流程

1. 创建 OpenShift Cluster Manager 角色，并将其链接到您的红帽机构：

   注意

   要使用 OpenShift Cluster Manager 混合云控制台启用集群特定 Operator 角色和 OpenID Connect (OIDC)供应商的自动部署，您必须在创建 ROSA 集群的 帐户和角色步骤中选择 Admin OCM 角色 命令。如需有关 OpenShift Cluster Manager 角色的基本和管理特权的更多信息，请参阅了解 AWS 帐户关联。

   注意

   如果您在 OpenShift Cluster Manager 混合云控制台中创建 ROSA 集群的 帐户和角色 步骤中选择了 Basic OCM 角色命令，则必须使用手动模式部署 ROSA 集群。在后续步骤中，系统将提示您配置特定于集群的 Operator 角色和 OpenID Connect (OIDC)供应商。

   $ rosa create ocm-role

   选择提示符处的默认值，以快速创建和连接角色。

2. 创建用户角色并将其链接到 OpenShift Cluster Manager 用户帐户：

   $ rosa create user-role

   选择提示符处的默认值，以快速创建和连接角色。

   注意

   Red Hat 用户帐户必须存在于链接到 OpenShift Cluster Manager 角色的 Red Hat 机构中。

流程

1. 检查 AWS 帐户中的现有角色和策略：

   $ rosa list account-roles

2. 如果 AWS 帐户中没有它们，请创建所需的集群范围的 STS 角色和策略：

   $ rosa create account-roles

   选择提示中的默认值，以快速创建角色和策略。

流程

1. 导航到 OpenShift Cluster Manager Hybrid Cloud Console，再选择 Create cluster。
2. 在 Create an OpenShift 集群 页面中，在 Red Hat OpenShift Service on AWS (ROSA) 行中选择 Create cluster。

3. 验证您的 AWS 帐户 ID 是否在关联的 AWS 帐户 下拉菜单中列出，且安装程序、支持、worker 和 control plane 帐户角色 Amazon Resource Names (ARN) 是否在 Accounts 和 roles 页面中列出。

   注意

   如果没有列出 AWS 帐户 ID，请检查您是否成功将 AWS 帐户与红帽机构相关联。如果没有列出帐户角色 ARN，请检查 AWS 帐户中是否存在所需的帐户范围 STS 角色。

4. 点击 Next。
5. 在 Cluster details 页面中，提供 集群名称。将默认值留在剩余的字段中，然后点 Next。
6. 要快速部署集群，保留 Cluster settings, Networking, Cluster roles and policies, 和 Cluster updates 页中的默认选项，点每个页中的 Next。
7. 在 Review your ROSA cluster 页中，查看您选择的概述并点 Create cluster 开始安装。

流程

1. 导航到 OpenShift Cluster Manager Hybrid Cloud Console，再选择 Create cluster。
2. 在 Create an OpenShift 集群 页面中，在 Red Hat OpenShift Service on AWS (ROSA) 行中选择 Create cluster。

3. 如果自动检测到 AWS 帐户，则会在 关联 AWS 帐户 下拉菜单中列出帐户 ID。如果没有自动检测到 AWS 帐户，点 Select an account → Associate AWS 帐户，请按照以下步骤执行：

   1. 在 Authenticate 页面中，点 rosa login 命令旁边的复制按钮。命令中包含 OpenShift Cluster Manager API 登录令牌。

      注意

      您还可以在 OpenShift Cluster Manager 上的 OpenShift Cluster Manager API Token 页面中加载 API 令牌。

   2. 在 CLI 中运行复制的命令以登录到您的 ROSA 帐户。

      $ rosa login --token=<api_login_token> 1

      1

      将 <api_login_token > 替换为复制命令中提供的令牌。

      输出示例

      I: Logged in as '<username>' on 'https://api.openshift.com'

   3. 在 OpenShift Cluster Manager 中的 Authenticate 页面上，单击 Next。

   4. 在 OCM 角色页面中，点 Basic OCM role 或 Admin OCM role 命令旁边的复制按钮。

      基本角色可让 OpenShift Cluster Manager 检测 ROSA 所需的 AWS IAM 角色和策略。admin 角色还启用角色和策略的检测。另外，admin 角色允许使用 OpenShift Cluster Manager 自动部署特定于集群 Operator 角色和 OpenID Connect (OIDC) 供应商。

   5. 在 CLI 中运行复制的命令，并按照提示创建 OpenShift Cluster Manager IAM 角色。以下示例使用默认选项创建基本的 OpenShift Cluster Manager IAM 角色：

      $ rosa create ocm-role

      输出示例

      I: Creating ocm role
      ? Role prefix: ManagedOpenShift 1
      ? Enable admin capabilities for the OCM role (optional): No 2
      ? Permissions boundary ARN (optional):  3
      ? Role Path (optional): 4
      ? Role creation mode: auto 5
      I: Creating role using 'arn:aws:iam::<aws_account_id>:user/<aws_username>'
      ? Create the 'ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' role? Yes
      I: Created role 'ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' with ARN 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>'
      I: Linking OCM role
      ? OCM Role ARN: arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>
      ? Link the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' role with organization '<red_hat_organization_id>'? Yes 6
      I: Successfully linked role-arn 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' with organization account '<red_hat_organization_id>'

      1

      指定要包含在 OCM IAM 角色名称的前缀。默认为 ManagedOpenShift。每个红帽机构的 AWS 帐户只能创建一个 OCM 角色。

      2

      启用 admin OpenShift Cluster Manager IAM 角色，这等同于指定 --admin 参数。如果要使用 Auto 模式使用 Auto 模式，则使用 OpenShift Cluster Manager 自动置备特定于集群的 Operator 角色和 OIDC 供应商，则需要 admin 角色。

      3

      可选：为角色指定一个权限边界 Amazon Resource Name (ARN)。如需更多信息，请参阅 AWS 文档中的 IAM 实体的权限界限。

      4

      为您的 OCM 角色指定自定义 ARN 路径。该路径必须仅包含字母数字字符并以 / 结尾，例如 /test/path/dev/。如需更多信息，请参阅 IAM 角色和策略的 ARN 路径自定义。

      5

      选择角色创建模式。您可以使用 自动 模式自动创建 OpenShift Cluster Manager IAM 角色，并将其链接到您的红帽机构帐户。在手动模式中，ros a CLI 生成创建并链接角色所需的 aws 命令。在手动模式中，对应的策略 JSON 文件也会保存到当前目录中。通过 手动模式，您可以在手动运行 aws 命令前查看详情。

      6

      将 OpenShift Cluster Manager IAM 角色链接到您的红帽机构帐户。

   6. 如果您不选择将 OpenShift Cluster Manager IAM 角色链接到上一命令中的红帽机构帐户，请从 OpenShift Cluster Manager OCM 角色 页面中复制 rosa link 命令并运行它：

      $ rosa link ocm-role <arn> 1

      1

      将 <arn> 替换为上一命令输出中包含的 OpenShift Cluster Manager IAM 角色的 ARN。

   7. 在 OpenShift Cluster Manager OCM 角色 页面中选择 Next。

   8. 在 User 角色 页面中，单击 User role 命令的复制按钮，并在 CLI 中运行该命令。在使用 OpenShift Cluster Manager 安装集群时，红帽使用用户角色来验证 AWS 身份。

      按照提示创建用户角色：

      $ rosa create user-role

      输出示例

      I: Creating User role
      ? Role prefix: ManagedOpenShift 1
      ? Permissions boundary ARN (optional): 2
      ? Role Path (optional): [? for help] 3
      ? Role creation mode: auto 4
      I: Creating ocm user role using 'arn:aws:iam::<aws_account_id>:user/<aws_username>'
      ? Create the 'ManagedOpenShift-User-<red_hat_username>-Role' role? Yes
      I: Created role 'ManagedOpenShift-User-<red_hat_username>-Role' with ARN 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<red_hat_username>-Role'
      I: Linking User role
      ? User Role ARN: arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<red_hat_username>-Role
      ? Link the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<red_hat_username>-Role' role with account '<red_hat_user_account_id>'? Yes 5
      I: Successfully linked role ARN 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<red_hat_username>-Role' with account '<red_hat_user_account_id>'

      1

      指定要包含在用户角色名称的前缀。默认为 ManagedOpenShift。

      2

      可选：为角色指定一个权限边界 Amazon Resource Name (ARN)。如需更多信息，请参阅 AWS 文档中的 IAM 实体的权限界限。

      3

      为您的用户角色指定自定义 ARN 路径。该路径必须仅包含字母数字字符并以 / 结尾，例如 /test/path/dev/。如需更多信息，请参阅 IAM 角色和策略的 ARN 路径自定义。

