流程

1. 标识您的域或子域，以及注册商（registrar）。您可以转移现有的域和注册商，或通过 GCP 或其他来源获取新的域和注册商。

   注意

   如果您购买新域，则需要时间来传播相关的 DNS 更改。有关通过 Google 购买域的更多信息，请参阅 Google Domains。

2. 在 GCP 项目中为您的域或子域创建一个公共托管区。请参阅 GCP 文档中的创建公共区。

   使用合适的根域（如 openshiftcorp.com）或子域（如 clusters.openshiftcorp.com）。

3. 从托管区记录中提取新的权威名称服务器。请参阅 GCP 文档中的查找您的云 DNS 名称服务器。

   您通常有四个名称服务器。

4. 更新域所用名称服务器的注册商记录。例如，如果您将域注册到了 Google Domains，请参阅 Google Domains 帮助中的以下主题：如何切换到自定义名称服务器。
5. 如果您将根域迁移到 Google Cloud DNS，请迁移您的 DNS 记录。请参阅 GCP 文档中的 Migrating to Cloud DNS 。
6. 如果您使用子域，请按照您公司的流程将其委派记录添加到父域。这个过程可能包括对您公司的 IT 部门或控制您公司的根域和 DNS 服务的部门提出请求。

流程

1. 在用于托管 OpenShift Container Platform 集群的项目中，创建一个新服务帐户。请参阅 GCP 文档中的创建服务账户。

2. 为服务帐户授予适当的权限。您可以逐一授予权限，也可以为其分配 Owner 角色。请参阅将角色授予特定资源的服务帐户。

   注意

   获得所需权限最简单的方法是把服务帐户设置为项目的拥有者（owner），这意味着该服务帐户对项目有完全的控制权。您必须考虑这样设定所带来的的风险是否可以接受。

3. 以 JSON 格式创建服务帐户密钥。请参阅 GCP 文档中的创建服务帐户密钥。

   创建集群时需要该服务帐户密钥。

流程

1. 如果还没有为计算机上免密码身份验证而配置的 SSH 密钥，请创建一个。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ ssh-keygen -t ed25519 -N '' \
       -f <path>/<file_name> 1

   1

   指定 SSH 密钥的路径和文件名，如 ~/.ssh/id_rsa。不要指定已存在的 SSH 密钥，因为它会被覆盖。

   运行此命令会在指定的位置生成不需要密码的 SSH 密钥。

2. 作为后台任务启动 ssh-agent 进程：

   $ eval "$(ssh-agent -s)"
   
   Agent pid 31874

3. 将 SSH 私钥添加到 ssh-agent：

   $ ssh-add <path>/<file_name> 1
   
   Identity added: /home/<you>/<path>/<file_name> (<computer_name>)

   1

   指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_rsa

流程

1. 访问 Red Hat OpenShift Cluster Manager 网站的 Infrastructure Provider 页面。如果您有红帽帐号，请使用自己的凭证登录。如果没有，请创建一个帐户。

2. 进入适用于您的安装类型的页面，下载您的操作系统的安装程序，并将文件放在要保存安装配置文件的目录中。。

   重要

   安装程序会在用来安装集群的计算机上创建若干文件。在完成集群安装后，您必须保留安装程序和安装程序所创建的文件。

   重要

   删除安装程序创建的文件不会删除您的集群，即使集群在安装过程中失败也是如此。您必须完成针对特定云供应商的 OpenShift Container Platform 卸载流程，才能完全删除您的集群。

3. 提取安装程序。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ tar xvf <installation_program>.tar.gz

4. 在 Red Hat OpenShift Cluster Manager 站点的 Pull Secret 页面中，下载您的安装 pull secret 的 .txt 文件。通过此 pull secret，您可以进行所含授权机构提供的服务的身份验证，这些服务包括为 OpenShift Container Platform 组件提供容器镜像的 Quay.io。

流程

1. 对于存储在以下位置的任何现有 GCP 凭证，删除不使用您为集群配置的 GCP 帐户的服务帐户密钥的凭证：

   • GOOGLE_CREDENTIALS、GOOGLE_CLOUD_KEYFILE_JSON 或 GCLOUD_KEYFILE_JSON 环境变量
   • ~/.gcp/osServiceAccount.json 文件
   • gcloud cli 默认凭证

2. 运行安装程序：

   $ ./openshift-install create cluster --dir=<installation_directory> \ 1
       --log-level=info 2

   1

   对于 <installation_directory>，请指定用于保存安装程序所创建的文件的目录名称。

   2

   要查看不同的安装详情，请指定 warn、debug 或 error，而不要指定 info。

   重要

   指定一个空目录。一些安装信息，如 bootstrap X.509 证书，有较短的过期间隔，因此不要重复使用安装目录。如果要重复使用另一个集群安装中的个别文件，可以将其复制到您的目录中。但是，一些安装数据的文件名可能会在发行版本之间有所改变。从 OpenShift Container Platform 老版本中复制安装文件时要格外小心。

   在提示符处提供值：

   1. 可选：选择用来访问集群机器的 SSH 密钥。

      注意

      对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

   2. 选择 gcp 作为目标平台。
   3. 如果您没有为计算机上的 GCP 帐户配置服务帐户密钥，则必须从 GCP 获取，并粘贴文件的内容或输入文件的绝对路径。
   4. 选择要在其中置备集群的项目 ID。默认值由您配置的服务帐户指定。
   5. 选择要在其中部署集群的区域。
   6. 选择集群要部署到的基域。基域与您为集群创建的公共 DNS 区对应。
   7. 为集群输入一个描述性名称。如果您提供的名称超过 6 个字符，只有前 6 个字符会用在从集群名称生成的基础架构 ID 中。
   8. 粘贴从 Red Hat OpenShift Cluster Manager 站点的 Pull Secret 页面中获取的 pull secret。
   注意

   如果您在主机上配置的云供应商帐户没有足够的权限来部署集群，安装过程将会停止，并且显示缺少的权限。

   集群部署完成后，终端会显示访问集群的信息，包括指向其 Web 控制台的链接和 kubeadmin 用户的凭证。

   重要

   安装程序生成的 Ignition 配置文件包含在 24 小时后过期的证书，然后在过期时进行续订。如果在更新证书前关闭集群，且集群在 24 小时后重启，集群会自动恢复过期的证书。一个例外情况是，您需要手动批准待处理的 node-bootstrapper 证书签名请求（CSR）来恢复 kubelet 证书。如需更多信息，请参阅从过期的 control plane 证书中恢复的文档。

   重要

   您不得删除安装程序或安装程序所创建的文件。需要这两者才能删除集群。

3. 可选：您可以减少用于安装集群的服务帐户的权限数。

   • 如果将 Owner 角色分配给您的服务帐户，您可以删除该角色并使用 Viewer 角色替换。
   • 如果您包含 Service Account Key Admin 角色，您可以将其删除。

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 1

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 使用导出的配置，验证能否成功运行 oc 命令：

   $ oc whoami
   system:admin

流程

1. 如果还没有为计算机上免密码身份验证而配置的 SSH 密钥，请创建一个。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ ssh-keygen -t ed25519 -N '' \
       -f <path>/<file_name> 1

   1

   指定 SSH 密钥的路径和文件名，如 ~/.ssh/id_rsa。不要指定已存在的 SSH 密钥，因为它会被覆盖。

   运行此命令会在指定的位置生成不需要密码的 SSH 密钥。

2. 作为后台任务启动 ssh-agent 进程：

   $ eval "$(ssh-agent -s)"
   
   Agent pid 31874

3. 将 SSH 私钥添加到 ssh-agent：

   $ ssh-add <path>/<file_name> 1
   
   Identity added: /home/<you>/<path>/<file_name> (<computer_name>)

   1

   指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_rsa

流程

1. 访问 Red Hat OpenShift Cluster Manager 网站的 Infrastructure Provider 页面。如果您有红帽帐号，请使用自己的凭证登录。如果没有，请创建一个帐户。

2. 进入适用于您的安装类型的页面，下载您的操作系统的安装程序，并将文件放在要保存安装配置文件的目录中。。

   重要

   安装程序会在用来安装集群的计算机上创建若干文件。在完成集群安装后，您必须保留安装程序和安装程序所创建的文件。

   重要

   删除安装程序创建的文件不会删除您的集群，即使集群在安装过程中失败也是如此。您必须完成针对特定云供应商的 OpenShift Container Platform 卸载流程，才能完全删除您的集群。

3. 提取安装程序。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ tar xvf <installation_program>.tar.gz

4. 在 Red Hat OpenShift Cluster Manager 站点的 Pull Secret 页面中，下载您的安装 pull secret 的 .txt 文件。通过此 pull secret，您可以进行所含授权机构提供的服务的身份验证，这些服务包括为 OpenShift Container Platform 组件提供容器镜像的 Quay.io。

