将 spec: pathname 更改为访问分叉仓库的 GitHub 名称，而不是 stolostron，以更新 ./subscription/channel.yaml 文件。此步骤指定 hub 集群在哪里检索发行镜像。您更新的内容应类似以下示例：

spec:
  type: GitHub
  pathname: https://github.com/<forked_content>/acm-hive-openshift-releases.git

将 forked_content 替换为已分叉仓库的路径。

在克隆了 acm-hive-openshift-releases 仓库后，使用以下命令来更新 stable 镜像以同步 stable 发行镜像列表：

make subscribe-stable

备注：您只能在使用 Linux 或者 MacOS 操作系统时运行这个 make 命令。

运行此命令后，可用稳定镜像列表会在约一分钟内更新为当前可用镜像。

默认情况下，仅会列出稳定镜像。要同步并显示快速发行镜像，请输入以下命令：

make subscribe-fast

备注：您只能在使用 Linux 或者 MacOS 操作系统时运行这个 make 命令。

运行此命令后，可用快速镜像列表会在约 1 分钟内更新为当前可用镜像。

默认情况下，Red Hat Advanced Cluster Management 会预加载几个 ClusterImageSets。您可以使用以下命令列出可用内容并删除默认值。

oc get clusterImageSets
oc delete clusterImageSet <clusterImageSet_NAME>

备注：如果您还没有通过将 disableUpdate ClusterImageSets 的值设置为 true 来禁用安装程序管理的 Cluster ImageSet 的自动更新，则您删除的任何镜像都会被自动重新创建。

创建 clusterImageSets 命令：

oc create -f <clusterImageSet_FILE>

在为您要添加的每个资源运行此命令后，可用发行镜像列表将变为可用。

在 Clusters 页面上，选择 Provider connections 选项卡。

此时会显示现有供应商连接。

从列表中为您的供应商连接选择一个命名空间。

提示：为方便起见，同时为了提高安全性，创建一个命名空间，专门用于托管您的供应商连接。

在 Clusters 页面上，选择 Provider connections 选项卡。

此时会显示现有供应商连接。

从列表中为您的供应商连接选择一个命名空间。

提示：为方便起见，同时为了提高安全性，您可以创建一个命名空间，专门用于托管您的供应商连接。

添加您的客户端 ID。当您使用以下命令创建服务主体时，这个值作为 appId 属性被生成：

az ad sp create-for-rbac --role Contributor --name <service_principal>

将 service_principal 替换为您的服务主体名。

添加您的 客户端 Secret。当您使用以下命令创建服务主体时，这个值作为 password 属性被生成：

az ad sp create-for-rbac --role Contributor --name <service_principal>

将 service_principal 替换为您的服务主体名。

添加您的 订阅 ID。这个值是以下命令输出中的 id 属性：

az account show

添加您的租户 ID。这个值是以下命令输出中的 tenantId 属性：

az account show

在 Clusters 页面上，选择 Provider connections 选项卡。

此时会显示现有供应商连接。

从列表中为您的供应商连接选择一个命名空间。

添加 Google Cloud Platform 服务帐户 JSON 密钥。完成以下步骤创建带有正确权限的服务帐户：

在 Clusters 页面上，选择 Provider connections 选项卡。

此时会显示现有供应商连接。

从列表中为您的供应商连接选择一个命名空间。

提示：为方便起见，同时为了提高安全性，创建一个命名空间，专门用于托管您的供应商连接。

添加 VMware vCenter root CA 证书。

运行以下命令，创建非 root 用户 (user-name) 并为该用户提供 sudo 权限：

useradd <user-name>
passwd <password>
echo "<user-name> ALL=(root) NOPASSWD:ALL" | tee -a /etc/sudoers.d/<user-name>
chmod 0440 /etc/sudoers.d/<user-name>

输入以下命令为新用户创建 SSH 密钥：

su - <user-name> -c "ssh-keygen -t rsa -f /home/<user-name>/.ssh/id_rsa -N ''"

使用新创建的用户登陆到 provisioner 节点。

su - <user-name>
[user-name@provisioner ~]$

输入以下命令使用 Red Hat Subscription Manager 来注册 provisioner 节点：

sudo subscription-manager register --username=<user-name> --password=<password> --auto-attach
sudo subscription-manager repos --enable=rhel-8-for-x86_64-appstream-rpms --enable=rhel-8-for-x86_64-baseos-rpms

