OpenShift Container Platform 4.2 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 OpenShift Container Platform 4.2 架 架构 构 4 使用 OpenShift Container Platform 4.2 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 几个值，就能在支持的云中部署生产集群。如果使用支持的平台，您还可以自定义云安装或在数据中心中 清单正确后，可以由 Telemetry 自动维护，也可以使用 OCM 手动维护，使用订阅监控 来跟踪帐户或多集群级别的 OpenShift Container Platform 订阅。 您必须具有以下互联网访问权限： 访问 Red Hat OpenShift Cluster Manager 页面，以下载安装程序并执行订阅管理。如果集群可 以访问互联网，并且没有禁用 Telemetry，该服务会自动授权您的集群。 经过专门调优的功 能，以便于这些容器最终部署到 OpenShift Container Platform 或其他 Kubernetes 环境中。这些工具不 是作为守护进程运行的，可在没有 root 权限的情况下运行，因此运行它们的开销比较小。 最终在 OpenShift Container Platform 中运行容器时，您要使用 CRI-O 容器引擎。CRI-O 在 OpenShift Container

用于所有集群机器相比，您必须执行更多的系统维护。 2.1.3.2. 简 简化的安装和更新流程 化的安装和更新流程 使用 OpenShift Container Platform 4.10 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 几个值，就能在支持的云中部署生产集群。如果使用支持的平台，您还可以自定义云安装或在数据中心中 安装集群。 对于将 RHCOS 用于所有机器的集群，不论是更新还是升级，OpenShift OpenShift Container Platform 互联网访问 在 OpenShift Container Platform 4.10 中，您需要访问互联网来安装集群。 您必须具有以下互联网访问权限： 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， 并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay 多区。 Version 是集群中安装的 OpenShift 版本。如果有可用的更新，您可以从此字段更新。 Created at 显示集群创建的日期和时间。 Owner 标识创建集群并具有所有者权限。 Subscription type 显示创建时选择的订阅模式。 Infrastructure type 是集群使用的帐户类型。 Status 显示集群的当前状态。 Total vCPU 显示此集群可用虚拟

OpenShift Container Platform 4.3 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 OpenShift Container Platform 4.3 架 架构 构 4 使用 OpenShift Container Platform 4.3 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 几个值，就能在支持的云中部署生产集群。如果使用支持的平台，您还可以自定义云安装或在数据中心中 清单正确后，可以由 Telemetry 自动维护，也可以使用 OCM 手动维护，使用订阅监控 来跟踪帐户或多集群级别的 OpenShift Container Platform 订阅。 您必须具有以下互联网访问权限： 访问 Red Hat OpenShift Cluster Manager 页面，以下载安装程序并执行订阅管理。如果集群可 以访问互联网，并且没有禁用 Telemetry，该服务会自动授权您的集群。 经过专门调优的功 能，以便于这些容器最终部署到 OpenShift Container Platform 或其他 Kubernetes 环境中。这些工具不 是作为守护进程运行的，可在没有 root 权限的情况下运行，因此运行它们的开销比较小。 最终在 OpenShift Container Platform 中运行容器时，您要使用 CRI-O 容器引擎。CRI-O 在 OpenShift Container

用于所有集群机器相比，您必须执行更多的系统维护。 2.1.3.2. 简化的安装和更新流程 化的安装和更新流程 使用 OpenShift Container Platform 4.7 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 几个值，就能在支持的云中部署生产集群。如果使用支持的平台，您还可以自定义云安装或在数据中心中 安装集群。 第 第 2 章 章 OPENSHIFT CONTAINER OpenShift Container Platform 的互联网访问 在 OpenShift Container Platform 4.7 中，您需要访问互联网来安装集群。 您必须具有以下互联网访问权限： OpenShift Container Platform 4.7 架 架构 构 8 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， systemd 服务直接在主机上运行，因为它们必须先运行，然后您才能运行其 他容器。 installer-* 和 revision-pruner-* control plane pod 必须使用 root 权限运行，因为它们需要写入属于 root 用户的 /etc/kubernetes 目录。这些 pod 位于以下命名空间中： openshift-etcd openshift-kube-apiserver