      4

      选择角色创建模式。您可以使用 auto 模式自动创建用户角色，并将其链接到 OpenShift Cluster Manager 用户帐户。在手动模式中，ros a CLI 生成创建并链接角色所需的 aws 命令。在手动模式中，对应的策略 JSON 文件也会保存到当前目录中。通过 手动模式，您可以在手动运行 aws 命令前查看详情。

      5

      将用户角色链接到 OpenShift Cluster Manager 用户帐户。

   9. 如果选择不要将用户角色链接到前面命令中 OpenShift Cluster Manager 用户帐户，请从 OpenShift Cluster Manager User 角色 页面中复制 rosa 链接 命令并运行：

      $ rosa link user-role <arn> 1

      1

      将 & lt;arn > 替换为上一命令输出中包含的用户角色的 ARN。

   10. 在 OpenShift Cluster Manager User 角色 页面中，点 Ok。
   11. 验证 AWS 帐户 ID 是否列在 Accounts and roles 页面的关联 AWS 帐户下拉菜单中。

   12. 如果所需的帐户角色不存在，则会提供一个通知，表示有些帐户角色 ARN 没有被检测到。您可以点击 rosa create account-roles 命令旁的复制缓冲区来创建 AWS 帐户范围内的角色和策略，包括 Operator 策略，以便在 CLI 中运行该命令：

       $ rosa create account-roles

       输出示例

       I: Logged in as '<red_hat_username>' on 'https://api.openshift.com'
       I: Validating AWS credentials...
       I: AWS credentials are valid!
       I: Validating AWS quota...
       I: AWS quota ok. If cluster installation fails, validate actual AWS resource usage against https://docs.openshift.com/rosa/rosa_getting_started/rosa-required-aws-service-quotas.html
       I: Verifying whether OpenShift command-line tool is available...
       I: Current OpenShift Client Version: 4.11.6
       I: Creating account roles
       ? Role prefix: ManagedOpenShift 1
       ? Permissions boundary ARN (optional): 2
       ? Path (optional): [? for help] 3
       ? Role creation mode: auto 4
       I: Creating roles using 'arn:aws:iam::<aws_account_number>:user/<aws_username>'
       ? Create the 'ManagedOpenShift-Installer-Role' role? Yes 5
       I: Created role 'ManagedOpenShift-Installer-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-Installer-Role'
       ? Create the 'ManagedOpenShift-ControlPlane-Role' role? Yes 6
       I: Created role 'ManagedOpenShift-ControlPlane-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-ControlPlane-Role'
       ? Create the 'ManagedOpenShift-Worker-Role' role? Yes 7
       I: Created role 'ManagedOpenShift-Worker-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-Worker-Role'
       ? Create the 'ManagedOpenShift-Support-Role' role? Yes 8
       I: Created role 'ManagedOpenShift-Support-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-Support-Role'
       I: To create a cluster with these roles, run the following command:
       rosa create cluster --sts

       1

       指定要包含在 OpenShift Cluster Manager IAM 角色名称的前缀。默认为 ManagedOpenShift。

       重要

       您必须指定一个在 AWS 帐户间唯一的范围角色前缀，即使您为帐户角色使用自定义 ARN 路径。

       2

       可选：为角色指定一个权限边界 Amazon Resource Name (ARN)。如需更多信息，请参阅 AWS 文档中的 IAM 实体的权限界限。

       3

       为您的帐户范围角色指定自定义 ARN 路径。该路径必须仅包含字母数字字符并以 / 结尾，例如 /test/path/dev/。如需更多信息，请参阅 IAM 角色和策略的 ARN 路径自定义。

       4

       选择角色创建模式。您可以使用 auto 模式自动创建集群范围的角色和策略。在手动模式中，ros a CLI 生成创建角色和策略所需的 aws 命令。在手动模式中，对应的策略 JSON 文件也会保存到当前目录中。通过 手动模式，您可以在手动运行 aws 命令前查看详情。

       5 6 7 8

       创建集群范围的安装程序、control plane、worker 和支持角色以及对应的 IAM 策略。如需更多信息，请参阅 帐户范围内的 IAM 角色和策略参考。

       注意

       在这一步中，ROSA CLI 还会自动创建帐户范围 Operator IAM 策略，这些策略由特定于集群 Operator 策略使用，以允许 ROSA 集群 Operator 执行核心 OpenShift 功能。如需更多信息，请参阅 帐户范围内的 IAM 角色和策略参考。

   13. 在 Accounts 和 roles 页面上，点 Refresh ARNs，并验证是否列出了安装程序、支持、worker 和 control plane 帐户角色 ARN。

       如果在集群版本的 AWS 帐户中有多个帐户角色集合，则会提供一个 Installer 角色 ARN 的下拉列表。选择您要与集群的安装程序角色的 ARN。集群使用与所选安装程序角色相关的集群范围的角色和策略。

4. 点击 Next。

   注意

   如果更改了 Accounts and roles 页面，您可能需要再次选择复选框，以确认您已读取并完成所有先决条件。

5. 在 Cluster details 页面中，为集群提供名称并指定集群详情：

   1. 添加 集群名称。
   2. 从 Version 下拉菜单中选择一个集群版本。
   3. 从 Region 下拉菜单中选择一个云供应商区域。
   4. 选择 Single zone 或 Multi-zone configuration。
   5. 让 启用用户工作负载监控 选择以监控您自己的项目，使其与 Red Hat Site Reliability工程师(SRE)平台指标隔离。默认启用这个选项。

   6. 可选： 如果需要 etcd key value encryption，请选择 Enable additional etcd 加密。使用此选项时，etcd 键的值被加密，而不是键本身。这个选项除了 control plane 存储加密外，这个加密会默认加密 Red Hat OpenShift Service 中的 etcd 卷。

      注意

      通过在 etcd 中为密钥值启用 etcd 加密，则会出现大约 20% 的性能开销。除了加密 etcd 卷的默认 control plane 存储加密外，还会引入第二层加密的开销。只有当您特别需要时才启用 etcd 加密。

   7. 可选：如果要提供自己的 AWS Key Management Service (KMS) 密钥 Amazon Resource Name (ARN)，请选择使用客户密钥的加密持久性卷。用于加密集群中的持久性卷的密钥。

      重要

      默认情况下，仅加密从默认存储类创建的持久性卷 (PV)。

      只有在将存储类配置为加密时，使用其他存储类创建的 PV 才会被加密。

      1. 可选。要创建客户管理的 KMS 密钥，请按照 创建对称加密 KMS 密钥 的步骤进行操作。

         重要

         除了帐户角色外，还需要 EBS operator 角色来成功创建集群。

         EBS Operator 角色示例

         "ARN:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cluster-csi-drivers-ebs-cloud-credent"

         创建 Operator 角色后，您必须编辑 AWS 控制台的Key Management Service (KMS) 页面中的 Key Policy 来添加角色。

   8. 点击 Next。

6. 在 Default 机器池 页面中，选择 Compute 节点实例类型。

   注意

   创建集群后，您可以更改集群中的计算节点数量，但您无法更改默认机器池中的计算节点实例类型。您可用的节点数量和类型取决于您是否使用单一或者多个可用区。它们还取决于您 AWS 帐户和所选区域中的启用和可用的内容。

7. 可选：为默认机器池配置自动扩展：

   1. 选择 Enable autoscaling 以自动扩展默认机器池中机器数量，以满足部署需求。

   2. 设置自动扩展的最小和最大节点数限值。集群自动扩展不会减少或增加默认的机器池节点数超过您指定的限制。

      • 如果您使用一个可用区部署集群，请设置最小节点数和最大节点数。这会在可用区中定义最小和最大计算节点限值。
      • 如果您使用多个可用区部署集群，请为每个区设置 最小节点以及每个区 的最大节点。它定义每个区的最小和最大计算节点限值。
      注意

      另外，您可以在创建机器池后为默认机器池设置自动扩展首选项。

8. 如果没有启用自动扩展，请为默认机器池选择计算节点计数：

   • 如果您使用单一可用区部署集群，请从下拉菜单中选择 Compute node count。这定义了置备到区域的机器池的计算节点数量。
   • 如果您使用多个可用区部署集群，请从下拉菜单中选择 Compute node count （每个区域）。这定义了每个区要置备到机器池的计算节点数量。
9. 可选：扩展 Edit node labels 以向节点添加标签。点击 Add label 来添加更多节点标签，然后选择 Next。

10. 在 Network Configuration 页面的 Cluster privacy 部分中，选择 Public 或 Private，以使用公共或私有 API 端点和应用程序路由。