如需有关 Red Hat Subscription Manager 的更多信息，请参阅 Red Hat OpenShift Container Platform 文档中的使用和配置 Red Hat Subscription Manager。

运行以下命令来安装所需的软件包：

sudo dnf install -y libvirt qemu-kvm mkisofs python3-devel jq ipmitool

修改用户以便为新创建的用户中添加 libvirt 组。

sudo usermod --append --groups libvirt <user-name>

输入以下命令重启 firewalld 并启用 http 服务：

sudo systemctl start firewalld
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --add-port=5000/tcp --zone=libvirt  --permanent
sudo firewall-cmd --add-port=5000/tcp --zone=public   --permanent
sudo firewall-cmd --reload

输入以下命令启动并启用 libvirtd 服务：

sudo systemctl start libvirtd
sudo systemctl enable libvirtd --now

输入以下命令创建默认存储池并启动它：

sudo virsh pool-define-as --name default --type dir --target /var/lib/libvirt/images
sudo virsh pool-start default
sudo virsh pool-autostart default

查看以下示例来配置网络：

使用 ssh 重新连接到 provisioner 节点（如果需要）。

# ssh <user-name>@provisioner.<cluster-name>.<domain>

运行以下命令验证连接网桥是否已正确创建：

nmcli con show

您返回的结果类似以下内容：

通过以下步骤创建 pull-secret.txt 文件：

vim pull-secret.txt

在 Clusters 页面上，选择 Provider connections 选项卡。

此时会显示现有供应商连接。

从列表中为您的供应商连接选择一个命名空间。

提示：为方便起见，同时为了提高安全性，创建一个命名空间，专门用于托管您的供应商连接。

添加 libvirt URI。libvirt URI 适用于您为 bootstrap 节点创建的置备节点。libvirt URI 应该类似以下示例：

<qemu+ssh>:://<user-name>@<provision-host.com>/system

只适用于断开连接的安装：使用所需信息，为断开连接的安装完成配置 部分中的字段：

选择 Create a cluster。

备注：此过程用于创建集群。如果您有一个要导入的现有集群，请参阅将目标受管集群导入到 hub 集群以了解这些步骤。

为集群输入一个名称。此名称用于集群的主机名。

提示：要在您在控制台中输入信息时查看 yaml 内容更新，可将 YAML 开关设置为 ON。

为集群配置节点池。

节点池定义用于集群的节点的位置和大小。

区域指定节点所处的地理位置。距离更近的区域可能会提供更快的性能，但距离更远的区域可能更为分散。

点 Create。在创建和导入过程完成后，您可以查看您的集群详情。

备注：您不必运行 kubectl 命令，它为导入集群提供集群的详情。当您创建集群时，它由 Red Hat Advanced Cluster Management 管理自动配置。

为您要访问的集群选择 Actions > Launch to cluster。

提示：如果知道登录凭证，可以通过为您要访问的集群选择 Actions > Launch to cluster 来访问集群。

选择 Create a cluster。

备注：此过程用于创建集群。如果您有一个要导入的现有集群，请参阅将目标受管集群导入到 hub 集群以了解这些步骤。

为集群输入一个名称。此名称用于集群的主机名。

提示：要在您在控制台中输入信息时查看 yaml 内容更新，可将 YAML 开关设置为 ON。

为集群配置节点池。

节点池定义用于集群的节点的位置和大小。

区域指定节点所处的地理位置。距离更近的区域可能会提供更快的性能，但距离更远的区域可能更为分散。

配置必要的集群网络选项。

输入您为 Azure 帐户配置的基本 DNS 信息。如果已有与所选供应商连接关联的基本 DNS，则该值会在那个字段中填充。您可以修改它的值来覆盖它。如需更多信息，请参阅为 Azure 云服务配置自定义域名。此名称用于集群的主机名。

点 Create。在创建和导入过程完成后，您可以查看您的集群详情。

备注：您不必运行 kubectl 命令，它为导入集群提供集群的详情。当创建集群时，它由 Red Hat Advanced Cluster Management for Kubernetes 管理自动配置。