流程

1. 创建 install-config.yaml 文件。

   1. 运行以下命令：

      $ ./openshift-install create install-config --dir=<installation_directory> 1

      1

      对于 <installation_directory>，请指定用于保存安装程序所创建的文件的目录名称。

      重要

      指定一个空目录。一些安装信息，如 bootstrap X.509 证书，有较短的过期间隔，因此不要重复使用安装目录。如果要重复使用另一个集群安装中的个别文件，可以将其复制到您的目录中。但是，一些安装数据的文件名可能会在发行版本之间有所改变。从 OpenShift Container Platform 老版本中复制安装文件时要格外小心。

   2. 在提示符处，提供您的云的配置详情：

      1. 可选：选择用来访问集群机器的 SSH 密钥。

         注意

         对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

      2. 选择 gcp 作为目标平台。
      3. 如果您没有为计算机上的 GCP 帐户配置服务帐户密钥，则必须从 GCP 获取，并粘贴文件的内容或输入文件的绝对路径。
      4. 选择要在其中置备集群的项目 ID。默认值由您配置的服务帐户指定。
      5. 选择要在其中部署集群的区域。
      6. 选择集群要部署到的基域。基域与您为集群创建的公共 DNS 区对应。
      7. 为集群输入一个描述性名称。如果您提供的名称超过 6 个字符，只有前 6 个字符会用在从集群名称生成的基础架构 ID 中。
      8. 粘贴从 Red Hat OpenShift Cluster Manager 站点的 Pull Secret 页面中获取的 pull secret。
2. 修改 install-config.yaml 文件。您可以在安装配置参数部分中找到有关可用参数的更多信息。

3. 备份 install-config.yaml 文件，以便用于安装多个集群。

   重要

   install-config.yaml 文件会在安装过程中消耗掉。如果要重复使用此文件，必须现在备份。

流程

1. 对于存储在以下位置的任何现有 GCP 凭证，删除不使用您为集群配置的 GCP 帐户的服务帐户密钥的凭证：

   • GOOGLE_CREDENTIALS、GOOGLE_CLOUD_KEYFILE_JSON 或 GCLOUD_KEYFILE_JSON 环境变量
   • ~/.gcp/osServiceAccount.json 文件
   • gcloud cli 默认凭证

2. 运行安装程序：

   $ ./openshift-install create cluster --dir=<installation_directory> \ 1
       --log-level=info 2

   1

   对于 <installation_directory>，请指定自定义 ./install-config.yaml 文件的位置。

   2

   要查看不同的安装详情，请指定 warn、debug 或 error，而不要指定 info。

   注意

   如果您在主机上配置的云供应商帐户没有足够的权限来部署集群，安装过程将会停止，并且显示缺少的权限。

   集群部署完成后，终端会显示访问集群的信息，包括指向其 Web 控制台的链接和 kubeadmin 用户的凭证。

   重要

   安装程序生成的 Ignition 配置文件包含在 24 小时后过期的证书，然后在过期时进行续订。如果在更新证书前关闭集群，且集群在 24 小时后重启，集群会自动恢复过期的证书。一个例外情况是，您需要手动批准待处理的 node-bootstrapper 证书签名请求（CSR）来恢复 kubelet 证书。如需更多信息，请参阅从过期的 control plane 证书中恢复的文档。

   重要

   您不得删除安装程序或安装程序所创建的文件。需要这两者才能删除集群。

3. 可选：您可以减少用于安装集群的服务帐户的权限数。

   • 如果将 Owner 角色分配给您的服务帐户，您可以删除该角色并使用 Viewer 角色替换。
   • 如果您包含 Service Account Key Admin 角色，您可以将其删除。

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 1

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 使用导出的配置，验证能否成功运行 oc 命令：

   $ oc whoami
   system:admin

流程

1. 如果还没有为计算机上免密码身份验证而配置的 SSH 密钥，请创建一个。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ ssh-keygen -t ed25519 -N '' \
       -f <path>/<file_name> 1

   1

   指定 SSH 密钥的路径和文件名，如 ~/.ssh/id_rsa。不要指定已存在的 SSH 密钥，因为它会被覆盖。

   运行此命令会在指定的位置生成不需要密码的 SSH 密钥。

2. 作为后台任务启动 ssh-agent 进程：

   $ eval "$(ssh-agent -s)"
   
   Agent pid 31874

3. 将 SSH 私钥添加到 ssh-agent：

   $ ssh-add <path>/<file_name> 1
   
   Identity added: /home/<you>/<path>/<file_name> (<computer_name>)

   1

   指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_rsa

流程

1. 访问 Red Hat OpenShift Cluster Manager 网站的 Infrastructure Provider 页面。如果您有红帽帐号，请使用自己的凭证登录。如果没有，请创建一个帐户。

2. 进入适用于您的安装类型的页面，下载您的操作系统的安装程序，并将文件放在要保存安装配置文件的目录中。。

   重要

   安装程序会在用来安装集群的计算机上创建若干文件。在完成集群安装后，您必须保留安装程序和安装程序所创建的文件。

   重要

   删除安装程序创建的文件不会删除您的集群，即使集群在安装过程中失败也是如此。您必须完成针对特定云供应商的 OpenShift Container Platform 卸载流程，才能完全删除您的集群。

3. 提取安装程序。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ tar xvf <installation_program>.tar.gz

4. 在 Red Hat OpenShift Cluster Manager 站点的 Pull Secret 页面中，下载您的安装 pull secret 的 .txt 文件。通过此 pull secret，您可以进行所含授权机构提供的服务的身份验证，这些服务包括为 OpenShift Container Platform 组件提供容器镜像的 Quay.io。

流程

1. 创建 install-config.yaml 文件。

   1. 运行以下命令：

      $ ./openshift-install create install-config --dir=<installation_directory> 1

      1

      对于 <installation_directory>，请指定用于保存安装程序所创建的文件的目录名称。

      重要

      指定一个空目录。一些安装信息，如 bootstrap X.509 证书，有较短的过期间隔，因此不要重复使用安装目录。如果要重复使用另一个集群安装中的个别文件，可以将其复制到您的目录中。但是，一些安装数据的文件名可能会在发行版本之间有所改变。从 OpenShift Container Platform 老版本中复制安装文件时要格外小心。

   2. 在提示符处，提供您的云的配置详情：

      1. 可选：选择用来访问集群机器的 SSH 密钥。

         注意

         对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

      2. 选择 gcp 作为目标平台。
      3. 如果您没有为计算机上的 GCP 帐户配置服务帐户密钥，则必须从 GCP 获取，并粘贴文件的内容或输入文件的绝对路径。
      4. 选择要在其中置备集群的项目 ID。默认值由您配置的服务帐户指定。
      5. 选择要在其中部署集群的区域。
      6. 选择集群要部署到的基域。基域与您为集群创建的公共 DNS 区对应。
      7. 为集群输入一个描述性名称。如果您提供的名称超过 6 个字符，只有前 6 个字符会用在从集群名称生成的基础架构 ID 中。
      8. 粘贴从 Red Hat OpenShift Cluster Manager 站点的 Pull Secret 页面中获取的 pull secret。
2. 修改 install-config.yaml 文件。您可以在安装配置参数部分中找到有关可用参数的更多信息。

3. 备份 install-config.yaml 文件，以便用于安装多个集群。

   重要

   install-config.yaml 文件会在安装过程中消耗掉。如果要重复使用此文件，必须现在备份。

流程

1. 使用以下命令来创建清单：

   $ ./openshift-install create manifests --dir=<installation_directory> 1

   1

   对于 <installation_directory>，请指定含有集群的 install-config.yaml 文件的目录的名称。

2. 在 <installation_directory>/manifests/ 目录下，创建一个名为 cluster-network-03-config.yml 的文件：

   $ touch <installation_directory>/manifests/cluster-network-03-config.yml 1

   1

   对于 <installation_directory>，请指定包含集群的 manifests/ 目录的目录名称。

   创建该文件后，manifests/ 目录中会包含多个网络配置文件，如下所示：

   $ ls <installation_directory>/manifests/cluster-network-*

   输出示例

   cluster-network-01-crd.yml
   cluster-network-02-config.yml
   cluster-network-03-config.yml

3. 在编辑器中打开 cluster-network-03-config.yml 文件，然后输入描述您想要的 Operator 配置的 CR：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec: 1
     clusterNetwork:
     - cidr: 10.128.0.0/14
       hostPrefix: 23
     serviceNetwork:
     - 172.30.0.0/16
     defaultNetwork:
       type: OpenShiftSDN
       openshiftSDNConfig:
         mode: NetworkPolicy
         mtu: 1450
         vxlanPort: 4789

   1

   spec 参数的参数仅作示例。在 CR 中为 Cluster Network Operator 指定配置。

   CNO 为 CR 中的参数提供默认值，因此您必须只指定要更改的参数。

4. 保存 cluster-network-03-config.yml 文件，再退出文本编辑器。
5. 可选：备份 manifests/cluster-network-03-config.yml 文件。创建集群时，安装程序会删除 manifests/ 目录。