    重要

    在集群创建后无法更改公共和私有 API 端点。

    公共 API 端点

    如果您不想限制集群访问，请选择 Public。您可以从互联网访问 Kubernetes API 端点和应用程序路由。

    私有 API 端点

    如果要限制对集群的网络访问权限，请选择 Private。Kubernetes API 端点和应用程序路由只能从直接私有连接访问。

    重要

    如果使用私有 API 端点，则在更新云供应商帐户中的网络设置之前，您无法访问集群。

11. 可选：如果您选择使用公共 API 端点，则默认为集群创建新的 VPC。如果要在现有 VPC 上安装集群，请选择 Install into an existing VPC。

    注意

    如果选择使用私有 API 端点，则必须使用现有的 VPC 和 PrivateLink，Install into an existing VPC 和 Use a PrivateLink 选项会被自动选择。通过这些选项，Red Hat Site Reliability Engineering (SRE)团队可以连接到集群来协助使用 AWS PrivateLink 端点支持。

12. 可选： 如果要将集群安装到现有的 VPC 中，请选择配置集群范围代理 来启用 HTTP 或 HTTPS 代理来拒绝从集群直接访问互联网。
13. 点击 Next。

14. 如果您选择在现有 AWS VPC 中安装集群，请提供 Virtual Private Cloud (VPC)子网设置。

    注意

    您必须确保 VPC 为希望安装集群的每个可用区配置公共和专用子网。如果您选择使用 PrivateLink，则只需要私有子网。

15. 如果您选择配置集群范围代理，在 集群范围代理页面中提供代理 配置详情：

    1. 至少在以下字段之一中输入值：

       • 指定有效的 HTTP 代理 URL。
       • 指定有效的 HTTPS 代理 URL。

       • 在 Additional trust bundle 字段中，提供 PEM 编码 X.509 证书捆绑包。捆绑包添加到集群节点的可信证书存储中。需要额外的信任捆绑包文件，除非代理的身份证书由 Red Hat Enterprise Linux CoreOS (RHCOS)信任捆绑包的颁发机构签名。

         如果您使用不要求额外代理配置但需要额外的证书颁发机构(CA)的 MITM 透明代理网络，您必须提供 MITM CA 证书。

         注意

         如果您在没有指定 HTTP 或 HTTPS 代理 URL 的情况下上传额外的信任捆绑包文件，则会在集群中设置捆绑包，但不会配置为与代理一起使用。

    2. 点击 Next。

    有关在 AWS 上配置代理的更多信息，请参阅 配置集群范围代理。

16. 在 CIDR 范围 对话框中，配置自定义无类别间路由 (CIDR) 范围，或使用提供默认值并点 Next。

    注意

    如果您要安装到 VPC 中，Machine CIDR 范围必须与 VPC 子网匹配。

    重要

    之后无法更改 CIDR 配置。在继续操作前，确认您的网络管理员的选择。

17. 在 Cluster roles 和 policies 页面中，选择您首选的 cluster-specific Operator IAM 角色和 OIDC 供应商创建模式。

    使用 Manual 模式，您可以使用 rosa CLI 命令或 aws CLI 命令为集群生成所需的 Operator 角色和 OIDC 供应商。通过手动模式，您可以在使用首选选项手动创建 IAM 资源并完成集群安装前查看详情。

    另外，您可以使用 Auto 模式自动创建 Operator 角色和 OIDC 供应商。要启用 Auto 模式，OpenShift Cluster Manager IAM 角色必须具有管理员的功能。

    注意

    如果您在创建关联的帐户范围角色时指定了自定义 ARN 路径，则会自动检测并应用自定义路径，并应用到 Operator 角色。当使用 Manual 或 Auto 模式创建 Operator 角色时，会应用自定义 ARN 路径。

18. 可选：为特定于集群 Operator IAM 角色指定自定义 operator 角色前缀。

    注意

    默认情况下，特定于集群的 Operator 角色名称使用集群名称和随机 4 位哈希值作为前缀。您可以选择在角色名称中指定自定义前缀来替换 < cluster_name>-<hash >。创建特定于集群的 Operator IAM 角色时会应用前缀。有关前缀的详情，请参阅关于自定义 Operator IAM 角色前缀。

19. 选择 Next。

20. 在 Cluster update 策略 页面中，配置您的更新首选项：

    1. 选择集群更新方法：

       • 如果要 单独 计划每个更新，请选择单独的更新。这是默认选项。

       • 选择 Recurring updates，以便在更新可用时，在首选一天和开始时间更新集群。

         重要

         即使选择了周期性更新，在次版本间升级集群前，您必须更新帐户和特定于集群的 IAM 资源。

         注意

         您可以在更新生命周期文档中查看 Red Hat OpenShift Service on AWS 的发布日期。如需更多信息，请参阅 AWS 更新生命周期的 Red Hat OpenShift Service。

    2. 如果您选择周期性更新，请从下拉菜单中选择 UTC 首选一天，并在 UTC 中选择升级开始时间。
    3. 可选：在集群升级过程中为 节点排空 设置宽限期。默认设置 1 小时 宽限期。

    4. 点击 Next。

       注意

       如果出现严重影响集群的安全性或稳定性的关键安全问题，Red Hat Site Reliability Engineering (SRE) 可能会对最新 z-stream 版本进行自动更新。在通知客户后，更新会在 48 小时内应用。有关关键影响安全评级的描述，请参阅 了解红帽安全评级。

21. 查看您选择的概述，并点击 Create cluster 启动集群安装。

22. 如果您选择使用 Manual 模式，请手动创建特定于集群的 Operator 角色和 OIDC 供应商来继续安装：

    1. 在 继续安装 对话框中所需的操作中，选择 AWS CLI 或 ROSA CLI 选项卡并手动创建资源：

       • 如果您选择使用 AWS CLI 方法，点 Download .zip，保存文件，然后提取 AWS CLI 命令和策略文件。然后，在 CLI 中运行提供的 aws 命令。

         注意

         您必须在包含策略文件的目录中运行 aws 命令。

       • 如果您选择使用 ROSA CLI 方法，点 rosa create 命令旁边的复制按钮，并在 CLI 中运行它们。

         注意

         如果您在创建关联的帐户范围角色时指定了自定义 ARN 路径，则在使用这些手动方法创建时，会自动检测到自定义路径并应用到 Operator 角色。

    2. 在 Action required to continue installation 对话框中，点 x 返回到集群的 Overview 页。
    3. 验证集群的 Overview 页面的 Details 部分中的 Cluster Status 是否已从 Waiting 改为 Installing。在状态更改前，可能需要大约两分钟的延迟时间。
    注意

    如果您选择使用 Auto 模式，OpenShift Cluster Manager 会自动创建 Operator 角色和 OIDC 供应商。

    重要

    除了成功创建集群的账户角色外，还需要 EBS operator 角色。.Example EBS Operator role "arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cluster-csi-drivers-ebs-cloud-credent"

    创建 Operator 角色后，您必须编辑 AWS 控制台的Key Management Service (KMS) 页面中的 Key Policy 来添加角色。

流程

1. 创建所需的集群范围的角色和策略，包括 Operator 策略：

   1. 在当前工作目录中生成 IAM 策略 JSON 文件，并输出 aws CLI 命令进行查看：

      $ rosa create account-roles --interactive \ 1
                                  --mode manual 2

      1

      交互模式 允许您在互动提示中指定配置选项。如需更多信息，请参阅 交互式集群创建模式参考。

      2

      手动模式 生成 aws CLI 命令和 JSON 文件，以创建帐户范围角色和策略。检查后，您必须手动运行命令来创建资源。

      输出示例

      I: Logged in as '<red_hat_username>' on 'https://api.openshift.com'
      I: Validating AWS credentials...
      I: AWS credentials are valid!
      I: Validating AWS quota...
      I: AWS quota ok. If cluster installation fails, validate actual AWS resource usage against https://docs.openshift.com/rosa/rosa_getting_started/rosa-required-aws-service-quotas.html
      I: Verifying whether OpenShift command-line tool is available...
      I: Current OpenShift Client Version: 4.11.6
      I: Creating account roles
      ? Role prefix: ManagedOpenShift 1
      ? Permissions boundary ARN (optional): 2
      ? Path (optional): [? for help] 3
      ? Role creation mode: auto 4
      I: Creating roles using 'arn:aws:iam::<aws_account_number>:user/<aws_username>'
      ? Create the 'ManagedOpenShift-Installer-Role' role? Yes 5
      I: Created role 'ManagedOpenShift-Installer-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-Installer-Role'
      ? Create the 'ManagedOpenShift-ControlPlane-Role' role? Yes 6
      I: Created role 'ManagedOpenShift-ControlPlane-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-ControlPlane-Role'
      ? Create the 'ManagedOpenShift-Worker-Role' role? Yes 7
      I: Created role 'ManagedOpenShift-Worker-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-Worker-Role'
      ? Create the 'ManagedOpenShift-Support-Role' role? Yes 8
      I: Created role 'ManagedOpenShift-Support-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-Support-Role'
      I: To create a cluster with these roles, run the following command:
      rosa create cluster --sts