为您要访问的集群选择 Actions > Launch to cluster。

提示：如果知道登录凭证，可以通过为您要访问的集群选择 Actions > Launch to cluster 来访问集群。

选择 Create a cluster。

备注：此过程用于创建集群。如果您有一个要导入的现有集群，请参阅将目标受管集群导入到 hub 集群以了解这些步骤。

为集群输入一个名称。此名称用于集群的主机名。在命名 GCP 集群时有一些限制。这些限制包括，名称不要以 goog 开始；名称的任何部分都不要包含与 google 类似的内容。如需了解完整的限制列表，请参阅 Bucket 命名指南。

提示：要在您在控制台中输入信息时查看 yaml 内容更新，可将 YAML 开关设置为 ON。

为集群配置节点池。

节点池定义用于集群的节点的位置和大小。

区域指定节点所处的地理位置。距离更近的区域可能会提供更快的性能，但距离更远的区域可能更为分散。

配置必要的集群网络选项。

输入您为 Google Cloud Platform 帐户配置的基本 DNS 信息。如果已有与所选供应商连接关联的基本 DNS，则该值会在那个字段中填充。您可以修改它的值来覆盖它。如需更多信息，请参阅设置自定义域。此名称用于集群的主机名。

为您要访问的集群选择 Actions > Launch to cluster。

提示：如果知道登录凭证，可以通过为您要访问的集群选择 Actions > Launch to cluster 来访问集群。

选择 Create a cluster。

备注：此过程用于创建集群。如果您有一个要导入的现有集群，请参阅将目标受管集群导入到 hub 集群以了解这些步骤。

为集群输入一个名称。此名称用于集群的主机名。

备注：这个值必须与创建供应商连接先决条件中列出的 DNS 记录的名称匹配。

提示：要在您在控制台中输入信息时查看 yaml 内容更新，可将 YAML 开关设置为 ON。

为集群配置节点池。

节点池定义用于集群的节点的位置和大小。

您可以在 worker 池中创建一个或多个 worker 节点，以运行集群的容器工作负载。它们可以位于单个 worker 池中，也可以分布在多个 worker 池中。

配置集群网络选项，如下所示：

点 Create。在创建和导入过程完成后，您可以查看您的集群详情。

备注：当您创建集群时，它由 Red Hat Advanced Cluster Management 管理自动配置。您不必运行 kubectl 命令，它为导入集群提供集群的详情。

如果您不知道登录凭证

为您要访问的集群选择 Actions > Launch to cluster。

提示：如果知道登录凭证，可以通过为您要访问的集群选择 Actions > Launch to cluster 来访问集群。

选择 Create a cluster。

备注：此过程用于创建集群。如果您有一个要导入的现有集群，请参阅将目标受管集群导入到 hub 集群以了解这些步骤。

为集群输入一个名称。对于裸机集群，此名称不能是一个任意名称。它与集群 URL 相关联。确保使用的集群名称与您的 DNS 和网络设置一致。

提示：要在您在控制台中输入信息时查看 yaml 内容更新，可将 YAML 开关设置为 ON。

从与供应商连接关联的主机列表中选择您的主机。最少选择三个与虚拟机监控程序在同一网桥网络上的资产。

主机列表从现有 Bare Metal Assets 编译。如果您没有创建任何裸机资产，可以在继续进行创建过程前创建或导入它们。或者，您可以选择 Disable certificate verify 来忽略要求。

配置集群网络选项。

点 Create。在创建和导入过程完成后，您可以查看您的集群详情。

备注：您不必运行 kubectl 命令，它为导入集群提供集群的详情。当创建集群时，它由 Red Hat Advanced Cluster Management for Kubernetes 管理自动配置。

为您要访问的集群选择 Actions > Launch to cluster。

提示：如果知道登录凭证，可以通过为您要访问的集群选择 Actions > Launch to cluster 来访问集群。

可选：添加任何 附加标签。

备注：如果您导入 Red Hat OpenShift Dedicated 集群，且没有添加 vendor=OpenShiftDedicated 标签指定厂商，或者添加了 vendor=auto-detect 标签，则 managed-by=platform 标签会自动添加到集群中。您可以使用此添加标签将集群标识为一个 Red Hat OpenShift Dedicated 集群，并作为一个组来获取 Red Hat OpenShift Dedicated 集群。

