一个 0 到 99 之间的整数。大数值的优先级较低，因此优先级 99 低于优先级 10。

   6

   为虚拟功能（VF）的最大传输单位 (MTU) 指定一个值。MTU 的值必须是在 1 到 9000 之间。如果您不需要指定 MTU，请指定一个 " 值。

   7

   为 SR-IOV 物理网络设备指定要创建的虚拟功能 (VF) 的数量。对于 Intel 网络接口卡 (NIC) ，VF 的数量不能超过该设备支持的 VF 总数。对于 Mellanox NIC，VF 的数量不能超过 128。

   8

   nicSelector 映射为 Operator 选择要配置的以太网设备。您不需要为所有参数指定值。建议您以足够的准确度来识别以太网适配器，以便尽量减小意外选择其他以太网设备的可能性。如果指定了rootDevices，则必须同时为 vendor、 deviceID 或 pfNames 指定一个值。如果同时指定了 pfNames 和 rootDevices，请确保它们指向同一个设备。

   9

   指定 SR-IOV 网络设备的厂商十六进制代码。允许的值只能是 8086 或 15b3。

   10

   指定 SR-IOV 网络设备的设备十六进制代码。允许的值只能是 158b、1015、1017。

   11

   参数接受包括以太网设备的一个或多个物理功能 (PF) 的数组。

   12

   参数接受一个包括一个或多个 PCI 总线地址，用于以太网设备的物理功能的数组。使用以下格式提供地址: 0000:02:00.1。

   13

   指定虚拟功能的驱动程序类型。您可以指定以下值之一：netdevice 和 vfio-pci。默认值为 netdevice。

   14

   指定是否启用 RDMA 模式。默认值为 false。在 Mellanox 以太网适配器中只支持 RDMA over Converged Ethernet (RoCE) 模式。

   注意

   如果将 RDMA 标记设定为 true，您可以继续使用启用了 RDMA 的 VF 作为普通网络设备。设备可在其中的一个模式中使用。

2. 运行以下命令来创建 CR：

   $ oc create -f <filename> 1

   1

   将 <filename> 替换为您在上一步中创建的文件的名称。

流程

1. 创建以下 SriovNetwork CR，然后在 <name>-sriov-network.yaml 文件中保存 YAML。用这个额外网络的名称替换 <name> 。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetwork
   metadata:
     name: <name> 1
     namespace: sriov-network-operator 2
   spec:
     networkNamespace: <target_namespace> 3
     ipam: |- 4
       ...
     vlan: <vlan> 5
     resourceName: <sriov_resource_name> 6

   1

   将 <name> 替换为 CR 的名称。Operator 将创建一个具有相同名称的 NetworkAttachmentDefinition CR。

   2

   指定 SR-IOV Operator 安装到的命名空间。

   3

   将 <target_namespace> 替换为创建 NetworkAttachmentDefinition CR 的命名空间。

   4

   为 ipam CNI 插件指定一个配置对象做为一个 YAML 块 scalar。该插件管理网络附加定义的 IP 地址分配。

   5

   使用额外网络的虚拟 LAN (VLAN) ID 替换 <vlan>。它需要是一个从 0 到 4095 范围内的一个整数值。默认值为 0。

   6

   把 <sriov_resource_name> 替换为来自用于为这个额外网络定义 SR-IOV 硬件的 SriovNetworkNodePolicy CR 的 .spec.resourceName 参数的值。

2. 运行以下命令来创建 CR：

   $ oc create -f <filename> 1

   1

   将 <filename> 替换为您在上一步中创建的文件的名称。

3. 可选：通过运行以下命令，确认与在上一步中创建的 SriovNetwork CR 关联的 NetworkAttachmentDefinition CR 是否存在。将 <namespace> 替换为您在 SriovNetwork CR 中指定的命名空间。

   oc get net-attach-def -n <namespace>

1. 在 Pod 资源定义中，将 k8s.v1.cni.cncf.io/networks 参数添加到 Pod metadata 映射中。k8s.v1.cni.cncf.io/networks 接受由一个或多个 NetworkAttachmentDefinition 自定义资源 (CR) 名称组成并用逗号分隔的字符串：

   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: <network>[,<network>,...] 1

   1

   将 <network> 替换为要与 Pod 关联的额外网络的名称。要指定多个额外网络，请使用逗号分隔各个网络。逗号之间不可包括空格。如果您多次指定同一额外网络，则 Pod 会将多个网络接口附加到该网络。