      1

      指定要包含在 OpenShift Cluster Manager IAM 角色名称的前缀。默认为 ManagedOpenShift。

      重要

      您必须指定一个在 AWS 帐户间唯一的范围角色前缀，即使您为帐户角色使用自定义 ARN 路径。

      2

      可选：指定角色的权限边界 Amazon Resource Name (ARN)。如需更多信息，请参阅 AWS 文档中的 IAM 实体的权限界限。

      3

      为您的帐户范围角色指定自定义 ARN 路径。该路径必须仅包含字母数字字符并以 / 结尾，例如 /test/path/dev/。如需更多信息，请参阅 IAM 角色和策略的 ARN 路径自定义。

      4

      选择角色创建模式。您可以使用 auto 模式自动创建集群范围的角色和策略。在手动模式中，ros a CLI 生成创建角色和策略所需的 aws 命令。在手动模式中，对应的策略 JSON 文件也会保存到当前目录中。通过 手动模式，您可以在手动运行 aws 命令前查看详情。

      5 6 7 8

      创建集群范围的安装程序、control plane、worker 和支持角色以及对应的 IAM 策略。如需更多信息，请参阅 帐户范围内的 IAM 角色和策略参考。

      注意

      在这一步中，ROSA CLI 还会自动创建帐户范围 Operator IAM 策略，这些策略由特定于集群 Operator 策略使用，以允许 ROSA 集群 Operator 执行核心 OpenShift 功能。如需更多信息，请参阅 帐户范围内的 IAM 角色和策略参考。

   2. 检查后，手动运行 aws 命令来创建角色和策略。或者，您可以使用 --mode auto 来立即运行 aws 命令。

2. 可选：如果您使用自己的 AWS KMS 密钥加密 control plane、基础架构、worker 节点根卷和持久性卷(PV)，请将帐户范围内安装程序角色的 ARN 添加到 KMS 密钥策略中。

   重要

   只有从默认存储类创建的持久性卷(PV)都使用这个特定密钥加密。

   使用任何其他存储类创建的 PV 仍然会被加密，但 PV 不会使用此密钥加密，除非存储类被特别配置为使用这个密钥。

   1. 将 KMS 密钥的密钥策略保存到本地机器的文件中。以下示例将输出保存到当前工作目录中的 kms-key-policy.json 中：

      $ aws kms get-key-policy --key-id <key_id_or_arn> --policy-name default --output text > kms-key-policy.json 1

      1

      将 <key_id_or_arn > 替换为 KMS 密钥的 ID 或 ARN。

   2. 将您在上一步中创建的 account-wide 安装程序角色的 ARN 添加到 文件的 statement .Principal.AWS 部分。在以下示例中，添加了默认的 ManagedOpenShift-Installer-Role 角色的 ARN：

      {
          "Version": "2012-10-17",
          "Id": "key-rosa-policy-1",
          "Statement": [
              {
                  "Sid": "Enable IAM User Permissions",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::<aws-account-id>:root"
                  },
                  "Action": "kms:*",
                  "Resource": "*"
              },
              {
                  "Sid": "Allow ROSA use of the key",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": [
                          "arn:aws:iam::<aws-account-id>:role/ManagedOpenShift-Support-Role", 1
                          "arn:aws:iam::<aws-account-id>:role/ManagedOpenShift-Installer-Role",
                          "arn:aws:iam::<aws-account-id>:role/ManagedOpenShift-Worker-Role",
                          "arn:aws:iam::<aws-account-id>:role/ManagedOpenShift-ControlPlane-Role",
                          "arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cluster-csi-drivers-ebs-cloud-credent" 2
                      ]
                  },
                  "Action": [
                      "kms:Encrypt",
                      "kms:Decrypt",
                      "kms:ReEncrypt*",
                      "kms:GenerateDataKey*",
                      "kms:DescribeKey"
                  ],
                  "Resource": "*"
              },
              {
                  "Sid": "Allow attachment of persistent resources",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": [
                          "arn:aws:iam::<aws-account-id>:role/ManagedOpenShift-Support-Role", 3
                          "arn:aws:iam::<aws-account-id>:role/ManagedOpenShift-Installer-Role",
                          "arn:aws:iam::<aws-account-id>:role/ManagedOpenShift-Worker-Role",
                          "arn:aws:iam::<aws-account-id>:role/ManagedOpenShift-ControlPlane-Role",
                          "arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cluster-csi-drivers-ebs-cloud-credent" 4
                      ]
                  },
                  "Action": [
                      "kms:CreateGrant",
                      "kms:ListGrants",
                      "kms:RevokeGrant"
                  ],
                  "Resource": "*",
                  "Condition": {
                      "Bool": {
                          "kms:GrantIsForAWSResource": "true"
                      }
                  }
              }
          ]
      }

      1 3

      您必须为创建 ROSA 集群时使用的集群范围角色指定 ARN。部分中列出的 ARN 必须用逗号分开。

      2 4

      您必须为创建 ROSA 集群时使用的 operator 角色指定 ARN。部分中列出的 ARN 必须用逗号分开。

   3. 将更改应用到您的 KMS 密钥策略：

      $ aws kms put-key-policy --key-id <key_id_or_arn> \ 1
          --policy file://kms-key-policy.json \ 2
          --policy-name default

      1

      将 <key_id_or_arn > 替换为 KMS 密钥的 ID 或 ARN。

      2

      当在本地文件中引用密钥策略时，您必须包含 file:// 前缀。

      在下一步中创建集群时，可以引用 KMS 密钥的 ARN。

3. 使用自定义安装选项创建带有 STS 的集群。您可以使用 --interactive 模式以互动方式指定自定义设置：

   $ rosa create cluster --interactive --sts

   输出示例

   I: Interactive mode enabled.
   Any optional fields can be left empty and a default will be selected.
   ? Cluster name: <cluster_name>
   ? OpenShift version: 4.8.9 1
   I: Using arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Installer-Role for the Installer role 2
   I: Using arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-ControlPlane-Role for the ControlPlane role
   I: Using arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Worker-Role for the Worker role
   I: Using arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Support-Role for the Support role
   ? External ID (optional):
   ? Operator roles prefix: <cluster_name>-<random_string> 3
   ? Multiple availability zones (optional): No 4
   ? AWS region: us-east-1
   ? PrivateLink cluster (optional): No
   ? Install into an existing VPC (optional): No
   ? Select availability zones (optional): No
   ? Enable Customer Managed key (optional): No 5
   ? Compute nodes instance type (optional):
   ? Enable autoscaling (optional): No
   ? Compute nodes: 2
   ? Machine CIDR: 10.0.0.0/16
   ? Service CIDR: 172.30.0.0/16
   ? Pod CIDR: 10.128.0.0/14
   ? Host prefix: 23
   ? Encrypt etcd data (optional): No 6
   ? Disable Workload monitoring (optional): No
   I: Creating cluster '<cluster_name>'
   I: To create this cluster again in the future, you can run:
      rosa create cluster --cluster-name <cluster_name> --role-arn arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Installer-Role --support-role-arn arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Support-Role --master-iam-role arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-ControlPlane-Role --worker-iam-role arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Worker-Role --operator-roles-prefix <cluster_name>-<random_string> --region us-east-1 --version 4.8.9 --compute-nodes 2 --machine-cidr 10.0.0.0/16 --service-cidr 172.30.0.0/16 --pod-cidr 10.128.0.0/14 --host-prefix 23 7
   I: To view a list of clusters and their status, run 'rosa list clusters'
   I: Cluster '<cluster_name>' has been created.
   I: Once the cluster is installed you will need to add an Identity Provider before you can login into the cluster. See 'rosa create idp --help' for more information.
   ...