可选：通过配置运行 oc get managedcluster 命令时在表中显示的 URL，在集群详情页面中配置 Cluster API 地址。

在 Import an existing cluster 窗口中，选择 Copy 命令将生成的命令和令牌复制到剪贴板。

重要：命令中包含复制到每个导入集群的 pull secret 信息。具有访问导入集群权限的所有用户都可以查看 pull secret 信息。考虑在 https://cloud.redhat.com/ 创建一个二级 pull secret，或创建一个服务帐户来保护个人凭证。如需了解更多与 pull secret 相关的信息，请参阅使用镜像 pull secret 或了解并创建服务帐户。

对于 Red Hat OpenShift Dedicated 环境，完成以下步骤：

对于不在 Red OpenShift Dedicated 环境中的集群导入，完成以下步骤：

登录到您的 hub 集群。运行以下命令：

oc login

在 hub 集群上运行以下命令来创建命名空间。备注：<cluster_name> 中定义的集群名称也用作 .yaml 文件和命令中的集群命名空间：

oc new-project ${CLUSTER_NAME}
oc label namespace ${CLUSTER_NAME} cluster.open-cluster-management.io/managedCluster=${CLUSTER_NAME}

使用以下 YAML 示例编辑示例 ManagedCluster 集群：

apiVersion: cluster.open-cluster-management.io/v1
kind: ManagedCluster
metadata:
  name: <cluster_name>
spec:
  hubAcceptsClient: true

使用以下命令应用 YAML 文件：

oc apply -f managed-cluster.yaml

创建 klusterlet 插件配置文件。输入以下示例 YAML：

apiVersion: agent.open-cluster-management.io/v1
kind: KlusterletAddonConfig
metadata:
  name: <cluster_name>
  namespace: <cluster_name>
spec:
  clusterName: <cluster_name>
  clusterNamespace: <cluster_name>
  applicationManager:
    enabled: true
  certPolicyController:
    enabled: true
  clusterLabels:
    cloud: auto-detect
    vendor: auto-detect
  iamPolicyController:
    enabled: true
  policyController:
    enabled: true
  searchCollector:
    enabled: true
  version: 2.2.0

应用 YAML。运行以下命令：

oc apply -f klusterlet-addon-config.yaml

备注：如果您导入 Red Hat OpenShift Dedicated 集群，且没有添加 vendor=OpenShiftDedicated 标签指定厂商，或者添加了 vendor=auto-detect 标签，则 managed-by=platform 标签会自动添加到集群中。您可以使用此添加标签将集群标识为一个 Red Hat OpenShift Dedicated 集群，并作为一个组来获取 Red Hat OpenShift Dedicated 集群。

获取由受管集群导入控制器生成的 klusterlet-crd.yaml。

运行以下命令：

oc get secret ${CLUSTER_NAME}-import -n ${CLUSTER_NAME} -o jsonpath={.data.crds\\.yaml} | base64 --decode > klusterlet-crd.yaml

获取由受管集群控制器生成的 import.yaml。运行以下命令：

oc get secret ${CLUSTER_NAME}-import -n ${CLUSTER_NAME} -o jsonpath={.data.import\\.yaml} | base64 --decode > import.yaml

应用在第 1 步中生成的 klusterlet-crd.yaml。运行以下命令：

kubectl apply -f klusterlet-crd.yaml

应用在第 2 步中生成的 import.yaml 文件。运行以下命令：

kubectl apply -f import.yaml

验证目标受管集群上的 Pod 状态。运行以下命令：

kubectl get pod -n open-cluster-management-agent

验证您的导入集群的 JOINED 和 AVAILABLE 状态。在 hub 集群中运行以下命令：

kubectl get managedcluster ${CLUSTER_NAME}

在受管集群的状态为 AVAILABLE 后，会安装附加组件。验证目标受管集群上的附件组件的 Pod 状态。运行以下命令：

kubectl get pod -n open-cluster-management-agent-addon

输入以下命令以编辑资源：

kubectl edit klusterletaddonconfigs.agent.open-cluster-management.io <cluster-name> -n <cluster-name>

在 Google Cloud Platform 上创建入站和出站防火墙规则以打开 IPsec IKE（默认为 500/UDP）和 NAT 遍历端口（默认为 4500/UDP），以启用 Submariner 通讯：