流程

1. 运行安装程序：

   $ ./openshift-install create cluster --dir=<installation_directory> \ 1
       --log-level=info 2

   1

   对于 <installation_directory>，请指定

   2

   要查看不同的安装详情，请指定 warn、debug 或 error，而不要指定 info。

   注意

   如果您在主机上配置的云供应商帐户没有足够的权限来部署集群，安装过程将会停止，并且显示缺少的权限。

   集群部署完成后，终端会显示访问集群的信息，包括指向其 Web 控制台的链接和 kubeadmin 用户的凭证。

   重要

   安装程序生成的 Ignition 配置文件包含在 24 小时后过期的证书，然后在过期时进行续订。如果在更新证书前关闭集群，且集群在 24 小时后重启，集群会自动恢复过期的证书。一个例外情况是，您需要手动批准待处理的 node-bootstrapper 证书签名请求（CSR）来恢复 kubelet 证书。如需更多信息，请参阅从过期的 control plane 证书中恢复的文档。

   重要

   您不得删除安装程序或安装程序所创建的文件。需要这两者才能删除集群。

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 1

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 使用导出的配置，验证能否成功运行 oc 命令：

   $ oc whoami
   system:admin

流程

1. 如果还没有为计算机上免密码身份验证而配置的 SSH 密钥，请创建一个。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ ssh-keygen -t ed25519 -N '' \
       -f <path>/<file_name> 1

   1

   指定 SSH 密钥的路径和文件名，如 ~/.ssh/id_rsa。不要指定已存在的 SSH 密钥，因为它会被覆盖。

   运行此命令会在指定的位置生成不需要密码的 SSH 密钥。

2. 作为后台任务启动 ssh-agent 进程：

   $ eval "$(ssh-agent -s)"
   
   Agent pid 31874

3. 将 SSH 私钥添加到 ssh-agent：

   $ ssh-add <path>/<file_name> 1
   
   Identity added: /home/<you>/<path>/<file_name> (<computer_name>)

   1

   指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_rsa

流程

1. 访问 Red Hat OpenShift Cluster Manager 网站的 Infrastructure Provider 页面。如果您有红帽帐号，请使用自己的凭证登录。如果没有，请创建一个帐户。

2. 进入适用于您的安装类型的页面，下载您的操作系统的安装程序，并将文件放在要保存安装配置文件的目录中。。

   重要

   安装程序会在用来安装集群的计算机上创建若干文件。在完成集群安装后，您必须保留安装程序和安装程序所创建的文件。

   重要

   删除安装程序创建的文件不会删除您的集群，即使集群在安装过程中失败也是如此。您必须完成针对特定云供应商的 OpenShift Container Platform 卸载流程，才能完全删除您的集群。

3. 提取安装程序。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ tar xvf <installation_program>.tar.gz

4. 在 Red Hat OpenShift Cluster Manager 站点的 Pull Secret 页面中，下载您的安装 pull secret 的 .txt 文件。通过此 pull secret，您可以进行所含授权机构提供的服务的身份验证，这些服务包括为 OpenShift Container Platform 组件提供容器镜像的 Quay.io。

流程

1. 创建 install-config.yaml 文件。

   1. 运行以下命令：

      $ ./openshift-install create install-config --dir=<installation_directory> 1

      1

      对于 <installation_directory>，请指定用于保存安装程序所创建的文件的目录名称。

      重要

      指定一个空目录。一些安装信息，如 bootstrap X.509 证书，有较短的过期间隔，因此不要重复使用安装目录。如果要重复使用另一个集群安装中的个别文件，可以将其复制到您的目录中。但是，一些安装数据的文件名可能会在发行版本之间有所改变。从 OpenShift Container Platform 老版本中复制安装文件时要格外小心。

   2. 在提示符处，提供您的云的配置详情：

      1. 可选：选择用来访问集群机器的 SSH 密钥。

         注意

         对于您要在其上执行安装调试或灾难恢复的生产环境 OpenShift Container Platform 集群，请指定 ssh-agent 进程使用的 SSH 密钥。

      2. 选择 gcp 作为目标平台。
      3. 如果您没有为计算机上的 GCP 帐户配置服务帐户密钥，则必须从 GCP 获取，并粘贴文件的内容或输入文件的绝对路径。
      4. 选择要在其中置备集群的项目 ID。默认值由您配置的服务帐户指定。
      5. 选择要在其中部署集群的区域。
      6. 选择集群要部署到的基域。基域与您为集群创建的公共 DNS 区对应。
      7. 为集群输入一个描述性名称。如果您提供的名称超过 6 个字符，只有前 6 个字符会用在从集群名称生成的基础架构 ID 中。
      8. 粘贴从 Red Hat OpenShift Cluster Manager 站点的 Pull Secret 页面中获取的 pull secret。
2. 修改 install-config.yaml 文件。您可以在安装配置参数部分中找到有关可用参数的更多信息。

3. 备份 install-config.yaml 文件，以便用于安装多个集群。

   重要

   install-config.yaml 文件会在安装过程中消耗掉。如果要重复使用此文件，必须现在备份。

流程

1. 对于存储在以下位置的任何现有 GCP 凭证，删除不使用您为集群配置的 GCP 帐户的服务帐户密钥的凭证：

   • GOOGLE_CREDENTIALS、GOOGLE_CLOUD_KEYFILE_JSON 或 GCLOUD_KEYFILE_JSON 环境变量
   • ~/.gcp/osServiceAccount.json 文件
   • gcloud cli 默认凭证

2. 运行安装程序：

   $ ./openshift-install create cluster --dir=<installation_directory> \ 1
       --log-level=info 2

   1

   对于 <installation_directory>，请指定自定义 ./install-config.yaml 文件的位置。

   2

   要查看不同的安装详情，请指定 warn、debug 或 error，而不要指定 info。

   注意

   如果您在主机上配置的云供应商帐户没有足够的权限来部署集群，安装过程将会停止，并且显示缺少的权限。

   集群部署完成后，终端会显示访问集群的信息，包括指向其 Web 控制台的链接和 kubeadmin 用户的凭证。

   重要

   安装程序生成的 Ignition 配置文件包含在 24 小时后过期的证书，然后在过期时进行续订。如果在更新证书前关闭集群，且集群在 24 小时后重启，集群会自动恢复过期的证书。一个例外情况是，您需要手动批准待处理的 node-bootstrapper 证书签名请求（CSR）来恢复 kubelet 证书。如需更多信息，请参阅从过期的 control plane 证书中恢复的文档。

   重要

   您不得删除安装程序或安装程序所创建的文件。需要这两者才能删除集群。

3. 可选：您可以减少用于安装集群的服务帐户的权限数。

   • 如果将 Owner 角色分配给您的服务帐户，您可以删除该角色并使用 Viewer 角色替换。
   • 如果您包含 Service Account Key Admin 角色，您可以将其删除。

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 1

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 使用导出的配置，验证能否成功运行 oc 命令：

   $ oc whoami
   system:admin

流程

1. 如果还没有为计算机上免密码身份验证而配置的 SSH 密钥，请创建一个。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ ssh-keygen -t ed25519 -N '' \
       -f <path>/<file_name> 1

   1

   指定 SSH 密钥的路径和文件名，如 ~/.ssh/id_rsa。不要指定已存在的 SSH 密钥，因为它会被覆盖。

   运行此命令会在指定的位置生成不需要密码的 SSH 密钥。

2. 作为后台任务启动 ssh-agent 进程：

   $ eval "$(ssh-agent -s)"
   
   Agent pid 31874

3. 将 SSH 私钥添加到 ssh-agent：

   $ ssh-add <path>/<file_name> 1
   
   Identity added: /home/<you>/<path>/<file_name> (<computer_name>)

   1

   指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_rsa

流程

1. 访问 Red Hat OpenShift Cluster Manager 网站的 Infrastructure Provider 页面。如果您有红帽帐号，请使用自己的凭证登录。如果没有，请创建一个帐户。

2. 进入适用于您的安装类型的页面，下载您的操作系统的安装程序，并将文件放在要保存安装配置文件的目录中。。

   重要

   安装程序会在用来安装集群的计算机上创建若干文件。在完成集群安装后，您必须保留安装程序和安装程序所创建的文件。

   重要

   删除安装程序创建的文件不会删除您的集群，即使集群在安装过程中失败也是如此。您必须完成针对特定云供应商的 OpenShift Container Platform 卸载流程，才能完全删除您的集群。

3. 提取安装程序。例如，在使用 Linux 操作系统的计算机上运行以下命令：

   $ tar xvf <installation_program>.tar.gz

4. 在 Red Hat OpenShift Cluster Manager 站点的 Pull Secret 页面中，下载您的安装 pull secret 的 .txt 文件。通过此 pull secret，您可以进行所含授权机构提供的服务的身份验证，这些服务包括为 OpenShift Container Platform 组件提供容器镜像的 Quay.io。