   1

   在创建集群时，列出的 OpenShift 版本 选项包括主要、次版本和补丁版本，如 4.8.9。

   2

   如果您在集群版本的 AWS 帐户中有多组帐户角色，则会提供交互式选项列表。

   3

   可选：默认情况下，特定于集群的 Operator 角色名称使用集群名称和随机 4 位哈希值作为前缀。您可以选择在角色名称中指定自定义前缀来替换 < cluster_name>-<hash >。创建特定于集群的 Operator IAM 角色时会应用前缀。有关前缀的详情，请参阅 定义 Operator IAM 角色前缀。

   注意

   如果您在创建关联的帐户范围角色时指定了自定义 ARN 路径，则会自动检测到自定义路径。当您在后续步骤中创建自定义路径时，自定义路径会应用到特定于集群的 Operator 角色。

   4

   建议为生产环境工作负载使用多个可用区。默认值为单个可用区。

   5

   如果您使用自己的 AWS KMS 密钥加密 control plane、基础架构、worker 节点根卷和 PV，请启用这个选项。在前面的步骤中，为添加到帐户范围角色 ARN 的 KMS 密钥指定 ARN。

   重要

   只有从默认存储类创建的持久性卷(PV)都使用这个特定密钥加密。

   使用任何其他存储类创建的 PV 仍然会被加密，但 PV 不会使用此密钥加密，除非存储类被特别配置为使用这个密钥。

   6

   仅在您的用例需要 etcd 键值加密时启用这个选项，除了默认加密 etcd 卷的 control plane 存储加密之外。使用此选项时，etcd 键的值被加密，而不是键本身。

   重要

   通过在 etcd 中为密钥值启用 etcd 加密，则会出现大约 20% 的性能开销。除了加密 etcd 卷的默认 control plane 存储加密外，还会引入第二层加密的开销。红帽建议仅在特别需要时才启用 etcd 加密。

   7

   输出中包括了一个可以运行的自定义命令来创建使用相同配置的集群。

   作为使用 --interactive 模式的替代选择，您可以在运行 rosa 创建集群时 直接指定自定义选项。运行 rosa create cluster --help 查看可用 CLI 选项列表。

   重要

   您必须完成以下步骤来创建 Operator IAM 角色和 OpenID Connect (OIDC)供应商，将集群的状态移到 ready。

4. 创建特定于集群的 Operator IAM 角色：

   1. 在当前工作目录中生成 Operator IAM 策略 JSON 文件，并输出 aws CLI 命令以查看：

      $ rosa create operator-roles --mode manual --cluster <cluster_name|cluster_id> 1

      1

      手动模式 生成 aws CLI 命令和创建 Operator 角色所需的 JSON 文件。检查后，您必须手动运行命令来创建资源。

   2. 检查后，运行 aws 命令，以创建 Operator IAM 角色并将受管 Operator 策略附加到它们。另外，您可以使用 --mode auto 来再次运行前面的命令来立即运行 aws 命令。

      注意

      如果您在上一步中指定了前缀，则会将自定义前缀应用于 Operator 角色名称。

      如果您在创建关联的帐户范围角色时指定了自定义 ARN 路径，则会自动检测并应用自定义路径，并应用到 Operator 角色。

      重要

      除了成功创建集群的账户角色外，还需要 EBS operator 角色。.Example EBS Operator role "arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cluster-csi-drivers-ebs-cloud-credent"

      创建 Operator 角色后，您必须编辑 AWS 控制台的Key Management Service (KMS) 页面中的 Key Policy 来添加角色。

5. 创建集群 Operator 用于进行身份验证的 OpenID Connect (OIDC)供应商：

   $ rosa create oidc-provider --mode auto --cluster <cluster_name|cluster_id> 1

   1

   auto 模式会立即运行 aws CLI 命令，用于创建 OIDC 供应商。

6. 检查集群的状态：

   $ rosa describe cluster --cluster <cluster_name|cluster_id>

   输出示例

   Name:                       <cluster_name>
   ID:                         <cluster_id>
   External ID:                <external_id>
   OpenShift Version:          <version>
   Channel Group:              stable
   DNS:                        <cluster_name>.xxxx.p1.openshiftapps.com
   AWS Account:                <aws_account_id>
   API URL:                    https://api.<cluster_name>.xxxx.p1.openshiftapps.com:6443
   Console URL:                https://console-openshift-console.apps.<cluster_name>.xxxx.p1.openshiftapps.com
   Region:                     <aws_region>
   Multi-AZ:                   false
   Nodes:
    - Master:                  3
    - Infra:                   2
    - Compute:                 2
   Network:
    - Service CIDR:            172.30.0.0/16
    - Machine CIDR:            10.0.0.0/16
    - Pod CIDR:                10.128.0.0/14
    - Host Prefix:             /23
   STS Role ARN:               arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Installer-Role
   Support Role ARN:           arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Support-Role
   Instance IAM Roles:
    - Master:                  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-ControlPlane-Role
    - Worker:                  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Worker-Role
   Operator IAM Roles:
    - arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-ingress-operator-cloud-credentials
    - arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cluster-csi-drivers-ebs-cloud-credent
    - arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-machine-api-aws-cloud-credentials
    - arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cloud-credential-operator-cloud-crede
    - arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-image-registry-installer-cloud-creden
   State:                      ready
   Private:                    No
   Created:                    Oct  1 2021 08:12:25 UTC
   Details Page:               https://console.redhat.com/openshift/details/s/<subscription_id>
   OIDC Endpoint URL:          https://rh-oidc.s3.<aws_region>.amazonaws.com/<cluster_id>

   集群安装进行时，会输出以下 State 字段更改：

   • 等待（用于 OIDC 配置）
   • 待定（准备帐户）
   • 安装(DNS 设置进行中)
   • installing

   • ready

     注意

     如果安装失败或者 State 字段在大约 40 分钟后没有变为 ready，请检查安装故障排除文档以了解详细信息。如需更多信息，请参阅故障排除安装。如需联系红帽支持以获取帮助的步骤，请参阅 Red Hat OpenShift Service on AWS 支持。

7. 通过观察 OpenShift 安装程序日志来跟踪集群创建的进度：

   $ rosa logs install --cluster <cluster_name|cluster_id> --watch 1

   1

   指定在安装过程中监视新日志消息的 --watch 标志。这个参数是可选的。

流程

1. 输入以下命令撤销用户的 dedicated-admin 访问权限：

   $ rosa revoke user dedicated-admin --user=<idp_user_name> --cluster=<cluster_name>

2. 输入以下命令验证您的用户是否不再有 dedicated-admin 访问权限。输出不会列出已撤销的用户。

   $ oc get groups dedicated-admins

流程

1. 输入以下命令撤销用户的 cluster-admin 访问：

   $ rosa revoke user cluster-admins --user=myusername --cluster=mycluster

2. 输入以下命令验证用户是否不再具有 cluster-admin 访问权限。输出不会列出已撤销的用户。

   $ oc get groups cluster-admins

流程

1. 删除集群范围的角色：

   1. 使用 ROSA CLI 列出 AWS 帐户中的系统范围角色 (rosa)：

      $ rosa list account-roles

      输出示例

      I: Fetching account roles
      ROLE NAME                           ROLE TYPE      ROLE ARN                                                           OPENSHIFT VERSION
      ManagedOpenShift-ControlPlane-Role  Control plane  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-ControlPlane-Role  4.10
      ManagedOpenShift-Installer-Role     Installer      arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Installer-Role     4.10
      ManagedOpenShift-Support-Role       Support        arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Support-Role       4.10
      ManagedOpenShift-Worker-Role        Worker         arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Worker-Role        4.10

   2. 删除集群范围的角色：

      $ rosa delete account-roles --prefix <prefix> --mode auto 1

      1

      您必须包含 --<prefix> 参数。将 &lt;prefix> 替换为要删除的集群范围角色前缀。如果您在创建集群范围的角色时没有指定自定义前缀，请指定默认前缀 ManagedOpenShift。

      重要

      系统范围的 IAM 角色可能被同一 AWS 帐户中的其他 ROSA 集群使用。只有角色不再被其他集群需要时，才删除这些资源。

2. 删除集群范围的 in-line 和 Operator 策略：

   1. 在 AWS IAM Console 的 Policies 页面中，根据您在创建帐户范围角色和策略时指定的前缀过滤策略列表。

      注意

      如果您在创建集群范围的角色时没有指定自定义前缀，请搜索默认前缀 ManagedOpenShift。

   2. 使用 AWS IAM 控制台 删除集群范围的 in-line 策略和 Operator 策略。有关使用 AWS IAM 控制台删除 IAM 策略的更多信息，请参阅 AWS 文档中的删除 IAM 策略。

      重要

      集群范围的 in-line 和 Operator IAM 策略可能被同一 AWS 帐户中的其他 ROSA 集群使用。只有角色不再被其他集群需要时，才删除这些资源。