$ gcloud compute firewall-rules create <name> --network=<network-name> --allow=udp:<ipsec-port> --direction=IN
$ gcloud compute firewall-rules create <rule-name> --network=<network-name> --allow=udp:<ipsec-port>  --direction=OUT

将 rule-name 替换为您的规则名称。

将 network-name 替换为您的 Google Cloud Platform 集群网络名称。

使用您的 IPsec 端口替换 ipsec-port。

在 Google Cloud Platform 上创建入站和出站防火墙规则，打开 4800/UDP 端口，将 worker 和 master 节点的 Pod 流量封装到 Submariner Gateway 节点：

$ gcloud compute firewall-rules create <name> --network=<network-name> --allow=udp:4800 --direction=IN
$ gcloud compute firewall-rules create <name> --network=<network-name> --allow=udp:4800 --direction=OUT

使用您的规则名称替换 name。

将 network-name 替换为您的 Google Cloud Platform 集群网络名称。

在 Google Cloud Platform 上创建入站和出站防火墙规则，打开 8080/TCP 端口，从 Submariner Gateway 节点导出指标服务：

$ gcloud compute firewall-rules create <name> --network=<network-name> --allow=tcp:8080 --direction=IN
$ gcloud compute firewall-rules create <name> --network=<network-name> --allow=tcp:8080 --direction=OUT

使用您的规则名称替换 name。

将 network-name 替换为您的 Google Cloud Platform 集群网络名称。

在 Microsoft Azure 上创建入站和出站防火墙规则以打开 IP security IKE（默认为 500/UDP）和 NAT 遍历端口（默认为 4500/UDP），以启用 Submariner 通讯：

# create inbound nat rule
$ az network lb inbound-nat-rule create --lb-name <lb-name> \
--resource-group <res-group> \
--name <name> \
--protocol Udp --frontend-port <ipsec-port> \
--backend-port <ipsec-port> \
--frontend-ip-name <frontend-ip-name>

# add your vm network interface to the created inbound nat rule
$ az network nic ip-config inbound-nat-rule add \
--lb-name <lb-name> --resource-group <res-group> \
--inbound-nat-rule <nat-name> \
--nic-name <nic-name> --ip-config-name <pipConfig>

将 lb-name 替换为您的负载均衡器的名称。

将 res-group 替换为您的资源组的名称。

将 nat-name 替换为您的负载均衡 NAT 规则的名称。

使用您的 IPsec 端口替换 ipsec-port。

将 pipConfig 替换为集群前端 IP 配置名称。

将 nic-name 替换为您的网卡（NIC）。

创建一个负载均衡入站 NAT 规则以转发 Submariner 网关指标服务请求：

# create inbound nat rule
$ az network lb inbound-nat-rule create --lb-name <lb-name> \
--resource-group <res-group> \
--name <name> \
--protocol Tcp --frontend-port 8080 --backend-port 8080 \
--frontend-ip-name <frontend-ip-name>

# add your vm network interface to the created inbound nat rule
$ az network nic ip-config inbound-nat-rule add \
--lb-name <lb-name> --resource-group <res-group> \
--inbound-nat-rule <nat-name> \
--nic-name <nic-name> --ip-config-name <pipConfig>

将 lb-name 替换为您的负载均衡器的名称。

将 res-group 替换为您的资源组的名称。

将 nat-name 替换为您的负载均衡 NAT 规则的名称。

将 pipConfig 替换为集群前端 IP 配置名称。

将 nic-name 替换为您的网卡（NIC）。

在 Azure 上创建网络安全组 {NSG）安全规则，为 Submariner 打开 IPsec IKE（默认为 500/UDP）和 NAT 遍历端口（默认为 4500/UDP）:

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Inbound --access Allow \
--protocol Udp --destination-port-ranges <ipsec-port>

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Outbound --access Allow \
--protocol Udp --destination-port-ranges <ipsec-port>

将 res-group 替换为您的资源组的名称。

将 nsg-name 替换为您的 NSG 名称。

将 priority 替换为您的规则优先级。

使用您的规则名称替换 name。

使用您的 IPsec 端口替换 ipsec-port。

创建 NSG 规则以打开 4800/UDP 端口，将来自 worker 和 master 节点的 pod 流量封装到 Submariner 网关节点：

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Inbound --access Allow \
--protocol Udp --destination-port-ranges 4800 \