流程

1. 创建用来存储您所需的安装资产的安装目录：

   $ mkdir <installation_directory>

   重要

   您必须创建目录。一些安装信息，如 bootstrap X.509 证书，有较短的过期间隔，因此不要重复使用安装目录。如果要重复使用另一个集群安装中的个别文件，可以将其复制到您的目录中。但是，一些安装数据的文件名可能会在发行版本之间有所改变。从 OpenShift Container Platform 老版本中复制安装文件时要格外小心。

2. 自定义以下 install-config.yaml 文件模板，并将它保存到 <installation_directory> 中。

   注意

   此配置文件必须命名为 install-config.yaml。

3. 备份 install-config.yaml 文件，以便用于安装多个集群。

   重要

   install-config.yaml 文件会在安装过程的下一步骤中消耗掉。现在必须备份它。

流程

1. 运行安装程序：

   $ ./openshift-install create cluster --dir=<installation_directory> \ 1
       --log-level=info 2

   1

   对于 <installation_directory>，请指定

   2

   要查看不同的安装详情，请指定 warn、debug 或 error，而不要指定 info。

   注意

   如果您在主机上配置的云供应商帐户没有足够的权限来部署集群，安装过程将会停止，并且显示缺少的权限。

   集群部署完成后，终端会显示访问集群的信息，包括指向其 Web 控制台的链接和 kubeadmin 用户的凭证。

   重要

   安装程序生成的 Ignition 配置文件包含在 24 小时后过期的证书，然后在过期时进行续订。如果在更新证书前关闭集群，且集群在 24 小时后重启，集群会自动恢复过期的证书。一个例外情况是，您需要手动批准待处理的 node-bootstrapper 证书签名请求（CSR）来恢复 kubelet 证书。如需更多信息，请参阅从过期的 control plane 证书中恢复的文档。

   重要

   您不得删除安装程序或安装程序所创建的文件。需要这两者才能删除集群。

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 1

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 使用导出的配置，验证能否成功运行 oc 命令：

   $ oc whoami
   system:admin

流程

1. 复制 VPC 的 Deployment Manager 模板一节中的模板，并将它以 01_vpc.py 形式保存到计算机上。此模板描述了集群所需的 VPC。

2. 创建 01_vpc.yaml 资源定义文件：

   $ cat <<EOF >01_vpc.yaml
   imports:
   - path: 01_vpc.py
   
   resources:
   - name: cluster-vpc
     type: 01_vpc.py
     properties:
       infra_id: '${INFRA_ID}' 1
       region: '${REGION}' 2
       master_subnet_cidr: '${MASTER_SUBNET_CIDR}' 3
       worker_subnet_cidr: '${WORKER_SUBNET_CIDR}' 4
   EOF

   1

   infra_id 是来自于提取步骤的 INFRA_ID 基础架构名称。

   2

   region 是集群要部署到的区域，如 us-east1。

   3

   master_subnet_cidr 是 master 子网的 CIDR，如 10.0.0.0/19。

   4

   worker_subnet_cidr 是 worker 子网的 CIDR，如 10.0.32.0/19。

3. 使用 gcloud CLI 创建部署：

   $ gcloud deployment-manager deployments create ${INFRA_ID}-vpc --config 01_vpc.yaml

流程

1. 复制网络和负载均衡器的 Deployment Manager 模板一节中的模板，并将它以 02_infra.py 形式保存到计算机上。此模板描述了集群所需的网络和负载均衡对象。

2. 导出资源定义所需的以下变量：

   $ export CLUSTER_NETWORK=`gcloud compute networks describe ${INFRA_ID}-network --format json | jq -r .selfLink`

3. 创建 02_infra.yaml 资源定义文件：

   $ cat <<EOF >02_infra.yaml
   imports:
   - path: 02_infra.py
   
   resources:
   - name: cluster-infra
     type: 02_infra.py
     properties:
       infra_id: '${INFRA_ID}' 1
       region: '${REGION}' 2
   
       cluster_domain: '${CLUSTER_NAME}.${BASE_DOMAIN}' 3
       cluster_network: '${CLUSTER_NETWORK}' 4
   EOF

   1

   infra_id 是来自于提取步骤的 INFRA_ID 基础架构名称。

   2

   region 是集群要部署到的区域，如 us-east1。

   3

   cluster_domain 是集群的域，如 openshift.example.com。

   4

   cluster_network 是集群网络的 selfLink URL。

4. 使用 gcloud CLI 创建部署：

   $ gcloud deployment-manager deployments create ${INFRA_ID}-infra --config 02_infra.yaml

5. 由于 Deployment Manager 的限制，模板不会创建 DNS 条目，因此您必须手动创建它们：

   1. 导出以下变量：

      $ export CLUSTER_IP=`gcloud compute addresses describe ${INFRA_ID}-cluster-public-ip --region=${REGION} --format json | jq -r .address`

   2. 添加外部 DNS 条目：

      $ if [ -f transaction.yaml ]; then rm transaction.yaml; fi
      $ gcloud dns record-sets transaction start --zone ${BASE_DOMAIN_ZONE_NAME}
      $ gcloud dns record-sets transaction add ${CLUSTER_IP} --name api.${CLUSTER_NAME}.${BASE_DOMAIN}. --ttl 60 --type A --zone ${BASE_DOMAIN_ZONE_NAME}
      $ gcloud dns record-sets transaction execute --zone ${BASE_DOMAIN_ZONE_NAME}

   3. 添加内部 DNS 条目：

      $ if [ -f transaction.yaml ]; then rm transaction.yaml; fi
      $ gcloud dns record-sets transaction start --zone ${INFRA_ID}-private-zone
      $ gcloud dns record-sets transaction add ${CLUSTER_IP} --name api.${CLUSTER_NAME}.${BASE_DOMAIN}. --ttl 60 --type A --zone ${INFRA_ID}-private-zone
      $ gcloud dns record-sets transaction add ${CLUSTER_IP} --name api-int.${CLUSTER_NAME}.${BASE_DOMAIN}. --ttl 60 --type A --zone ${INFRA_ID}-private-zone
      $ gcloud dns record-sets transaction execute --zone ${INFRA_ID}-private-zone

流程

1. 复制防火墙规则和 IAM 角色的 Deployment Manager 模板一节中的模板，并将它以 03_security.py 形式保存到计算机上。此模板描述了集群所需的安全组和角色。

2. 导出资源定义所需的以下变量：

   $ export MASTER_NAT_IP=`gcloud compute addresses describe ${INFRA_ID}-master-nat-ip --region ${REGION} --format json | jq -r .address`
   $ export WORKER_NAT_IP=`gcloud compute addresses describe ${INFRA_ID}-worker-nat-ip --region ${REGION} --format json | jq -r .address`

3. 创建 03_security.yaml 资源定义文件：

   $ cat <<EOF >03_security.yaml
   imports:
   - path: 03_security.py
   
   resources:
   - name: cluster-security
     type: 03_security.py
     properties:
       infra_id: '${INFRA_ID}' 1
       region: '${REGION}' 2
   
       cluster_network: '${CLUSTER_NETWORK}' 3
       network_cidr: '${NETWORK_CIDR}' 4
       master_nat_ip: '${MASTER_NAT_IP}' 5
       worker_nat_ip: '${WORKER_NAT_IP}' 6
   EOF

   1

   infra_id 是来自于提取步骤的 INFRA_ID 基础架构名称。

   2

   region 是集群要部署到的区域，如 us-east1。

   3

   cluster_network 是集群网络的 selfLink URL。

   4

   network_cidr 是 VPC 网络的 CIDR，如 10.0.0.0/16。

   5

   master_nat_ip 是 master NAT 的 IP 地址，如 34.94.100.1。

   6

   worker_nat_ip 是 worker NAT 的 IP 地址，如 34.94.200.1。

4. 使用 gcloud CLI 创建部署：

   $ gcloud deployment-manager deployments create ${INFRA_ID}-security --config 03_security.yaml

5. 由于 Deployment Manager 的限制，模板不会创建策略绑定，因此您必须手动创建它们：

   $ export MASTER_SA=${INFRA_ID}-m@${PROJECT_NAME}.iam.gserviceaccount.com
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${MASTER_SA}" --role "roles/compute.instanceAdmin"
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${MASTER_SA}" --role "roles/compute.networkAdmin"
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${MASTER_SA}" --role "roles/compute.securityAdmin"
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${MASTER_SA}" --role "roles/iam.serviceAccountUser"
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${MASTER_SA}" --role "roles/storage.admin"
   
   $ export WORKER_SA=${INFRA_ID}-w@${PROJECT_NAME}.iam.gserviceaccount.com
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${WORKER_SA}" --role "roles/compute.viewer"
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${WORKER_SA}" --role "roles/storage.admin"