流程

1. 从您的红帽机构中取消链接 OpenShift Cluster Manager IAM 角色，并删除角色：

   1. 列出 AWS 帐户中的 OpenShift Cluster Manager IAM 角色：

      $ rosa list ocm-roles

      输出示例

      I: Fetching ocm roles
      ROLE NAME                           ROLE ARN                                                                      LINKED  ADMIN
      ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>  Yes     Yes

   2. 如果 OpenShift Cluster Manager IAM 角色在上一命令的输出中被列为链接，请取消链接您的红帽机构中的角色：

      $ rosa unlink ocm-role --role-arn <arn> 1

      1

      将 <arn > 替换为 OpenShift Cluster Manager IAM 角色的 Amazon Resource Name (ARN)。ARN 在上一命令的输出中指定。在上例中，ARN 的格式为 arn:aws:iam::<aws_account_external_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>。

      输出示例

      I: Unlinking OCM role
      ? Unlink the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' role from organization '<red_hat_organization_id>'? Yes
      I: Successfully unlinked role-arn 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' from organization account '<red_hat_organization_id>'

   3. 删除 OpenShift Cluster Manager IAM 角色和策略：

      $ rosa delete ocm-role --role-arn <arn>

      输出示例

      I: Deleting OCM role
      ? OCM Role ARN: arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>
      ? Delete 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' ocm role? Yes
      ? OCM role deletion mode: auto 1
      I: Successfully deleted the OCM role

      1

      指定删除模式。您可以使用 auto 模式自动删除 OpenShift Cluster Manager IAM 角色和策略。在手动模式中，ros a CLI 生成删除角色和策略所需的 aws 命令。通过 手动模式，您可以在手动运行 aws 命令前查看详情。

2. 取消链接红帽机构中的用户 IAM 角色，并删除角色：

   1. 列出 AWS 帐户中的用户 IAM 角色：

      $ rosa list user-roles

      输出示例

      I: Fetching user roles
      ROLE NAME                                  ROLE ARN                                                                  LINKED
      ManagedOpenShift-User-<ocm_user_name>-Role  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role  Yes

   2. 如果您的用户 IAM 角色在上一命令的输出中被列为链接，请取消链接您的红帽机构中的角色：

      $ rosa unlink user-role --role-arn <arn> 1

      1

      将 <arn > 替换为您的用户 IAM 角色的 Amazon Resource Name (ARN)。ARN 在上一命令的输出中指定。在上例中，ARN 格式为 arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role。

      输出示例

      I: Unlinking user role
      ? Unlink the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role' role from the current account '<ocm_user_account_id>'? Yes
      I: Successfully unlinked role ARN 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role' from account '<ocm_user_account_id>'

   3. 删除用户 IAM 角色：

      $ rosa delete user-role --role-arn <arn>

      输出示例

      I: Deleting user role
      ? User Role ARN: arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role
      ? Delete the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role' role from the AWS account? Yes
      ? User role deletion mode: auto 1
      I: Successfully deleted the user role

      1

      指定删除模式。您可以使用 auto 模式删除用户 IAM 角色。在手动模式中，ros a CLI 生成删除角色所需的 aws 命令。通过 手动模式，您可以在手动运行 aws 命令前查看详情。

流程

1. 如果您作为客户，使用的是 AWS 机构，那么您必须在组织内使用 AWS 帐户或 创建一个新 机构。
2. 为确保红帽可以执行必要的操作，您必须创建服务控制策略(SCP)，或者确保不会应用到 AWS 帐户。
3. 将 SCP 附加到 AWS 帐户。
4. 按照设置环境的 ROSA 步骤进行操作。

流程

1. 允许列出用于安装和下载软件包和工具的以下 URL：

   域	端口	功能
   registry.redhat.io	443	提供核心容器镜像。
   quay.io	443	提供核心容器镜像。
   *.quay.io	443	提供核心容器镜像。
   sso.redhat.com	443, 80	必需。https://console.redhat.com/openshift 站点使用 sso.redhat.com 中的身份验证下载 pull secret，并使用 Red Hat SaaS 解决方案来简化对订阅、集群库存、退款报告等的监控。
   quay-registry.s3.amazonaws.com	443	提供核心容器镜像。
   cm-quay-production-s3.s3.amazonaws.com	443	提供核心容器镜像。
   cart-rhcos-ci.s3.amazonaws.com	443	提供 Red Hat Enterprise Linux CoreOS (RHCOS)镜像。
   openshift.org	443	提供 Red Hat Enterprise Linux CoreOS (RHCOS)镜像。
   registry.access.redhat.com	443	提供对 odo CLI 工具的访问，可帮助开发人员在 OpenShift 和 Kubernetes 上进行构建。
   console.redhat.com	443, 80	必需。允许集群和 OpenShift 控制台管理器之间的交互启用功能，如调度升级。
   sso.redhat.com	443	https://console.redhat.com/openshift 站点使用 sso.redhat.com 中的身份验证。
   pull.q1w2.quay.rhcloud.com	443	当 quay.io 不可用时，提供核心容器镜像作为回退。
   .q1w2.quay.rhcloud.com	443	当 quay.io 不可用时，提供核心容器镜像作为回退。

   当您将 quay.io 等网站添加到 allowlist 中时，不要在您的 denylist 中添加通配符条目，如 *.quay.io。在大多数情况下，镜像 registry 使用内容交付网络（CDN）来提供镜像。如果防火墙阻止访问，那么当初始下载请求重定向到一个主机名（如 cdn01.quay.io ）时，则不能下载镜像。

   当您在 allowlist 中添加通配符条目（如 .quay.io ）时，会涵盖 CDN 主机名（如 cdn01.quay.io ）。

2. 允许以下遥测 URL 列出：

   域	端口	功能
   cert-api.access.redhat.com	443	遥测需要。
   api.access.redhat.com	443	遥测需要。
   infogw.api.openshift.com	443	遥测需要。
   console.redhat.com	443	遥测和 Red Hat Insights 需要。
   observatorium.api.openshift.comm	443	托管 OpenShift 的相关遥测是必需的。

   受管集群需要让红帽能够更快速地对问题做出反应，更好地支持客户，并更好地了解产品升级对集群的影响。如需有关如何为红帽使用远程健康监控数据的更多信息，请参阅关于远程健康监控。

3. 允许列出以下 Amazon Web Services (AWS) API URls：

   域	端口	功能
   .amazonaws.com	443	需要此项以访问 AWS 服务和资源。

   或者，如果您选择不为 Amazon Web Services (AWS) API 使用通配符，则必须允许列出以下 URL：

   域	端口	功能
   ec2.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   events.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   iam.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   route53.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   sts.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   tagging.us-east-1.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。此端点始终为 us-east-1，无论集群要部署到的区域。
   ec2.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   elasticloadbalancing.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   servicequotas.<aws_region>.amazonaws.com	443, 80	必需。用于确认用于部署该服务的配额。
   tagging.<aws_region>.amazonaws.com	443, 80	允许以标签的形式分配 AWS 资源的元数据。

4. 允许以下 OpenShift URL 列出：

   域	端口	功能
   mirror.openshift.com	443	用于访问镜像安装内容和镜像。此站点也是发行镜像签名的源，但 Cluster Version Operator (CVO)只需要一个可正常工作的源。
   storage.googleapis.com/openshift-release (推荐)	443	mirror.openshift.com/ 的替代站点。用于下载集群用来从 quay.io 中拉取哪些镜像的平台发行版本签名。
   api.openshift.com	443	用于检查集群是否有可用的更新。

5. 允许以下站点可靠性工程(SRE)和管理 URL：

   域	端口	功能
   api.pagerduty.com	443	这个警报服务供集群 alertmanager 用于发送通知红帽 SRE 事件要执行的操作的警报。
   events.pagerduty.com	443	这个警报服务供集群 alertmanager 用于发送通知红帽 SRE 事件要执行的操作的警报。
   api.deadmanssnitch.com	443	AWS 上使用 Red Hat OpenShift Service 发送定期 ping 的警报服务，指示集群是否可用并正在运行。
   nosnch.in	443	AWS 上使用 Red Hat OpenShift Service 发送定期 ping 的警报服务，指示集群是否可用并正在运行。
   *.osdsecuritylogs.splunkcloud.com OR inputs1.osdsecuritylogs.splunkcloud.com inputs2.osdsecuritylogs.splunkcloud.com inputs4.osdsecuritylogs.splunkcloud.com inputs5.osdsecuritylogs.splunkcloud.com inputs6.osdsecuritylogs.splunkcloud.com inputs7.osdsecuritylogs.splunkcloud.com inputs8.osdsecuritylogs.splunkcloud.com inputs9.osdsecuritylogs.splunkcloud.com inputs10.osdsecuritylogs.splunkcloud.com inputs11.osdsecuritylogs.splunkcloud.com inputs12.osdsecuritylogs.splunkcloud.com inputs13.osdsecuritylogs.splunkcloud.com inputs14.osdsecuritylogs.splunkcloud.com inputs15.osdsecuritylogs.splunkcloud.com	9997	splunk-forwarder-operator 使用为一个日志转发端点，供 Red Hat SRE 用于基于日志的警报。
   http-inputs-osdsecuritylogs.splunkcloud.com	443	必需。splunk-forwarder-operator 使用为一个日志转发端点，供 Red Hat SRE 用于基于日志的警报。
   sftp.access.redhat.com (Recommended)	22	must-gather-operator 使用的 SFTP 服务器来上传诊断日志，以帮助排除集群的问题。