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Outbound --access Allow \
--protocol Udp --destination-port-ranges 4800

将 res-group 替换为您的资源组的名称。

将 nsg-name 替换为您的 NSG 名称。

将 priority 替换为您的规则优先级。

使用您的规则名称替换 name。

创建 NSG 规则以打开 8080/TCP 端口，从 Submariner Gateway 节点导出指标服务：

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Inbound --access Allow \
--protocol Tcp --destination-port-ranges 8080 \

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Outbound --access Allow \
--protocol Udp --destination-port-ranges 8080

将 res-group 替换为您的资源组的名称。

将 nsg-name 替换为您的 NSG 名称。

将 priority 替换为您的规则优先级。

使用您的规则名称替换 name。

使用集群管理员权限登录到 hub 集群。

对于由 Red Hat Advanced Cluster Management for Kubernetes 创建的 AWS 集群，请创建一个名为 submarinerconfig.yaml 的文件，其中包含以下 SubmarinerConfig 内容：

apiVersion: submarineraddon.open-cluster-management.io/v1alpha1
kind: SubmarinerConfig
metadata:
  name: submariner
  namespace: <your-cluster-namespace>
spec:
  credentialsSecret:
    name: <your-cluster-name>-aws-creds
  subscriptionConfig:
    channel: alpha
    startingCSV: submariner.v0.8.1

对于由 OpenShift Container Platform 创建但导入到 Red Hat Advanced Cluster Management 的 AWS 集群，创建 aws-cloud-credentials。

输入以下命令将 SubmarinerConfig 资源应用到 hub 集群上的受管集群命名空间：

oc apply -f submarinerconfig.yaml

在 hub 集群中创建一个 ManagedClusterSet。

apiVersion: cluster.open-cluster-management.io/v1alpha1
kind: ManagedClusterSet
metadata:
  name: my-clusterset

输入以下命令将受管集群添加到 ManagedClusterSet 中：

oc label managedclusters <managedcluster-name> "cluster.open-cluster-management.io/clusterset=<ManagedClusterSet-name>" --overwrite

运行以下命令来允许 Red Hat Advanced Cluster Management 自动部署 Submariner:app-name:

oc label managedclusters <managedcluster-name> "cluster.open-cluster-management.io/submariner-agent=true" --overwrite

创建一个包含类似以下示例内容的脚本文件：

UPSTREAM_REGISTRY=quay.io
PRODUCT_REPO=openshift-release-dev
RELEASE_NAME=ocp-release
OCP_RELEASE=4.5.2-x86_64
LOCAL_REGISTRY=$(hostname):5000
LOCAL_SECRET_JSON=/path/to/pull/secret

oc adm -a ${LOCAL_SECRET_JSON} release mirror \
--from=${UPSTREAM_REGISTRY}/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE} \
--to=${LOCAL_REGISTRY}/ocp4 \
--to-release-image=${LOCAL_REGISTRY}/ocp4/release:${OCP_RELEASE}

将 /path/to/pull/secret 替换为 OpenShift Container Platform pull secret 的路径。

等待 Operator 的安装完成。

提示：您可以通过在 OpenShift Container Platform 命令行中输入 oc get pods 命令来检查安装的状态。验证 Operator 是否处于 running 状态。

输入以下命令克隆 graph data Git 存储库：

git clone https://github.com/openshift/cincinnati-graph-data

创建一个包含您的图形数据 init 信息的文件。您可以在 cincinnati-operator GitHub 仓库中找到此 Dockerfile 示例。该文件的内容在以下示例中显示：

FROM registry.access.redhat.com/ubi8/ubi:8.1

RUN curl -L -o cincinnati-graph-data.tar.gz https://github.com/openshift/cincinnati-graph-data/archive/master.tar.gz

RUN mkdir -p /var/lib/cincinnati/graph-data/

CMD exec /bin/bash -c "tar xvzf cincinnati-graph-data.tar.gz -C /var/lib/
cincinnati/graph-data/ --strip-components=1"

在本例中：

运行以下命令来构建 图形数据 init 容器:

podman build -f <path_to_Dockerfile> -t ${DISCONNECTED_REGISTRY}/cincinnati/cincinnati-graph-data-container:latest
podman push ${DISCONNECTED_REGISTRY}/cincinnati/cincinnati-graph-data-container:latest --authfile=/path/to/pull_secret.json