   在以下示例中，两个额外网络附加到 Pod：

   apiVersion: v1
   kind: Pod
   metadata:
     name: example-pod
     annotations:
       k8s.v1.cni.cncf.io/networks: net1,net2
   spec:
     containers:
     - name: example-pod
       command: ["/bin/bash", "-c", "sleep 2000000000000"]
       image: centos/tools

2. 运行以下命令来创建 Pod：

   $ oc create -f pod.yaml

3. 可选：通过运行以下命令，确认 Pod CR 中是否存在注解。将 <name> 替换为 Pod 的名称。

   $ oc get pod <name> -o yaml

   在以下示例中，example-pod Pod 附加到 net1 额外网络：

   $ oc get pod example-pod -o yaml
   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: macvlan-bridge
       k8s.v1.cni.cncf.io/networks-status: |- 1
         [{
             "name": "openshift-sdn",
             "interface": "eth0",
             "ips": [
                 "10.128.2.14"
             ],
             "default": true,
             "dns": {}
         },{
             "name": "macvlan-bridge",
             "interface": "net1",
             "ips": [
                 "20.2.2.100"
             ],
             "mac": "22:2f:60:a5:f8:00",
             "dns": {}
         }]
     name: example-pod
     namespace: default
   spec:
     ...
   status:
     ...

   1

   k8s.v1.cni.cncf.io/networks-status 参数是对象的 JSON 数组。每个对象描述附加到 Pod 的额外网络的状态。注解值保存为纯文本值。

1. 运行以下命令，在默认文本编辑器中编辑 Cluster Network Operator (CNO) CR：

   $ oc edit networks.operator.openshift.io cluster

2. 在 additionalNetworks 集合中，用您的更改更新额外网络。
3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 更新了 NetworkAttachmentDefinition CR。将 <network-name> 替换为要显示的额外网络名称。在 CNO 根据您的更改对 NetworkAttachmentDefinition CR 进行更新前，可能会有一些延迟。

   $ oc get network-attachment-definitions <network-name> -o yaml

   例如，以下控制台输出显示名为 net1 的 NetworkAttachmentDefinition：

   $ oc get network-attachment-definitions net1 -o go-template='{{printf "%s\n" .spec.config}}'
   { "cniVersion": "0.3.1", "type": "macvlan",
   "master": "ens5",
   "mode": "bridge",
   "ipam":       {"type":"static","routes":[{"dst":"0.0.0.0/0","gw":"10.128.2.1"}],"addresses":[{"address":"10.128.2.100/23","gateway":"10.128.2.1"}],"dns":{"nameservers":["172.30.0.10"],"domain":"us-west-2.compute.internal","search":["us-west-2.compute.internal"]}} }

1. 运行以下命令，在默认文本编辑器中编辑 Cluster Network Operator (CNO)：

   $ oc edit networks.operator.openshift.io cluster

2. 从您要删除的网络附加定义的 additionalNetworks 集合中删除配置，以此修改 CR。

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: [] 1

   1

   如果要删除 additionalNetworks 集合中唯一额外网络附加定义的配置映射，您必须指定一个空集合。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 运行以下命令，删除额外网络的 NetworkAttachmentDefinition CR。将 <name> 替换为要删除的额外网络名称。

   $ oc delete network-attachment-definition <name>

5. 可选：通过运行以下命令确认删除了额外网络 CR：

   $ oc get network-attachment-definition --all-namespaces

流程

1. 使用以下 JSON，用出口 IP 地址更新 NetNamespace 资源：

    $ oc patch netnamespace <project_name> --type=merge -p \ 1
     '{
       "egressIPs": [
         "<ip_address>" 2
       ]
     }'

   1

   指定项目的名称。

   2

   指定单个出口 IP 地址。不支持使用多 IP 地址。

   例如，将 project1 分配给 IP 地址 192.168.1.100，将 project2 分配给 IP 地址 192.168.1.101：

   $ oc patch netnamespace project1 --type=merge -p \
     '{"egressIPs": ["192.168.1.100"]}'
   $ oc patch netnamespace project2 --type=merge -p \
     '{"egressIPs": ["192.168.1.101"]}'