镜像，可以自定义构建流程。 自定义构建器镜像是嵌入了构建过程逻辑的普通容器镜像，例如用于构建 RPM 或基本镜像的逻辑。 自定义构建以级别很高的特权运行，默认情况下不可供用户使用。只有可赋予集群管理权限的用户才应被 授予运行自定义构建的权限。 2.1.1.4. Pipeline 构 构建 建 重要 重要 Pipeline 构建策略在 OpenShift Container Platform 4 中弃用。基于 Tekton Container Platform 4.13 CI/CD 10 构建器 pod 需要访问定义为构建源的任何 Git 存储库。源克隆 secret 为构建器 pod 提供了通常无权访问 的资源的访问权限，例如私有存储库或具有自签名或不可信 SSL 证书的存储库。 支持以下源克隆 secret 配置： .gitconfig 文件 基本身份验证 SSH 密钥身份验证 可信证书颁发机构 注意 destinationDir 路径中的最终目录，则会创建该目录。destinationDir 中的所有 上述目录都必须存在，否则会发生错误。 注意 注意 输入 secret 将以全局可写（具有 0666 权限）形式添加，并且在执行 assemble 脚本后其 大小会被截断为零。也就是说，生成的镜像中会包括这些 secret 文件，但出于安全原因， 它们将为空。 assemble 脚本完成后不会截断输入配置映射。

身份提供程序 7.8. 配置 GOOGLE 身份提供程序 7.9. 配置 OPENID CONNECT 身份提供程序 第 第 8 章 章 使用 使用 RBAC 定 定义 义和 和应 应用 用权 权限 限 8.1. RBAC 概述 8.2. 项目和命名空间 8.3. 默认项目 5 5 6 7 8 8 8 9 11 11 11 11 12 13 14 16 17 19 19 19 Container Platform 集群的访问，并确保只有经过身份验证的用户可以 访问 OpenShift Container Platform 集群。 授 授权 权 授权决定识别的用户是否有权限来执行所请求的操作。 bearer 令牌 令牌 bearer 令牌用于通过标头 Authorization: Bearer 向 API 进行身份验证。 Cloud Credential 据中 心、公有云或私有云或本地主机中运行容器。 自定 自定义资 义资源 源 (CR) CR 是 Kubernetes API 的扩展。 group 组是一组用户。组可用于一次性向多个用户授予权限。 HTPasswd htpasswd 更新存储 HTTP 用户验证的用户名和密码的文件。 Keystone Keystone 是一个 Red Hat OpenStack Platform

Container Platform 的互联网访问 1.1.3. VMware vSphere 基础架构要求 1.1.4. 网络连接要求 1.1.5. vCenter 要求 所需的 vCenter 帐户权限 将 OpenShift Container Platform 与 vMotion 搭配使用 集群资源 集群的限制 网络要求 所需的 IP 地址 DNS 记录 1.1.6. 生成 SSH 私钥并将其添加到代理中 Container Platform 的互联网访问 1.2.3. VMware vSphere 基础架构要求 1.2.4. 网络连接要求 1.2.5. vCenter 要求 所需的 vCenter 帐户权限 将 OpenShift Container Platform 与 vMotion 搭配使用 集群资源 集群的限制 网络要求 所需的 IP 地址 DNS 记录 1.2.6. 生成 SSH 私钥并将其添加到代理中 Container Platform 的互联网访问 1.3.3. VMware vSphere 基础架构要求 1.3.4. 网络连接要求 1.3.5. vCenter 要求 所需的 vCenter 帐户权限 将 OpenShift Container Platform 与 vMotion 搭配使用 集群资源 集群的限制 网络要求 所需的 IP 地址 DNS 记录 1.3.6. 生成 SSH