6. 创建服务帐户密钥，并将它保存到本地备用：

   $ gcloud iam service-accounts keys create service-account-key.json --iam-account=${MASTER_SA}

流程

1. 从红帽客户门户上的产品下载 页面或 RHCOS 镜像页面，获取 RHCOS 镜像。

   重要

   RHCOS 镜像可能不会随着 OpenShift Container Platform 的每一发行版本都有改变。您必须下载一个最高版本的镜像，其版本号应小于或等于您安装的 OpenShift Container Platform 版本。如果可用，请使用与 OpenShift Container Platform 版本匹配的镜像版本。

   文件名包含 OpenShift Container Platform 版本号，格式为 rhcos-<version>-gcp.tar。

2. 导出以下变量：

   $ export IMAGE_SOURCE=<downloaded_image_file_path>

3. 创建集群镜像：

   $ gcloud compute images create "${INFRA_ID}-rhcos-image" \
       --source-uri="${IMAGE_SOURCE}"

流程

1. 复制 bootstrap 机器的 Deployment Manager 模板一节中的模板，并将它以 04_bootstrap.py 形式保存到计算机上。此模板描述了集群所需的 bootstrap 机器。

2. 导出资源定义所需的以下变量：

   $ export CONTROL_SUBNET=`gcloud compute networks subnets describe ${INFRA_ID}-master-subnet --region=${REGION} --format json | jq -r .selfLink`
   $ export CLUSTER_IMAGE=`gcloud compute images describe ${INFRA_ID}-rhcos-image --format json | jq -r .selfLink`
   $ export ZONE_0=`gcloud compute regions describe ${REGION} --format=json | jq -r .zones[0] | cut -d "/" -f9`
   $ export ZONE_1=`gcloud compute regions describe ${REGION} --format=json | jq -r .zones[1] | cut -d "/" -f9`
   $ export ZONE_2=`gcloud compute regions describe ${REGION} --format=json | jq -r .zones[2] | cut -d "/" -f9`

3. 创建存储桶并上传 bootstrap.ign 文件：

   $ gsutil mb gs://${INFRA_ID}-bootstrap-ignition
   $ gsutil cp bootstrap.ign gs://${INFRA_ID}-bootstrap-ignition/

4. 为 bootstrap 实例创建一个签名的 URL，用于访问 Ignition 配置。将输出中的 URL 导出为变量：

   $ export BOOTSTRAP_IGN=`gsutil signurl -d 1h service-account-key.json \
       gs://${INFRA_ID}-bootstrap-ignition/bootstrap.ign | grep "^gs:" | awk '{print $5}'`

5. 创建 04_bootstrap.yaml 资源定义文件：

   $ cat <<EOF >04_bootstrap.yaml
   imports:
   - path: 04_bootstrap.py
   
   resources:
   - name: cluster-bootstrap
     type: 04_bootstrap.py
     properties:
       infra_id: '${INFRA_ID}' 1
       region: '${REGION}' 2
       zone: '${ZONE_0}' 3
   
       cluster_network: '${CLUSTER_NETWORK}' 4
       control_subnet: '${CONTROL_SUBNET}' 5
       image: '${CLUSTER_IMAGE}' 6
       machine_type: 'n1-standard-4' 7
       root_volume_size: '128' 8
   
       bootstrap_ign: '${BOOTSTRAP_IGN}' 9
   EOF

   1

   infra_id 是来自于提取步骤的 INFRA_ID 基础架构名称。

   2

   region 是集群要部署到的区域，如 us-east1。

   3

   zone 是 Bootstrap 实例要部署到的区域，如 us-east1-b。

   4

   cluster_network 是集群网络的 selfLink URL。

   5

   control_subnet 是控制子网的 selfLink URL。

   6

   image 是 RHCOS 镜像的 selfLink URL。

   7

   machine_type 是实例的机器类型，如 n1-standard-4。

   8

   bootstrap_ign 是在创建上述已签名 URL 时的 URL 输出。

6. 使用 gcloud CLI 创建部署：

   $ gcloud deployment-manager deployments create ${INFRA_ID}-bootstrap --config 04_bootstrap.yaml

7. 由于 Deployment Manager 的限制，模板无法管理负载均衡器成员资格，因此您必须手动添加 bootstrap 机器：

   $ gcloud compute target-pools add-instances \
       ${INFRA_ID}-api-target-pool --instances-zone="${ZONE_0}" --instances=${INFRA_ID}-bootstrap
   $ gcloud compute target-pools add-instances \
       ${INFRA_ID}-ign-target-pool --instances-zone="${ZONE_0}" --instances=${INFRA_ID}-bootstrap

流程

1. 复制 control plane 机器的 Deployment Manager 模板一节中的模板，并将它以 05_control_plane.py 形式保存到计算机上。此模板描述了集群所需的 control plane 机器。

2. 导出资源定义需要的以下变量：

   $ export MASTER_SERVICE_ACCOUNT_EMAIL=`gcloud iam service-accounts list | grep "^${INFRA_ID}-master-node " | awk '{print $2}'`
   $ export MASTER_IGNITION=`cat master.ign`

3. 创建 05_control_plane.yaml 资源定义文件：

   $ cat <<EOF >05_control_plane.yaml
   imports:
   - path: 05_control_plane.py
   
   resources:
   - name: cluster-control-plane
     type: 05_control_plane.py
     properties:
       infra_id: '${INFRA_ID}' 1
       zones: 2
       - '${ZONE_0}'
       - '${ZONE_1}'
       - '${ZONE_2}'
   
       control_subnet: '${CONTROL_SUBNET}' 3
       image: '${CLUSTER_IMAGE}' 4
       machine_type: 'n1-standard-4' 5
       root_volume_size: '128'
       service_account_email: '${MASTER_SERVICE_ACCOUNT_EMAIL}' 6
   
       ignition: '${MASTER_IGNITION}' 7
   EOF

   1

   infra_id 是来自于提取步骤的 INFRA_ID 基础架构名称。

   2

   zones 是 control plane 实例要部署到的区域，如 us-east1-b、us-east1-c 和 us-east1-d。

   3

   control_subnet 是控制子网的 selfLink URL。

   4

   image 是 RHCOS 镜像的 selfLink URL。

   5

   machine_type 是实例的机器类型，如 n1-standard-4。

   6

   service_account_email 是创建的 master 服务帐户的电子邮件地址。

   7

   ignition 是 master.ign 文件的内容。

4. 使用 gcloud CLI 创建部署：

   $ gcloud deployment-manager deployments create ${INFRA_ID}-control-plane --config 05_control_plane.yaml

5. 由于 Deployment Manager 的限制，模板无法管理 DNS 条目，因此您必须手动添加 etcd 条目：

   $ export MASTER0_IP=`gcloud compute instances describe ${INFRA_ID}-m-0 --zone ${ZONE_0} --format json | jq -r .networkInterfaces[0].networkIP`
   $ export MASTER1_IP=`gcloud compute instances describe ${INFRA_ID}-m-1 --zone ${ZONE_1} --format json | jq -r .networkInterfaces[0].networkIP`
   $ export MASTER2_IP=`gcloud compute instances describe ${INFRA_ID}-m-2 --zone ${ZONE_2} --format json | jq -r .networkInterfaces[0].networkIP`
   $ if [ -f transaction.yaml ]; then rm transaction.yaml; fi
   $ gcloud dns record-sets transaction start --zone ${INFRA_ID}-private-zone
   $ gcloud dns record-sets transaction add ${MASTER0_IP} --name etcd-0.${CLUSTER_NAME}.${BASE_DOMAIN}. --ttl 60 --type A --zone ${INFRA_ID}-private-zone
   $ gcloud dns record-sets transaction add ${MASTER1_IP} --name etcd-1.${CLUSTER_NAME}.${BASE_DOMAIN}. --ttl 60 --type A --zone ${INFRA_ID}-private-zone
   $ gcloud dns record-sets transaction add ${MASTER2_IP} --name etcd-2.${CLUSTER_NAME}.${BASE_DOMAIN}. --ttl 60 --type A --zone ${INFRA_ID}-private-zone
   $ gcloud dns record-sets transaction add \
     "0 10 2380 etcd-0.${CLUSTER_NAME}.${BASE_DOMAIN}." \
     "0 10 2380 etcd-1.${CLUSTER_NAME}.${BASE_DOMAIN}." \
     "0 10 2380 etcd-2.${CLUSTER_NAME}.${BASE_DOMAIN}." \
     --name _etcd-server-ssl._tcp.${CLUSTER_NAME}.${BASE_DOMAIN}. --ttl 60 --type SRV --zone ${INFRA_ID}-private-zone
   $ gcloud dns record-sets transaction execute --zone ${INFRA_ID}-private-zone