6. 如果您没有允许 Amazon Web Services (AWS) API 的通配符，还必须允许用于内部 OpenShift registry 的 S3 存储桶。要检索该端点，在集群成功置备后运行以下命令：

   $ oc -n openshift-image-registry get pod -l docker-registry=default -o json | jq '.items[].spec.containers[].env[] | select(.name=="REGISTRY_STORAGE_S3_BUCKET")'

   S3 端点的格式应为：'<cluster-name>-<random-string>-image-registry-<cluster-region>-<random-string>.s3.dualstack.<cluster-region>.amazonaws.com'。

7. 将提供构建所需语言或框架资源的任何站点列入允许列表。
8. 允许任何依赖于 OpenShift 中使用的语言和框架的出站 URL。如需了解在防火墙或代理上 允许的建议 URL 列表，请参阅 OpenShift Outbound URL。

1. 执行 AWS 先决条件。要部署 ROSA 集群，您的 AWS 帐户必须满足先决条件。
2. 查看所需的 AWS 服务配额。要准备集群部署，请查看运行 ROSA 集群的 AWS 服务配额。
3. 配置 AWS 帐户。在创建 ROSA 集群前，您必须在 AWS 帐户中启用 ROSA，安装和配置 AWS CLI (aws)工具配置，并验证 AWS CLI 工具配置。
4. 安装 ROSA 和 OpenShift CLI 工具并验证 AWS 服务配额。安装和配置 ROSA CLI (rosa)和 OpenShift CLI (oc)。您可以使用 ROSA CLI 验证所需的 AWS 资源配额是否可用。
5. 创建 ROSA 集群 或使用 AWS PrivateLink 创建 ROSA 集群。使用 ROSA CLI (rosa)创建集群。您可以选择使用 AWS PrivateLink 创建 ROSA 集群。
6. 访问集群。您可以配置身份提供程序，并根据需要为身份提供程序用户授予集群管理员特权。您还可以通过配置 cluster-admin 用户快速访问新部署的集群。
7. 为用户 撤销对 ROSA 集群的访问。您可以使用 ROSA CLI 或 Web 控制台从用户撤销对 ROSA 集群的访问。
8. 删除 ROSA 集群。您可以使用 ROSA CLI (rosa)删除 ROSA 集群。

流程

1. 登录到您要使用的 Amazon Web Services (AWS)帐户。

   建议运行一个专用 AWS 帐户来运行生产环境集群。如果使用 AWS 机构，您可以使用机构中的 AWS 帐户 或创建新机构。

   如果您使用 AWS 机构，且您需要有一个服务控制策略 (SCP) 应用于您计划使用的 AWS 帐户，请参阅 AWS 先决条件。

   作为集群创建过程的一部分，ros a 建立 osdCcsAdmin IAM 用户。此用户使用您在配置 AWS CLI 时提供的 IAM 凭证。

   注意

   此用户启用了 Programmatic 访问权限，并附加了 AdministratorAccess 策略。

2. 在 AWS 控制台中启用 ROSA 服务。

   1. 登录您的 AWS 帐户。
   2. 要启用 ROSA，请转至 ROSA 服务 并选择 启用 OpenShift。

3. 安装和配置 AWS CLI。

   1. 按照 AWS 命令行界面文档为您的操作系统 安装和配置 AWS CLI。

      在 .aws/credentials 文件中指定正确的 aws_access_key_id 和 aws_secret_access_key。请参阅 AWS 文档中的 AWS 配置基础知识。

   2. 设置默认 AWS 区域。

      注意

      建议使用环境变量来设置默认的 AWS 区域。

      ROSA 服务按以下优先级顺序评估区域：

      1. 使用 --region 标志运行 rosa 命令时指定的区域。
      2. 在 AWS_DEFAULT_REGION 环境变量中设置的区域。请参阅 AWS 文档中的配置 AWS CLI 的环境变量。
      3. AWS 配置文件中设定的默认地区。请参阅 AWS 文档中的使用 aws 配置 快速配置。

   3. 可选：使用名为 profile 的 AWS 配置 AWS CLI 设置和凭证。ROSA 按以下优先级顺序评估 AWS 指定配置集：

      1. 使用 --profile 标志运行 rosa 命令时指定的配置集。
      2. 在 AWS_PROFILE 环境变量中设置的配置集。请参阅 AWS 文档中的 Named 配置集。

   4. 运行以下命令查询 AWS API 来验证 AWS CLI 是否已正确安装和配置：

      $ aws sts get-caller-identity

      输出示例

      ---------------------------------------------------------------------------------
      |                                GetCallerIdentity                              |
      +-------------------------------------------------------------------------------+
      |+-----------------------------------+-----------------------+-----------------+|
      ||      Account        |                Arn              |       UserID        ||
      |+-----------------------------------+-----------------------+-----------------+|
      ||  <account_name>     |  arn:aws:iam<string>:user:name  |      <userID>       ||
      |+-----------------------------------+-----------------------+-----------------+|

      完成这些步骤后，安装 ROSA。

流程

1. 安装 rosa，Red Hat OpenShift Service on AWS 的命令行接口 (CLI)。

   1. 为您的操作系统下载 rosa CLI 的最新版本。
   2. 可选：将您下载的可执行文件命名为 rosa。本文档使用 rosa 参考可执行文件。

   3. 可选：为您的路径添加 rosa。

      示例

      $ mv rosa /usr/local/bin/rosa

   4. 输入以下命令验证安装：

      $ rosa

      输出示例

      Command line tool for ROSA.
      
      Usage:
        rosa [command]
      
      Available Commands:
        completion  Generates bash completion scripts
        create      Create a resource from stdin
        delete      Delete a specific resource
        describe    Show details of a specific resource
        edit        Edit a specific resource
        help        Help about any command
        init        Applies templates to support Managed OpenShift on AWS clusters
        list        List all resources of a specific type
        login       Log in to your Red Hat account
        logout      Log out
        logs        Show logs of a specific resource
        verify      Verify resources are configured correctly for cluster install
        version     Prints the version of the tool
      
      Flags:
            --debug     Enable debug mode.
        -h, --help      help for rosa
        -v, --v Level   log level for V logs
      
      Use "rosa [command] --help" for more information about a command.

   5. 可选：为 rosa CLI 生成命令完成脚本。以下示例为 Linux 机器生成 Bash 完成脚本：

      $ rosa completion bash | sudo tee /etc/bash_completion.d/rosa

   6. 可选：从现有终端启用 rosa 命令完成。以下示例在 Linux 机器上的现有终端中启用 rosa 的 Bash 完成：

      $ source /etc/bash_completion.d/rosa

2. 使用 rosa 登录您的红帽帐户。

   1. 输入以下命令。

      $ rosa login

   2. 将 <my_offline_access_token& gt; 替换为您的令牌。

      输出示例

      To login to your Red Hat account, get an offline access token at https://console.redhat.com/openshift/token/rosa
      ? Copy the token and paste it here: <my-offline-access-token>

      输出继续示例

      I: Logged in as 'rh-rosa-user' on 'https://api.openshift.com'

3. 输入以下命令验证您的 AWS 帐户是否有必要权限。

   $ rosa verify permissions

   输出示例

   I: Validating SCP policies...
   I: AWS SCP policies ok

   注意

   此命令只验证不使用 AWS 安全令牌服务(STS)的 ROSA 集群的权限。

4. 验证您的 AWS 帐户是否具有在 AWS 集群上部署 Red Hat OpenShift Service 所需的配额。

   $ rosa verify quota --region=us-west-2

   输出示例

   I: Validating AWS quota...
   I: AWS quota ok

   注意

   有时，您的 AWS 配额因区域而异。如果收到任何错误，请尝试其他区域。

   如果需要提高配额，进入 AWS 控制台，并为失败的服务请求配额增加。

   在权限和配额检查通过后，继续下一步。

5. 为集群部署准备 AWS 帐户：

   1. 运行以下命令验证您的红帽和 AWS 凭证是否已正确设置。检查您的 AWS 帐户 ID、默认区域和 ARN 是否与预期的内容匹配。现在，您可以安全地忽略以 OCM 开头的行。