2. 使用以下 JSON 设置每一主机的 egressCIDRs 参数，以指明哪些节点可以托管出口 IP 地址：

   $ oc patch hostsubnet <node_name> --type=merge -p \ 1
     '{
       "egressCIDRs": [
         "<ip_address_range_1>", "<ip_address_range_2>" 2
       ]
     }'

   1

   指定节点名称。

   2

   以 CIDR 格式指定一个或多个 IP 地址范围。

   例如，将 node1 和 node2 设置为托管范围为 192.168.1.0 到 192.168.1.255 的出口 IP 地址：

   $ oc patch hostsubnet node1 --type=merge -p \
     '{"egressCIDRs": ["192.168.1.0/24"]}'
   $ oc patch hostsubnet node2 --type=merge -p \
     '{"egressCIDRs": ["192.168.1.0/24"]}'

   OpenShift Container Platform 会自动以均衡的方式将特定的出口 IP 地址分配给可用的节点。在本例中，它会将出口 IP 地址 192.168.1.100 分配给 node1，并将出口 IP 地址 192.168.1.101 分配给 node2，或反之。

流程

1. 通过使用所需 IP 地址指定以下 JSON 对象，更新 NetNamespace 资源：

   $ oc patch netnamespace <project> --type=merge -p \ 1
     '{
       "egressIPs": [ 2
         "<ip_address>"
         ]
     }'

   1

   指定项目的名称。

   2

   指定一个或多个出口 IP 地址。egressIPs 参数是一个数组。

   例如，将 project1 项目分配给 IP 地址 192.168.1.100：

   $ oc patch netnamespace project1 --type=merge \
     -p '{"egressIPs": ["192.168.1.100"]}'

   您可以将 egressIPs 设置为位于不同节点上的两个或多个 IP 地址，以提供高可用性。如果设置了多个出口 IP 地址，Pod 会将列表中的第一个 IP 用于出口，但如果托管该 IP 地址的节点失败，Pod 会在短暂的延迟后切换到使用列表中的下一个 IP。

2. 手动将出口 IP 分配给节点主机。在节点主机上的 HostSubnet 对象中设置 egressIPs 参数。使用以下 JSON，尽可能纳入您要分配给该节点主机的所有 IP：

   $ oc patch hostsubnet <node_name> --type=merge -p \ 1
     '{
       "egressIPs": [ 2
         "<ip_address_1>",
         "<ip_address_N>"
         ]
     }'

   1

   指定项目的名称。

   2

   指定一个或多个出口 IP 地址。egressIPs 字段是一个数组。

   例如，指定 node1 应具有出口 IP 192.168.1.100、192.168.1.101 和 192.168.1.102：

   $ oc patch hostsubnet node1 --type=merge -p \
     '{"egressIPs": ["192.168.1.100", "192.168.1.101", "192.168.1.102"]}'

   在上例中，project1 的所有出口流量都会被路由到托管指定出口 IP 地址的节点，然后（使用 NAT）连接到那个 IP 地址。

流程

1. 创建策略规则：

   1. 创建一个 <policy-name>.yaml 文件，其中 <policy-name> 描述出口策略规则。
   2. 在您创建的文件中，定义出口策略对象。

2. 运行以下命令来创建策略对象：

   $ oc create -f <policy-name>.yaml -n <project>

   在以下示例中，在名为 project1 的项目中创建一个新的 EgressNetworkPolicy 对象：

   $ oc create -f default-rules.yaml -n project1
   egressnetworkpolicy.network.openshift.io/default-rules created

3. 可选：保存 <policy-name>.yaml ，以便在以后进行修改。

1. 查找项目的 EgressNetworkPolicy 对象的名称。将 <project> 替换为项目的名称。

   $ oc get -n <project> egressnetworkpolicy

2. 可选，如果您在创建出口网络防火墙时没有保存 EgressNetworkPolicy 对象的副本，请输入以下命令来创建副本。

   $ oc get -n <project> \ 1
     egressnetworkpolicy <name> \ 2
     -o yaml > <filename>.yaml 3

   1

   将 <project> 替换为项目的名称

   2

   将 <name> 替换为 Pod 的名称。

   3

   将 <filename> 替换为要保存 YAML 的文件名称。

3. 输入以下命令替换 EgressNetworkPolicy 对象。将 <filename> 替换为包含更新的 EgressNetworkPolicy 对象的文件名称。