将 path_to_Dockerfile 替换为您在上一步中创建文件的路径。

将 ${DISCONNECTED_REGISTRY}/cincinnati/cincinnati-graph-data-container 替换为 graph data init 容器的路径。

将 /path/to/pull_secret 替换为 pull secret 文件的路径。

备注：如果没有安装 podman，您也可以将命令中的 podman 替换为 docker。

查找位于 image.config.openshift.io 的 OpenShift Container Platform 外部 registry API。这是存储外部 registry CA 证书的位置。

如需更多信息，请参阅 OpenShift Container Platform 文档中的配置额外的信任存储以访问镜像 registry。

在密钥 cincinnati-registry 中添加您的 CA 证书。OpenShift Update Service 使用此设置来定位您的证书：

apiVersion: v1
kind: ConfigMap
metadata:
  name: trusted-ca
data:
  cincinnati-registry: |
    -----BEGIN CERTIFICATE-----
    ...
    -----END CERTIFICATE-----

编辑 image.config.openshift.io API 中的 cluster 资源，将 additionalTrustedCA 字段设置为您创建的 ConfigMap 的名称。

oc patch image.config.openshift.io cluster -p '{"spec":{"additionalTrustedCA":{"name":"trusted-ca"}}}' --type merge

将 trusted-ca 替换为新 ConfigMap 的路径。

如果您不想使用 Operator 的默认命名空间（openshift-cincinnati）， 为 OpenShift Update Service 实例创建一个命名空间：

粘贴 OpenShift Update Service 实例中的内容。您的 YAML 实例可能类似以下清单：

apiVersion: cincinnati.openshift.io/v1beta1
kind: Cincinnati
metadata:
  name: openshift-update-service-instance
  namespace: openshift-cincinnati
spec:
  registry: <registry_host_name>:<port>
  replicas: 1
  repository: ${LOCAL_REGISTRY}/ocp4/release
  graphDataImage: '<host_name>:<port>/cincinnati-graph-data-container'

将 spec.registry 值替换为镜像的本地断开连接 registry 的路径。

将 spec.graphDataImage 值替换为图形数据 init 容器的路径。提示：这与您运行 podman push 命令来推送 图形数据 init 容器时使用的值相同。

将以下 YAML 内容粘贴到窗口以创建自定义策略：

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-pod
  namespace: default
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  disabled: false
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name: policy-pod-sample-nginx-pod
        spec:
          object-templates:
            - complianceType: musthave
              objectDefinition:
                apiVersion: v1
                kind: Pod
                metadata:
                  name: sample-nginx-pod
                  namespace: default
                status:
                  phase: Running
          remediationAction: inform
          severity: low
  remediationAction: enforce
---
apiVersion: policy.open-cluster-management.io/v1
kind: PlacementBinding
metadata:
  name: binding-policy-pod
  namespace: default
placementRef:
  name: placement-policy-pod
  kind: PlacementRule
  apiGroup: apps.open-cluster-management.io
subjects:
- name: policy-pod
  kind: Policy
  apiGroup: policy.open-cluster-management.io
---
apiVersion: apps.open-cluster-management.io/v1
kind: PlacementRule
metadata:
  name: placement-policy-pod
  namespace: default
spec:
  clusterConditions:
  - status: "True"
    type: ManagedClusterConditionAvailable
  clusterSelector:
    matchExpressions:
      []  # selects all clusters if not specified

将模板 objectDefinition 部分中的内容替换为类似以下内容的内容，以添加 ImageContentSourcePolicy 的设置：

apiVersion: operator.openshift.io/v1alpha1
kind: ImageContentSourcePolicy
metadata:
  name: ImageContentSourcePolicy
spec:
  repositoryDigestMirrors:
  - mirrors:
    - <path-to-local-mirror>
    source: registry.redhat.io