6. 由于 Deployment Manager 的限制，模板无法管理负载均衡器成员资格，因此您必须手动添加 control plane 机器：

   $ gcloud compute target-pools add-instances ${INFRA_ID}-api-target-pool --instances-zone="${ZONE_0}" --instances=${INFRA_ID}-m-0
   $ gcloud compute target-pools add-instances ${INFRA_ID}-api-target-pool --instances-zone="${ZONE_1}" --instances=${INFRA_ID}-m-1
   $ gcloud compute target-pools add-instances ${INFRA_ID}-api-target-pool --instances-zone="${ZONE_2}" --instances=${INFRA_ID}-m-2
   $ gcloud compute target-pools add-instances ${INFRA_ID}-ign-target-pool --instances-zone="${ZONE_0}" --instances=${INFRA_ID}-m-0
   $ gcloud compute target-pools add-instances ${INFRA_ID}-ign-target-pool --instances-zone="${ZONE_1}" --instances=${INFRA_ID}-m-1
   $ gcloud compute target-pools add-instances ${INFRA_ID}-ign-target-pool --instances-zone="${ZONE_2}" --instances=${INFRA_ID}-m-2

流程

1. 更改到包含安装程序的目录，再运行以下命令：

   $ ./openshift-install wait-for bootstrap-complete --dir=<installation_directory> \ 1
       --log-level info 2

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

   2

   要查看不同的安装详情，请指定 warn、debug 或 error，而不要指定 info。

   如果命令退出且不显示 FATAL 警告，则代表您的 control plane 已被初始化。

2. 删除 bootstrap 资源：

   $ gcloud compute target-pools remove-instances ${INFRA_ID}-api-target-pool --instances-zone="${ZONE_0}" --instances=${INFRA_ID}-bootstrap
   $ gcloud compute target-pools remove-instances ${INFRA_ID}-ign-target-pool --instances-zone="${ZONE_0}" --instances=${INFRA_ID}-bootstrap
   $ gsutil rm gs://${INFRA_ID}-bootstrap-ignition/bootstrap.ign
   $ gsutil rb gs://${INFRA_ID}-bootstrap-ignition
   $ gcloud deployment-manager deployments delete ${INFRA_ID}-bootstrap

流程

1. 复制本主题的 worker 机器的 Deployment Manager 模板部分中的模板，并将它以 06_worker.py 形式保存到计算机中。此模板描述了集群所需的 worker 机器。

2. 导出资源定义需要的以下变量：

   $ export COMPUTE_SUBNET=`gcloud compute networks subnets describe ${INFRA_ID}-worker-subnet --region=${REGION} --format json | jq -r .selfLink`
   $ export WORKER_SERVICE_ACCOUNT_EMAIL=`gcloud iam service-accounts list | grep "^${INFRA_ID}-worker-node " | awk '{print $2}'`
   $ export WORKER_IGNITION=`cat worker.ign`

3. 创建 06_worker.yaml 资源定义文件：

   $ cat <<EOF >06_worker.yaml
   imports:
   - path: 06_worker.py
   
   resources:
   - name: 'w-a-0' 1
     type: 06_worker.py
     properties:
       infra_id: '${INFRA_ID}' 2
       zone: '${ZONE_0}' 3
   
       compute_subnet: '${COMPUTE_SUBNET}' 4
       image: '${CLUSTER_IMAGE}' 5
       machine_type: 'n1-standard-4' 6
       root_volume_size: '128'
       service_account_email: '${WORKER_SERVICE_ACCOUNT_EMAIL}' 7
   
       ignition: '${WORKER_IGNITION}' 8
   EOF

   1

   name 是 worker 机器的名称，如 w-a-0。

   2

   infra_id 是来自于提取步骤的 INFRA_ID 基础架构名称。

   3

   zone 是 worker 机器要部署到的区域，如 us-east1-b。

   4

   compute_subnet 是计算子网的 selfLink。

   5

   image 是 RHCOS 镜像的 selfLink URL。

   6

   machine_type 是实例的机器类型，如 n1-standard-4。

   7

   service_account_email 是创建的 worker 服务帐户的电子邮件地址。

   8

   ignition 是 worker.ign 文件的内容。

4. 可选：如果要启动更多实例，请在 06_worker.yaml 资源定义文件中包含类型为 06_worker.py 的其他资源。

5. 使用 gcloud CLI 创建部署：

   $ gcloud deployment-manager deployments create ${INFRA_ID}-worker --config 06_worker.yaml

流程

1. 导出 kubeadmin 凭证：

   $ export KUBECONFIG=<installation_directory>/auth/kubeconfig 1

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

2. 使用导出的配置，验证能否成功运行 oc 命令：

   $ oc whoami
   system:admin

流程

1. 确认集群可以识别这些机器：

   # oc get nodes
   
   NAME                    STATUS   ROLES    AGE   VERSION
   master-01.example.com   Ready    master   40d   v1.17.1
   master-02.example.com   Ready    master   40d   v1.17.1
   master-03.example.com   Ready    master   40d   v1.17.1
   worker-01.example.com   Ready    worker   40d   v1.17.1
   worker-02.example.com   Ready    worker   40d   v1.17.1

   输出将列出您创建的所有机器。

2. 检查待处理的 CSR，并确保可以看到添加到集群中的每台机器都有 Pending 或 Approved 状态的客户端请求：

   $ oc get csr
   
   NAME        AGE     REQUESTOR                                                                   CONDITION
   csr-8b2br   15m     system:serviceaccount:openshift-machine-config-operator:node-bootstrapper   Pending
   csr-8vnps   15m     system:serviceaccount:openshift-machine-config-operator:node-bootstrapper   Pending
   ...

   在本例中，两台机器加入了集群。您可能会在列表中看到更多已批准的 CSR。

3. 如果 CSR 没有获得批准，请在所添加机器的所有待处理 CSR 都处于 Pending 状态后，为您的集群机器批准这些 CSR：

   注意

   由于 CSR 会自动轮转，因此请在将机器添加到集群后一小时内批准您的 CSR。如果没有在一小时内批准，证书将会轮转，每个节点将会存在多个证书。您必须批准所有这些证书。批准初始 CSR 后，集群的 kube-controller-manager 会自动批准后续的节点客户端 CSR。您必须实施一个方法来自动批准 kubelet 提供的证书请求。

   • 若要单独批准，请对每个有效的 CSR 运行以下命令：

     $ oc adm certificate approve <csr_name> 1

     1

     <csr_name> 是当前 CSR 列表中 CSR 的名称。

   • 要批准所有待处理的 CSR，请运行以下命令：

     $ oc get csr -o go-template='{{range .items}}{{if not .status}}{{.metadata.name}}{{"\n"}}{{end}}{{end}}' | xargs oc adm certificate approve

4. 现在，您的客户端请求已被批准，您必须查看添加到集群中的每台机器的服务器请求：

   $ oc get csr

   输出示例

   NAME        AGE     REQUESTOR                                                                   CONDITION
   csr-bfd72   5m26s   system:node:ip-10-0-50-126.us-east-2.compute.internal                       Pending
   csr-c57lv   5m26s   system:node:ip-10-0-95-157.us-east-2.compute.internal                       Pending
   ...

5. 如果剩余的 CSR 没有被批准，且处于 Pending 状态，请批准集群机器的 CSR：

   • 若要单独批准，请对每个有效的 CSR 运行以下命令：

     $ oc adm certificate approve <csr_name> 1

     1

     <csr_name> 是当前 CSR 列表中 CSR 的名称。

   • 要批准所有待处理的 CSR，请运行以下命令：

     $ oc get csr -o go-template='{{range .items}}{{if not .status}}{{.metadata.name}}{{"\n"}}{{end}}{{end}}' | xargs oc adm certificate approve

6. 批准所有客户端和服务器 CSR 后，器将处于 Ready 状态。运行以下命令验证：

   $ oc get nodes

   输出示例

   NAME      STATUS    ROLES   AGE  VERSION
   master-0  Ready     master  73m  v1.20.0
   master-1  Ready     master  73m  v1.20.0
   master-2  Ready     master  74m  v1.20.0
   worker-0  Ready     worker  11m  v1.20.0
   worker-1  Ready     worker  11m  v1.20.0

   注意

   批准服务器 CSR 后可能需要几分钟时间让机器转换为 Ready 状态。

流程

1. 等待入口路由器创建负载均衡器并填充 EXTERNAL-IP 字段：

   $ oc -n openshift-ingress get service router-default
   NAME             TYPE           CLUSTER-IP      EXTERNAL-IP      PORT(S)                      AGE
   router-default   LoadBalancer   172.30.18.154   35.233.157.184   80:32288/TCP,443:31215/TCP   98

2. 在您的公共和专用区中添加 A 记录：

   $ export ROUTER_IP=`oc -n openshift-ingress get service router-default --no-headers | awk '{print $4}'`
   