BundleDeployment 警告 警告 BundleDeployment 对象通过安装和删除对象来更改 Kubernetes 集群的状态。务必 要验证并信任正在安装和限制访问权限的内容，方法是使用 RBAC 到 BundleDeployment API 到需要这些权限的用户。 RukPak BundleDeployment API 指向 Bundle 对象，并表明它应当处于活动状态。这包括从活跃捆绑包 的旧版本获取。BundleDeployment 而需创建的资源的计算列表。 2.3.1.10. 多租 多租户 OpenShift Container Platform 中的 租户 是为一组部署的工作负载（通常由命名空间或项目表示）共享共 同访问权限和特权的用户或组。您可以使用租户在不同的组或团队之间提供一定程度的隔离。 当集群由多个用户或组共享时，它被视为 多租户 集群。 2.3.1.11. operator 组 Operator 组将部署在同一命名空间中的所有 的值。如果没有设置该字段，则默认值为 legacy。在以后的 OpenShift Container Platform 发行版本中，计划默认值为 restricted。如果您的目录无法使用 restricted 权限运行，建议您手动将此字段设置为 legacy。 可选： 对于 grpc 类型目录源，请覆盖在 spec.image 中提供内容的 pod 的默认节点选择器（如 果定义）。 可选： 对于 grpc

配置路由 53（Route 53） 4.2.1.1. AWS Route 53 的 Ingress Operator 端点配置 4.2.2. AWS 帐户限值 4.2.3. IAM 用户所需的 AWS 权限 50 50 51 52 52 52 54 54 56 56 56 56 57 57 57 58 58 60 60 60 61 61 61 62 62 62 65 65 66 67 73 73 74 75 75 75 75 75 75 76 76 76 77 78 目 目录 录 1 4.2.4. 创建 IAM 用户 4.2.5. IAM 角色所需的 AWS 权限 4.2.6. 支持的 AWS 区域 4.2.7. 后续步骤 4.3. 为 AWS 手动创建 IAM 4.3.1. 在 kube-system 项目中存储管理员级别的 secret 的替代方案 7.2. 关于在受限网络中安装 4.7.2.1. 其他限制 4.7.3. 关于使用自定义 VPC 4.7.3.1. 使用 VPC 的要求 4.7.3.2. VPC 验证 4.7.3.3. 权限划分 4.7.3.4. 集群间隔离 4.7.4. OpenShift Container Platform 的互联网访问 4.7.5. 生成 SSH 私钥并将其添加到代理中 4.7.6. 创建安装配置文件

MTU 和 VXLAN 配置集成。如果在这些云上已有帐户和凭证，您可以重复使用这 些帐户，但可能需要修改帐户，以便具有在它们上安装 OpenShift Container Platform 集群所需的权限。 您可以使用安装程序置备的基础架构方法为 RHOSP, RHOSP with Kuryr, vSphere, 和裸机在硬件上创建适 当的机器实例。另外，对于 vSphere，您还可以在安装过程中自定义额外网络参数。 Red Hat Quay 版本及其所需的组件。mirror registry for Red Hat OpenShift 会自动部署，带有预配置 的本地存储和本地数据库。它还包括自动生成的用户凭证和访问权限，其中只有一个输入集，且不需要额 外配置选项。 mirror registry for Red Hat OpenShift 提供了一个预先确定的网络配置，并在成功时报告部署的组件凭证 并访问 U 允许用户禁用颜色序列，在运行安装、卸载和升级命令时将其传播到 Ansible。 --pgStorage 保存 Postgres 持久性存储数据的文件夹。默认为 pg-storage Podman 卷。卸载 需要 root 权限。 --quayHostname 客户端用来联系 registry 的镜像 registry 的完全限定域名。等同于 Quay config.yaml 中的 SERVER_HOSTNAME。必须可以被