   $ oc replace -f <filename>.yaml

1. 查找项目的 EgressNetworkPolicy 对象的名称。将 <project> 替换为项目的名称。

   $ oc get -n <project> egressnetworkpolicy

2. 输入以下命令删除 EgressNetworkPolicy 对象。将 <project> 替换为项目名称，<name> 替换为对象名称。

   $ oc delete -n <project> egressnetworkpolicy <name>

流程

1. 使用以下命令，将项目接合到现有项目网络中：

   $ oc adm pod-network join-projects --to=<project1> <project2> <project3>

   另外，除了指定具体的项目名称，也可以使用 --selector=<project_selector> 选项来基于关联标签指定项目。

2. 可选：运行以下命令来查看您接合在一起的 Pod 网络：

   $ oc get netnamespaces

   在 NETID 列中，同一 Pod 网络中的项目具有相同的网络 ID。

流程

1. 通过运行以下命令，编辑 Network.operator.openshift.io 自定义资源 (CR)：

   $ oc edit network.operator.openshift.io cluster

2. 利用您对 kube-proxy 配置的更改修改 CR 中的 kubeProxyConfig 参数，如以下示例 CR 中所示：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     kubeProxyConfig:
       iptablesSyncPeriod: 30s
       proxyArguments:
         iptables-min-sync-period: ["30s"]

3. 保存文件并退出文本编辑器。

   保存文件并退出编辑器时，oc 命令会验证其语法。如果您的修改含有语法错误，编辑器会打开该文件并显示错误消息。

4. 运行以下命令来确认配置更新：

   $ oc get networks.operator.openshift.io -o yaml

   该命令返回的输出类似如下示例：

   apiVersion: v1
   items:
   - apiVersion: operator.openshift.io/v1
     kind: Network
     metadata:
       name: cluster
     spec:
       clusterNetwork:
       - cidr: 10.128.0.0/14
         hostPrefix: 23
       defaultNetwork:
         type: OpenShiftSDN
       kubeProxyConfig:
         iptablesSyncPeriod: 30s
         proxyArguments:
           iptables-min-sync-period:
           - 30s
       serviceNetwork:
       - 172.30.0.0/16
     status: {}
   kind: List

5. 可选：运行以下命令，确认 Cluster Network Operator 已接受配置更改：

   $ oc get clusteroperator network
   NAME      VERSION     AVAILABLE   PROGRESSING   DEGRADED   SINCE
   network   4.1.0-0.9   True        False         False      1m

   成功应用配置更新后，AVAILABLE 字段为 True。

流程

1. 使用 oc annotate 命令，为路由添加超时：

   $ oc annotate route <route_name> \
       --overwrite haproxy.router.openshift.io/timeout=<timeout><time_unit> 1

   1

   支持的时间单位是微秒 (us)、毫秒 (ms)、秒钟 (s)、分钟 (m)、小时 (h)、或天 (d)。

   以下示例在名为 myroute 的路由上设置两秒的超时：

   $ oc annotate route myroute --overwrite haproxy.router.openshift.io/timeout=2s

流程

1. 为您的服务创建一个新项目：

   $ oc new-project <project_name>

   例如：

   $ oc new-project myproject

2. 使用 oc new-app 命令来创建服务。例如：

   $ oc new-app \
       -e MYSQL_USER=admin \
       -e MYSQL_PASSWORD=redhat \
       -e MYSQL_DATABASE=mysqldb \
       registry.redhat.io/rhscl/mysql-80-rhel7

3. 运行以下命令，以查看新服务是否已创建：

   $ oc get svc -n myproject
   NAME             TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   mysql-80-rhel7   ClusterIP   172.30.63.31   <none>        3306/TCP   4m55s

   默认情况下，新服务没有外部 IP 地址。

1. 登录 OpenShift Container Platform。

2. 登录您想公开的服务所在的项目。

   $ oc project project1

3. 运行以下命令以公开路由：

   $ oc expose service <service_name>

   例如：

   $ oc expose service mysql-80-rhel7
   route "mysql-80-rhel7" exposed

4. 使用 cURL 等工具来确保您可以使用服务的集群 IP 地址来访问该服务：

   $ curl <pod_ip>:<port>

   例如：

   $ curl 172.30.131.89:3306

   此部分中的示例使用 MySQL 服务，这需要客户端应用程序。如果您得到一串字符并看到 Got packets out of order 消息，则您已连接到该服务。

   如果您有 MySQL 客户端，请使用标准 CLI 命令登录：

   $ mysql -h 172.30.131.89 -u admin -p
   Enter password:
   Welcome to the MariaDB monitor.  Commands end with ; or \g.
   