   $ if [ -f transaction.yaml ]; then rm transaction.yaml; fi
   $ gcloud dns record-sets transaction start --zone ${BASE_DOMAIN_ZONE_NAME}
   $ gcloud dns record-sets transaction add ${ROUTER_IP} --name \*.apps.${CLUSTER_NAME}.${BASE_DOMAIN}. --ttl 300 --type A --zone ${BASE_DOMAIN_ZONE_NAME}
   $ gcloud dns record-sets transaction execute --zone ${BASE_DOMAIN_ZONE_NAME}
   
   $ if [ -f transaction.yaml ]; then rm transaction.yaml; fi
   $ gcloud dns record-sets transaction start --zone ${INFRA_ID}-private-zone
   $ gcloud dns record-sets transaction add ${ROUTER_IP} --name \*.apps.${CLUSTER_NAME}.${BASE_DOMAIN}. --ttl 300 --type A --zone ${INFRA_ID}-private-zone
   $ gcloud dns record-sets transaction execute --zone ${INFRA_ID}-private-zone

   如果需要添加特定域而不使用通配符，可以为集群的每个当前路由创建条目：

   $ oc get --all-namespaces -o jsonpath='{range .items[*]}{range .status.ingress[*]}{.host}{"\n"}{end}{end}' routes
   oauth-openshift.apps.your.cluster.domain.example.com
   console-openshift-console.apps.your.cluster.domain.example.com
   downloads-openshift-console.apps.your.cluster.domain.example.com
   alertmanager-main-openshift-monitoring.apps.your.cluster.domain.example.com
   grafana-openshift-monitoring.apps.your.cluster.domain.example.com
   prometheus-k8s-openshift-monitoring.apps.your.cluster.domain.example.com

流程

1. 完成集群安装：

   $ ./openshift-install --dir=<installation_directory> wait-for install-complete 1
   
   INFO Waiting up to 30m0s for the cluster to initialize...

   1

   对于 <installation_directory>，请指定安装文件保存到的目录的路径。

   重要

   安装程序生成的 Ignition 配置文件包含在 24 小时后过期的证书，然后在过期时进行续订。如果在更新证书前关闭集群，且集群在 24 小时后重启，集群会自动恢复过期的证书。一个例外情况是，您需要手动批准待处理的 node-bootstrapper 证书签名请求（CSR）来恢复 kubelet 证书。如需更多信息，请参阅从过期的 control plane 证书中恢复的文档。

2. 观察集群的运行状态。

   1. 运行以下命令来查看当前的集群版本和状态：

      $ oc get clusterversion
      NAME      VERSION   AVAILABLE   PROGRESSING   SINCE   STATUS
      version             False       True          24m     Working towards 4.4.3-0: 99% complete

   2. 运行以下命令，查看 control plane 上由 Cluster Version Operator (CVO) 管理的 Operator：

      $ oc get clusteroperators
      NAME                                       VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE
      authentication                             4.4.3     True        False         False      7m56s
      cloud-credential                           4.4.3     True        False         False      31m
      cluster-autoscaler                         4.4.3     True        False         False      16m
      console                                    4.4.3     True        False         False      10m
      csi-snapshot-controller                    4.4.3     True        False         False      16m
      dns                                        4.4.3     True        False         False      22m
      etcd                                       4.4.3     False       False         False      25s
      image-registry                             4.4.3     True        False         False      16m
      ingress                                    4.4.3     True        False         False      16m
      insights                                   4.4.3     True        False         False      17m
      kube-apiserver                             4.4.3     True        False         False      19m
      kube-controller-manager                    4.4.3     True        False         False      20m
      kube-scheduler                             4.4.3     True        False         False      20m
      kube-storage-version-migrator              4.4.3     True        False         False      16m
      machine-api                                4.4.3     True        False         False      22m
      machine-config                             4.4.3     True        False         False      22m
      marketplace                                4.4.3     True        False         False      16m
      monitoring                                 4.4.3     True        False         False      10m
      network                                    4.4.3     True        False         False      23m
      node-tuning                                4.4.3     True        False         False      23m
      openshift-apiserver                        4.4.3     True        False         False      17m
      openshift-controller-manager               4.4.3     True        False         False      15m
      openshift-samples                          4.4.3     True        False         False      16m
      operator-lifecycle-manager                 4.4.3     True        False         False      22m
      operator-lifecycle-manager-catalog         4.4.3     True        False         False      22m
      operator-lifecycle-manager-packageserver   4.4.3     True        False         False      18m
      service-ca                                 4.4.3     True        False         False      23m
      service-catalog-apiserver                  4.4.3     True        False         False      23m
      service-catalog-controller-manager         4.4.3     True        False         False      23m
      storage                                    4.4.3     True        False         False      17m

   3. 运行以下命令来查看您的集群 pod：

      $ oc get pods --all-namespaces
      NAMESPACE                                               NAME                                                                READY     STATUS      RESTARTS   AGE
      kube-system                                             etcd-member-ip-10-0-3-111.us-east-2.compute.internal                1/1       Running     0          35m
      kube-system                                             etcd-member-ip-10-0-3-239.us-east-2.compute.internal                1/1       Running     0          37m
      kube-system                                             etcd-member-ip-10-0-3-24.us-east-2.compute.internal                 1/1       Running     0          35m
      openshift-apiserver-operator                            openshift-apiserver-operator-6d6674f4f4-h7t2t                       1/1       Running     1          37m
      openshift-apiserver                                     apiserver-fm48r                                                     1/1       Running     0          30m
      openshift-apiserver                                     apiserver-fxkvv                                                     1/1       Running     0          29m
      openshift-apiserver                                     apiserver-q85nm                                                     1/1       Running     0          29m
      ...
      openshift-service-ca-operator                           openshift-service-ca-operator-66ff6dc6cd-9r257                      1/1       Running     0          37m
      openshift-service-ca                                    apiservice-cabundle-injector-695b6bcbc-cl5hm                        1/1       Running     0          35m
      openshift-service-ca                                    configmap-cabundle-injector-8498544d7-25qn6                         1/1       Running     0          35m
      openshift-service-ca                                    service-serving-cert-signer-6445fc9c6-wqdqn                         1/1       Running     0          35m
      openshift-service-catalog-apiserver-operator            openshift-service-catalog-apiserver-operator-549f44668b-b5q2w       1/1       Running     0          32m
      openshift-service-catalog-controller-manager-operator   openshift-service-catalog-controller-manager-operator-b78cr2lnm     1/1       Running     0          31m

   当前集群版本是 AVAILABLE 时表示安装完毕。

流程

1. 复制 VPC 的 Deployment Manager 模板一节中的模板，并将它以 01_vpc.py 形式保存到计算机上。此模板描述了集群所需的 VPC。

2. 创建 01_vpc.yaml 资源定义文件：

   $ cat <<EOF >01_vpc.yaml
   imports:
   - path: 01_vpc.py
   
   resources:
   - name: cluster-vpc
     type: 01_vpc.py
     properties:
       infra_id: '${INFRA_ID}' 1
       region: '${REGION}' 2
       master_subnet_cidr: '${MASTER_SUBNET_CIDR}' 3
       worker_subnet_cidr: '${WORKER_SUBNET_CIDR}' 4
   EOF

   1

   infra_id 是来自于提取步骤的 INFRA_ID 基础架构名称。

   2

   region 是集群要部署到的区域，如 us-east1。

   3

   master_subnet_cidr 是 master 子网的 CIDR，如 10.0.0.0/19。

   4

   worker_subnet_cidr 是 worker 子网的 CIDR，如 10.0.32.0/19。

3. 使用 gcloud CLI 创建部署：

   $ gcloud deployment-manager deployments create ${INFRA_ID}-vpc --config 01_vpc.yaml

流程

1. 复制网络和负载均衡器的 Deployment Manager 模板一节中的模板，并将它以 02_infra.py 形式保存到计算机上。此模板描述了集群所需的网络和负载均衡对象。

2. 导出资源定义所需的以下变量：

   $ export CLUSTER_NETWORK=`gcloud compute networks describe ${INFRA_ID}-network --format json | jq -r .selfLink`

3. 创建 02_infra.yaml 资源定义文件：

   $ cat <<EOF >02_infra.yaml
   imports:
   - path: 02_infra.py
   
   resources:
   - name: cluster-infra
     type: 02_infra.py
     properties:
       infra_id: '${INFRA_ID}' 1
       region: '${REGION}' 2
   
       cluster_domain: '${CLUSTER_NAME}.${BASE_DOMAIN}' 3
       cluster_network: '${CLUSTER_NETWORK}' 4
   EOF

   1

   infra_id 是来自于提取步骤的 INFRA_ID 基础架构名称。

   2

   region 是集群要部署到的区域，如 us-east1。

   3

   cluster_domain 是集群的域，如 openshift.example.com。

   4

   cluster_network 是集群网络的 selfLink URL。

4. 使用 gcloud CLI 创建部署：

   $ gcloud deployment-manager deployments create ${INFRA_ID}-infra --config 02_infra.yaml