将以下 YAML 内容粘贴到窗口以创建自定义策略：

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-pod
  namespace: default
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  disabled: false
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name: policy-pod-sample-nginx-pod
        spec:
          object-templates:
            - complianceType: musthave
              objectDefinition:
                apiVersion: v1
                kind: Pod
                metadata:
                  name: sample-nginx-pod
                  namespace: default
                status:
                  phase: Running
          remediationAction: inform
          severity: low
  remediationAction: enforce
---
apiVersion: policy.open-cluster-management.io/v1
kind: PlacementBinding
metadata:
  name: binding-policy-pod
  namespace: default
placementRef:
  name: placement-policy-pod
  kind: PlacementRule
  apiGroup: apps.open-cluster-management.io
subjects:
- name: policy-pod
  kind: Policy
  apiGroup: policy.open-cluster-management.io
---
apiVersion: apps.open-cluster-management.io/v1
kind: PlacementRule
metadata:
  name: placement-policy-pod
  namespace: default
spec:
  clusterConditions:
  - status: "True"
    type: ManagedClusterConditionAvailable
  clusterSelector:
    matchExpressions:
      []  # selects all clusters if not specified

在策略中添加以下内容：

apiVersion: config.openshift.io/vi
kind: OperatorHub
metadata:
 name: cluster
spec:
 disableAllDefaultSources: true

添加以下内容：

apiVersion: operators.coreos.com/v1alpha1
kind: CatalogSource
metadata:
  name: my-operator-catalog
  namespace: openshift-marketplace
spec:
  sourceType: grpc
  image: <registry_host_name>:<port>/olm/redhat-operators:v1
  displayName: My Operator Catalog
  publisher: grpc

将 spec.image 值替换为本地受限目录源镜像的路径。

在受管集群中，输入以下命令确认 ClusterVersion upstream 参数目前是默认公共 OpenShift Update Service 操作对象：

oc get clusterversion -o yaml

返回的内容可能类似以下内容：

apiVersion: v1
items:
- apiVersion: config.openshift.io/v1
  kind: ClusterVersion
[..]
  spec:
    channel: stable-4.4
    upstream: https://api.openshift.com/api/upgrades_info/v1/graph

在 hub 集群中，输入以下命令来识别到 OpenShift Update Service 操作对象：oc get routes。

提示：请注意这个值供后续步骤使用。

将以下 YAML 内容粘贴到窗口以创建自定义策略：

apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  name: policy-pod
  namespace: default
  annotations:
    policy.open-cluster-management.io/standards:
    policy.open-cluster-management.io/categories:
    policy.open-cluster-management.io/controls:
spec:
  disabled: false
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name: policy-pod-sample-nginx-pod
        spec:
          object-templates:
            - complianceType: musthave
              objectDefinition:
                apiVersion: v1
                kind: Pod
                metadata:
                  name: sample-nginx-pod
                  namespace: default
                status:
                  phase: Running
          remediationAction: inform
          severity: low
  remediationAction: enforce
---
apiVersion: policy.open-cluster-management.io/v1
kind: PlacementBinding
metadata:
  name: binding-policy-pod
  namespace: default
placementRef:
  name: placement-policy-pod
  kind: PlacementRule
  apiGroup: apps.open-cluster-management.io
subjects:
- name: policy-pod
  kind: Policy
  apiGroup: policy.open-cluster-management.io
---
apiVersion: apps.open-cluster-management.io/v1
kind: PlacementRule
metadata:
  name: placement-policy-pod
  namespace: default
spec:
  clusterConditions:
  - status: "True"
    type: ManagedClusterConditionAvailable
  clusterSelector:
    matchExpressions:
      []  # selects all clusters if not specified

将以下内容添加到 policy 项中的 policy.spec 部分：

apiVersion: config.openshift.io/v1
  kind: ClusterVersion
  metadata:
    name: version
  spec:
    channel: stable-4.4
    upstream: https://example-cincinnati-policy-engine-uri/api/upgrades_info/v1/graph

将 spec.upstream 值替换为 hub 集群 OpenShift Update Service 操作对象的路径。

提示：您可以完成以下步骤以确定操作对象的路径：

在受管集群 CLI 中，使用以下命令确认 ClusterVersion 中的上游参数已使用本地 hub 集群 OpenShift Update Service URL 更新：

oc get clusterversion -o yaml

结果应该类似以下内容：

apiVersion: v1
items:
- apiVersion: config.openshift.io/v1
  kind: ClusterVersion
[..]
  spec:
    channel: stable-4.4
    upstream: https://<hub-cincinnati-uri>/api/upgrades_info/v1/graph

验证可选的升级路径是否可用。

备注：如果当前版本没有镜像到本地镜像存储库，则不会显示可用的升级版本。