   MySQL [(none)]>

流程

1. 编辑 router-internal.yaml 文件：

   # cat router-internal.yaml
   apiVersion: v1
   items:
   - apiVersion: operator.openshift.io/v1
     kind: IngressController
     metadata:
       name: sharded
       namespace: openshift-ingress-operator
     spec:
       domain: <apps-sharded.basedomain.example.net>
       nodePlacement:
         nodeSelector:
           matchLabels:
             node-role.kubernetes.io/worker: ""
       routeSelector:
         matchLabels:
           type: sharded
     status: {}
   kind: List
   metadata:
     resourceVersion: ""
     selfLink: ""

2. 应用 Ingress Controller router-internal.yaml 文件：

   # oc apply -f router-internal.yaml

   Ingress Controller 选择具有 type: sharded 标签的任意命名空间中的路由。

流程

1. 编辑 router-internal.yaml 文件：

   # cat router-internal.yaml
   apiVersion: v1
   items:
   - apiVersion: operator.openshift.io/v1
     kind: IngressController
     metadata:
       name: sharded
       namespace: openshift-ingress-operator
     spec:
       domain: <apps-sharded.basedomain.example.net>
       nodePlacement:
         nodeSelector:
           matchLabels:
             node-role.kubernetes.io/worker: ""
       namespaceSelector:
         matchLabels:
           type: sharded
     status: {}
   kind: List
   metadata:
     resourceVersion: ""
     selfLink: ""

2. 应用 Ingress Controller router-internal.yaml 文件：

   # oc apply -f router-internal.yaml

   Ingress Controller 选择由命名空间选择器选择的具有 type: sharded 标签的任意命名空间中的路由。

流程

1. 为您的服务创建一个新项目：

   $ oc new-project <project_name>

   例如：

   $ oc new-project myproject

2. 使用 oc new-app 命令来创建服务。例如：

   $ oc new-app \
       -e MYSQL_USER=admin \
       -e MYSQL_PASSWORD=redhat \
       -e MYSQL_DATABASE=mysqldb \
       registry.redhat.io/rhscl/mysql-80-rhel7

3. 运行以下命令，以查看新服务是否已创建：

   $ oc get svc -n myproject
   NAME             TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   mysql-80-rhel7   ClusterIP   172.30.63.31   <none>        3306/TCP   4m55s

   默认情况下，新服务没有外部 IP 地址。

1. 登录 OpenShift Container Platform。

2. 登录您想公开的服务所在的项目。

   $ oc project project1

3. 运行以下命令以公开路由：

   $ oc expose service <service_name>

   例如：

   $ oc expose service mysql-80-rhel7
   route "mysql-80-rhel7" exposed

4. 使用 cURL 等工具来确保您可以使用服务的集群 IP 地址来访问该服务：

   $ curl <pod_ip>:<port>

   例如：

   $ curl 172.30.131.89:3306

   此部分中的示例使用 MySQL 服务，这需要客户端应用程序。如果您得到一串字符并看到 Got packets out of order 消息，则您已连接到该服务。

   如果您有 MySQL 客户端，请使用标准 CLI 命令登录：

   $ mysql -h 172.30.131.89 -u admin -p
   Enter password:
   Welcome to the MariaDB monitor.  Commands end with ; or \g.
   
   MySQL [(none)]>

1. 登录 OpenShift Container Platform。

2. 加载您要公开的服务所在的项目。

   $ oc project project1

3. 在 master 节点上打开一个文本文件并粘贴以下文本，根据需要编辑该文件：

   负载均衡器配置文件示例

   apiVersion: v1
   kind: Service
   metadata:
     name: egress-2 1
   spec:
     ports:
     - name: db
       port: 3306 2
     loadBalancerIP:
     type: LoadBalancer 3
     selector:
       name: mysql 4