5. 由于 Deployment Manager 的限制，模板不会创建 DNS 条目，因此您必须手动创建它们：

   1. 导出以下变量：

      $ export CLUSTER_IP=`gcloud compute addresses describe ${INFRA_ID}-cluster-public-ip --region=${REGION} --format json | jq -r .address`

   2. 添加外部 DNS 条目：

      $ if [ -f transaction.yaml ]; then rm transaction.yaml; fi
      $ gcloud dns record-sets transaction start --zone ${BASE_DOMAIN_ZONE_NAME}
      $ gcloud dns record-sets transaction add ${CLUSTER_IP} --name api.${CLUSTER_NAME}.${BASE_DOMAIN}. --ttl 60 --type A --zone ${BASE_DOMAIN_ZONE_NAME}
      $ gcloud dns record-sets transaction execute --zone ${BASE_DOMAIN_ZONE_NAME}

   3. 添加内部 DNS 条目：

      $ if [ -f transaction.yaml ]; then rm transaction.yaml; fi
      $ gcloud dns record-sets transaction start --zone ${INFRA_ID}-private-zone
      $ gcloud dns record-sets transaction add ${CLUSTER_IP} --name api.${CLUSTER_NAME}.${BASE_DOMAIN}. --ttl 60 --type A --zone ${INFRA_ID}-private-zone
      $ gcloud dns record-sets transaction add ${CLUSTER_IP} --name api-int.${CLUSTER_NAME}.${BASE_DOMAIN}. --ttl 60 --type A --zone ${INFRA_ID}-private-zone
      $ gcloud dns record-sets transaction execute --zone ${INFRA_ID}-private-zone

流程

1. 复制防火墙规则和 IAM 角色的 Deployment Manager 模板一节中的模板，并将它以 03_security.py 形式保存到计算机上。此模板描述了集群所需的安全组和角色。

2. 导出资源定义所需的以下变量：

   $ export MASTER_NAT_IP=`gcloud compute addresses describe ${INFRA_ID}-master-nat-ip --region ${REGION} --format json | jq -r .address`
   $ export WORKER_NAT_IP=`gcloud compute addresses describe ${INFRA_ID}-worker-nat-ip --region ${REGION} --format json | jq -r .address`

3. 创建 03_security.yaml 资源定义文件：

   $ cat <<EOF >03_security.yaml
   imports:
   - path: 03_security.py
   
   resources:
   - name: cluster-security
     type: 03_security.py
     properties:
       infra_id: '${INFRA_ID}' 1
       region: '${REGION}' 2
   
       cluster_network: '${CLUSTER_NETWORK}' 3
       network_cidr: '${NETWORK_CIDR}' 4
       master_nat_ip: '${MASTER_NAT_IP}' 5
       worker_nat_ip: '${WORKER_NAT_IP}' 6
   EOF

   1

   infra_id 是来自于提取步骤的 INFRA_ID 基础架构名称。

   2

   region 是集群要部署到的区域，如 us-east1。

   3

   cluster_network 是集群网络的 selfLink URL。

   4

   network_cidr 是 VPC 网络的 CIDR，如 10.0.0.0/16。

   5

   master_nat_ip 是 master NAT 的 IP 地址，如 34.94.100.1。

   6

   worker_nat_ip 是 worker NAT 的 IP 地址，如 34.94.200.1。

4. 使用 gcloud CLI 创建部署：

   $ gcloud deployment-manager deployments create ${INFRA_ID}-security --config 03_security.yaml

5. 由于 Deployment Manager 的限制，模板不会创建策略绑定，因此您必须手动创建它们：

   $ export MASTER_SA=${INFRA_ID}-m@${PROJECT_NAME}.iam.gserviceaccount.com
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${MASTER_SA}" --role "roles/compute.instanceAdmin"
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${MASTER_SA}" --role "roles/compute.networkAdmin"
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${MASTER_SA}" --role "roles/compute.securityAdmin"
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${MASTER_SA}" --role "roles/iam.serviceAccountUser"
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${MASTER_SA}" --role "roles/storage.admin"
   
   $ export WORKER_SA=${INFRA_ID}-w@${PROJECT_NAME}.iam.gserviceaccount.com
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${WORKER_SA}" --role "roles/compute.viewer"
   $ gcloud projects add-iam-policy-binding ${PROJECT_NAME} --member "serviceAccount:${WORKER_SA}" --role "roles/storage.admin"

6. 创建服务帐户密钥，并将它保存到本地备用：

   $ gcloud iam service-accounts keys create service-account-key.json --iam-account=${MASTER_SA}

流程

1. 从红帽客户门户上的产品下载 页面或 RHCOS 镜像页面，获取 RHCOS 镜像。

   重要

   RHCOS 镜像可能不会随着 OpenShift Container Platform 的每一发行版本都有改变。您必须下载一个最高版本的镜像，其版本号应小于或等于您安装的 OpenShift Container Platform 版本。如果可用，请使用与 OpenShift Container Platform 版本匹配的镜像版本。

   文件名包含 OpenShift Container Platform 版本号，格式为 rhcos-<version>-gcp.tar。

2. 导出以下变量：

   $ export IMAGE_SOURCE=<downloaded_image_file_path>

3. 创建集群镜像：

   $ gcloud compute images create "${INFRA_ID}-rhcos-image" \
       --source-uri="${IMAGE_SOURCE}"

流程

1. 复制 bootstrap 机器的 Deployment Manager 模板一节中的模板，并将它以 04_bootstrap.py 形式保存到计算机上。此模板描述了集群所需的 bootstrap 机器。

2. 导出资源定义所需的以下变量：

   $ export CONTROL_SUBNET=`gcloud compute networks subnets describe ${INFRA_ID}-master-subnet --region=${REGION} --format json | jq -r .selfLink`
   $ export CLUSTER_IMAGE=`gcloud compute images describe ${INFRA_ID}-rhcos-image --format json | jq -r .selfLink`
   $ export ZONE_0=`gcloud compute regions describe ${REGION} --format=json | jq -r .zones[0] | cut -d "/" -f9`
   $ export ZONE_1=`gcloud compute regions describe ${REGION} --format=json | jq -r .zones[1] | cut -d "/" -f9`
   $ export ZONE_2=`gcloud compute regions describe ${REGION} --format=json | jq -r .zones[2] | cut -d "/" -f9`

3. 创建存储桶并上传 bootstrap.ign 文件：

   $ gsutil mb gs://${INFRA_ID}-bootstrap-ignition
   $ gsutil cp bootstrap.ign gs://${INFRA_ID}-bootstrap-ignition/

4. 为 bootstrap 实例创建一个签名的 URL，用于访问 Ignition 配置。将输出中的 URL 导出为变量：

   $ export BOOTSTRAP_IGN=`gsutil signurl -d 1h service-account-key.json \
       gs://${INFRA_ID}-bootstrap-ignition/bootstrap.ign | grep "^gs:" | awk '{print $5}'`

5. 创建 04_bootstrap.yaml 资源定义文件：

   $ cat <<EOF >04_bootstrap.yaml
   imports:
   - path: 04_bootstrap.py
   
   resources:
   - name: cluster-bootstrap
     type: 04_bootstrap.py
     properties:
       infra_id: '${INFRA_ID}' 1
       region: '${REGION}' 2
       zone: '${ZONE_0}' 3
   
       cluster_network: '${CLUSTER_NETWORK}' 4
       control_subnet: '${CONTROL_SUBNET}' 5
       image: '${CLUSTER_IMAGE}' 6
       machine_type: 'n1-standard-4' 7
       root_volume_size: '128' 8
   
       bootstrap_ign: '${BOOTSTRAP_IGN}' 9
   EOF

   1

   infra_id 是来自于提取步骤的 INFRA_ID 基础架构名称。

   2

   region 是集群要部署到的区域，如 us-east1。

   3

   zone 是 Bootstrap 实例要部署到的区域，如 us-east1-b。

   4

   cluster_network 是集群网络的 selfLink URL。

   5

   control_subnet 是控制子网的 selfLink URL。

   6

   image 是 RHCOS 镜像的 selfLink URL。

   7

   machine_type 是实例的机器类型，如 n1-standard-4。

   8

   bootstrap_ign 是在创建上述已签名 URL 时的 URL 输出。

6. 使用 gcloud CLI 创建部署：

   $ gcloud deployment-manager deployments create ${INFRA_ID}-bootstrap --config 04_bootstrap.yaml

7. 由于 Deployment Manager 的限制，模板无法管理负载均衡器成员资格，因此您必须手动添加 bootstrap 机器：

   $ gcloud compute target-pools add-instances \
       ${INFRA_ID}-api-target-pool --instances-zone="${ZONE_0}" --instances=${INFRA_ID}-bootstrap
   $ gcloud compute target-pools add-instances \
       ${INFRA_ID}-ign-target-pool --instances-zone="${ZONE_0}" --instances=${INFRA_ID}-bootstrap