      $ rosa whoami

      输出示例

      AWS Account ID:               000000000000
      AWS Default Region:           us-east-2
      AWS ARN:                      arn:aws:iam::000000000000:user/hello
      OCM API:                      https://api.openshift.com
      OCM Account ID:               1DzGIdIhqEWyt8UUXQhSoWaaaaa
      OCM Account Name:             Your Name
      OCM Account Username:         you@domain.com
      OCM Account Email:            you@domain.com
      OCM Organization ID:          1HopHfA2hcmhup5gCr2uH5aaaaa
      OCM Organization Name:        Red Hat
      OCM Organization External ID: 0000000

   2. 初始化 AWS 帐户。此步骤运行 CloudFormation 模板，用于准备用于集群部署和管理的 AWS 帐户。此步骤通常需要 1-2 分钟才能完成。

      $ rosa init

      输出示例

      I: Logged in as 'rh-rosa-user' on 'https://api.openshift.com'
      I: Validating AWS credentials...
      I: AWS credentials are valid!
      I: Validating SCP policies...
      I: AWS SCP policies ok
      I: Validating AWS quota...
      I: AWS quota ok
      I: Ensuring cluster administrator user 'osdCcsAdmin'...
      I: Admin user 'osdCcsAdmin' created successfully!
      I: Verifying whether OpenShift command-line tool is available...
      E: OpenShift command-line tool is not installed.
      Run 'rosa download oc' to download the latest version, then add it to your PATH.

6. 从 rosa CLI 安装 OpenShift CLI (oc)。

   1. 输入以下命令下载 oc CLI 的最新版本：

      $ rosa download oc

   2. 下载 oc CLI 后，将其解压缩并将其添加到您的路径中。

   3. 输入此命令来验证是否已正确安装了 oc CLI：

      $ rosa verify oc

流程

1. 您可以使用默认设置或使用互动模式指定自定义设置来创建集群。要在创建集群时查看其他选项，请输入 rosa create cluster --help。

   创建集群最多可能需要 40 分钟。

   注意

   对于生产工作负载，推荐使用多个可用区(AZ)。默认值为单个可用区。使用 --help 来手动设置这个选项，或使用互动模式进行此设置。

   • 使用默认集群设置创建集群：

     $ rosa create cluster --cluster-name=<cluster_name>

     输出示例

     I: Creating cluster with identifier '1de87g7c30g75qechgh7l5b2bha6r04e' and name 'rh-rosa-test-cluster1'
     I: To view list of clusters and their status, run `rosa list clusters`
     I: Cluster 'rh-rosa-test-cluster1' has been created.
     I: Once the cluster is 'Ready' you will need to add an Identity Provider and define the list of cluster administrators. See `rosa create idp --help` and `rosa create user --help` for more information.
     I: To determine when your cluster is Ready, run `rosa describe cluster rh-rosa-test-cluster1`.

   • 使用互动提示创建集群：

     $ rosa create cluster --interactive

   • 要配置网络 IP 范围，您可以使用以下默认范围：有关使用手动模式时的更多信息，请使用 rosa create cluster --help | grep cidr。在交互模式中，系统会提示您输入设置。

     • 节点 CIDR: 10.0.0.0/16
     • Service CIDR: 172.30.0.0/16
     • Pod CIDR： 10.128.0.0/14

2. 输入以下命令检查集群的状态。在集群创建过程中，输出中的 State 字段将从 Pending 转换为 安装，最后变为 ready。

   $ rosa describe cluster --cluster=<cluster_name>

   输出示例

   Name: rh-rosa-test-cluster1
   OpenShift Version: 4.6.8
   DNS: *.example.com
   ID: uniqueidnumber
   External ID: uniqueexternalidnumber
   AWS Account: 123456789101
   API URL: https://api.rh-rosa-test-cluster1.example.org:6443
   Console URL: https://console-openshift-console.apps.rh-rosa-test-cluster1.example.or
   Nodes: Master: 3, Infra: 2, Compute: 2
   Region: us-west-2
   Multi-AZ: false
   State: ready
   Channel Group: stable
   Private: No
   Created: Jan 15 2021 16:30:55 UTC
   Details Page: https://console.redhat.com/examplename/details/idnumber

   注意

   如果安装失败或者 State 字段在 40 分钟后没有变为 ready，请检查安装故障排除文档以了解更多详细信息。

3. 通过观察 OpenShift 安装程序日志来跟踪集群创建的进度：

   $ rosa logs install --cluster=<cluster_name> --watch

流程

1. 输入以下命令撤销用户的 dedicated-admin 访问权限：

   $ rosa revoke user dedicated-admin --user=<idp_user_name> --cluster=<cluster_name>

2. 输入以下命令验证您的用户是否不再有 dedicated-admin 访问权限。输出不会列出已撤销的用户。

   $ oc get groups dedicated-admins

流程

1. 输入以下命令撤销用户的 cluster-admin 访问：

   $ rosa revoke user cluster-admins --user=myusername --cluster=mycluster

2. 输入以下命令验证用户是否不再具有 cluster-admin 访问权限。输出不会列出已撤销的用户。

   $ oc get groups cluster-admins

流程

1. 获取集群 ID、特定于集群 Operator 角色的 Amazon 资源名称 (ARN) 和 OIDC 供应商的端点 URL：

   $ rosa describe cluster --cluster=<cluster_name> 1

   1

   将 <cluster_name> 替换为集群的名称。

   输出示例

   Name:                       mycluster
   ID:                         1s3v4x39lhs8sm49m90mi0822o34544a 1
   ...
   Operator IAM Roles: 2
    - arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-machine-api-aws-cloud-credentials
    - arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-cloud-credential-operator-cloud-crede
    - arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-image-registry-installer-cloud-creden
    - arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-ingress-operator-cloud-credentials
    - arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-cluster-csi-drivers-ebs-cloud-credent
    - arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-cloud-network-config-controller-cloud
   State:                      ready
   Private:                    No
   Created:                    May 13 2022 11:26:15 UTC
   Details Page:               https://console.redhat.com/openshift/details/s/296kyEFwzoy1CREQicFRdZybrc0
   OIDC Endpoint URL:          https://rh-oidc.s3.us-east-1.amazonaws.com/1s5v4k39lhm8sm59m90mi0822o31844a 3

   1

   列出集群 ID。

   2

   指定特定于集群 Operator 角色的 ARN。例如，在示例输出中，Machine Config Operator 所需的角色的 ARN 是 arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-machine-api-aws-cloud-credentials。

   3

   指定特定于集群的 OIDC 供应商的端点 URL。

   重要

   在删除集群后，您需要使用 ROSA CLI (rosa)删除特定于集群的 STS 资源。

2. 删除集群：

   • 使用 Red Hat OpenShift Cluster Manager 删除集群：

     1. 导航到 OpenShift Cluster Manager Hybrid Cloud Console。
     2. 点击集群 旁边的 Options 菜单并选择 Delete cluster。
     3. 在提示符处键入集群名称并点 Delete。

   • 使用 ROSA CLI (rosa)删除集群：

     1. 输入以下命令删除集群并观察日志，将 < cluster_name& gt; 替换为集群的名称或 ID：

        $ rosa delete cluster --cluster=<cluster_name> --watch

        重要

        在删除 Operator 角色和 OIDC 供应商前，您必须等待集群删除完成。需要特定于集群的 Operator 角色来清理 OpenShift Operator 创建的资源。Operator 使用 OIDC 供应商进行身份验证。

3. 删除集群 Operator 用于身份验证的 OIDC 供应商：

   $ rosa delete oidc-provider -c <cluster_id> --mode auto 1

   1

   将 <cluster_id > 替换为集群的 ID。

   注意

   您可以使用 -y 选项，在提示符处自动回答 yes。

4. 可选。删除特定于集群的 Operator IAM 角色：

   重要

   帐户范围的 IAM 角色可以被同一 AWS 帐户中的其他 ROSA 集群使用。只有角色在其他集群不需要时才删除。

   $ rosa delete operator-roles -c <cluster_id> --mode auto 1

   1

   将 <cluster_id > 替换为集群的 ID。