   1

   为负载均衡器服务输入一个描述性名称。

   2

   输入您要公开的服务所侦听的同一个端口

   3

   输入 loadbalancer 作为类型。

   4

   输入服务的名称。

4. 保存并退出文件。

5. 运行以下命令来创建服务：

   oc create -f <file-name>

   例如：

   oc create -f mysql-lb.yaml

6. 执行以下命令以查看新服务：

   $ oc get svc
   NAME       TYPE           CLUSTER-IP      EXTERNAL-IP                             PORT(S)          AGE
   egress-2   LoadBalancer   172.30.22.226   ad42f5d8b303045-487804948.example.com   3306:30357/TCP   15m

   如果启用了云供应商，该服务会自动分配到一个外部 IP 地址。

7. 在 master 上，使用 cURL 等工具来确保您可以通过公共 IP 地址访问该服务：

   $ curl <public-ip>:<port>

   例如：

   $ curl 172.29.121.74:3306

   此部分中的示例使用 MySQL 服务，这需要客户端应用程序。如果您得到一串字符并看到 Got packets out of order 消息，则您已连接到该服务。

   如果您有 MySQL 客户端，请使用标准 CLI 命令登录：

   $ mysql -h 172.30.131.89 -u admin -p
   Enter password:
   Welcome to the MariaDB monitor.  Commands end with ; or \g.
   
   MySQL [(none)]>

流程

1. 为您的服务创建一个新项目：

   $ oc new-project <project_name>

   例如：

   $ oc new-project myproject

2. 使用 oc new-app 命令来创建服务。例如：

   $ oc new-app \
       -e MYSQL_USER=admin \
       -e MYSQL_PASSWORD=redhat \
       -e MYSQL_DATABASE=mysqldb \
       registry.redhat.io/rhscl/mysql-80-rhel7

3. 运行以下命令，以查看新服务是否已创建：

   $ oc get svc -n myproject
   NAME             TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   mysql-80-rhel7   ClusterIP   172.30.63.31   <none>        3306/TCP   4m55s

   默认情况下，新服务没有外部 IP 地址。

1. 登录 OpenShift Container Platform。

2. 登录您想公开的服务所在的项目。

   $ oc project project1

3. 运行以下命令以公开路由：

   $ oc expose service <service_name>

   例如：

   $ oc expose service mysql-80-rhel7
   route "mysql-80-rhel7" exposed

4. 使用 cURL 等工具来确保您可以使用服务的集群 IP 地址来访问该服务：

   $ curl <pod_ip>:<port>

   例如：

   $ curl 172.30.131.89:3306

   此部分中的示例使用 MySQL 服务，这需要客户端应用程序。如果您得到一串字符并看到 Got packets out of order 消息，则您已连接到该服务。

   如果您有 MySQL 客户端，请使用标准 CLI 命令登录：

   $ mysql -h 172.30.131.89 -u admin -p
   Enter password:
   Welcome to the MariaDB monitor.  Commands end with ; or \g.
   
   MySQL [(none)]>

流程

1. 为您的服务创建一个新项目：

   $ oc new-project <project_name>

   例如：

   $ oc new-project myproject

2. 使用 oc new-app 命令来创建服务。例如：

   $ oc new-app \
       -e MYSQL_USER=admin \
       -e MYSQL_PASSWORD=redhat \
       -e MYSQL_DATABASE=mysqldb \
       registry.redhat.io/rhscl/mysql-80-rhel7

3. 运行以下命令，以查看新服务是否已创建：

   $ oc get svc -n myproject
   NAME             TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   mysql-80-rhel7   ClusterIP   172.30.63.31   <none>        3306/TCP   4m55s

   默认情况下，新服务没有外部 IP 地址。

1. 登录 OpenShift Container Platform。

2. 登录您想公开的服务所在的项目。

   $ oc project project1

3. 要为应用程序公开节点端口，请输入以下命令。OpenShift Container Platform 会自动在 30000-32767 范围内选择可用端口。

   $ oc expose dc mysql-80-rhel7 --type=NodePort --name=mysql-ingress

4. 可选： 要使用公开的节点端口确认该服务可用，请输入以下命令：

   $ oc get svc -n myproject
   NAME             TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)          AGE
   mysql-80-rhel7   ClusterIP   172.30.217.127   <none>        3306/TCP         9m44s
   mysql-ingress    NodePort    172.30.107.72    <none>        3306:31345/TCP   39s

5. 可选： 要删除由 oc new-app 命令自动创建的服务，请输入以下命令：

   $ oc delete svc mysql-80-rhel7