View a markdown version of this page

创建使用的 ROSA 经典集群 AWS PrivateLink - AWS 云端 Red Hat OpenShift 服务
先决条件创建 Amazon VPC 架构使用 ROSA CLI 创建 ROSA 经典集群和 AWS PrivateLink配置 AWS PrivateLink DNS 转发配置身份提供商并授予 集群 访问权限向用户授予访问权限 集群配置 cluster-admin 权限配置 dedicated-admin 权限集群 通过红帽混合云控制台访问从开发者目录中部署应用程序撤销用户的 cluster-admin 权限撤销用户的 dedicated-admin 权限撤消用户对 a 的访问权限 集群删除集群和 AWS STS 资源

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

创建使用的 ROSA 经典集群 AWS PrivateLink

ROSA 经典集群可以通过几种不同的方式部署：公共集群、私有集群或私有集群 AWS PrivateLink。有关 ROSA 经典版的更多信息，请参阅ROSA 建筑。对于公共配置和私 OpenShift 集群 有 集群 配置，都可以访问互联网，并且在应用程序层对应用程序工作负载设置了隐私。

如果您要求 集群 和应用程序工作负载均为私有工作负载，则可以使用 ROSA classic AWS PrivateLink 进行配置。 AWS PrivateLink 是一种高度可用、可扩展的 ROSA 技术，用于在 ROSA 服务与 AWS 客户账户中的群集资源之间创建私有连接。借助 AWS PrivateLink，红帽站点可靠性工程 (SRE) 团队可以使用连接到集群 AWS PrivateLink 终端节点的私有子网访问集群以获得支持和补救。

有关的更多信息 AWS PrivateLink，请参阅什么是 AWS PrivateLink？

完成中列出的先决条件操作设置为使用 ROSA。

以下过程创建了可用于托管集群的 Amazon VPC 架构。所有 集群 资源都托管在私有子网中。公有子网将来自私有子网的出站流量通过 NAT 网关路由到公有互联网。此示例使用 Amazon VPC的 CIDR 块 10.0.0.0/16。但您可以选择其他 CIDR 块。有关更多信息，请参阅 VPC 大小调整。

重要

如果不 Amazon VPC 满足要求，集群创建将失败。

例
Amazon VPC console

  1. 打开 Amazon VPC 控制台。

  2. 在 VPC 控制面板上，选择创建 VPC。

  3. 对于要创建的资源，选择 VPC 等。

  4. 保持选中自动生成名称标签以为 VPC 资源创建名称标签，或者清除此选项以为 VPC 资源提供您自己的名称标签。

  5. 在 IPv4 CIDR 块中，输入 VPC IPv4 的地址范围。VPC 必须有 IPv4 地址范围。

  6. （可选）要支持 IPv6 流量，请选择 IPv6 CIDR 块，即亚马逊提供 IPv6 的 CIDR 块。

  7. 将租赁保留为. Default

  8. 在可用区数量 (AZs) 中，选择所需的数量。对于多可用区部署， ROSA 需要三个可用区。要 AZs 为您的子网选择，请展开自定义 AZs。

    注意

    某些 ROSA 实例类型仅在部分可用区域中可用。您可以使用 ROSA CLI rosa list instance-types 命令列出所有可用的 ROSA 实例类型。要检查某个实例类型是否适用于给定可用区，请使用 AWS CLI 命令aws ec2 describe-instance-type-offerings --location-type availability-zone --filters Name=location,Values=<availability_zone> --region <region> --output text | egrep "<instance_type>"。

  9. 要配置子网，请选择公有子网的数量和私有子网的数量的值。要选择子网的 IP 地址范围，请展开自定义子网 CIDR 块。

    注意

    ROSA 要求客户为每个可用区配置至少一个用于创建集群的私有子网。

  10. 要授予私有子网中的资源访问公有互联网的权限 IPv4，对于 NAT 网关，请选择要 AZs 在其中创建 NAT 网关的数量。在生产环境中，我们建议您在每个可用区部署一个 NAT 网关，其中包含需要访问公共互联网的资源。

  11. （可选）如果您需要 Amazon S3 直接从 VPC 进行访问，请选择 VP C 终端节点，即 S3 网关。

  12. 保留默认 DNS 选项处于选中状态。 ROSA 需要 VPC 上支持 DNS 主机名。

  13. 选择创建 VPC。

AWS CLI

  1. 创建具有 10.0.0.0/16 CIDR 块的 VPC。

     aws ec2 create-vpc \
     --cidr-block 10.0.0.0/16 \
     --query Vpc.VpcId \
     --output text

    前面的命令返回 VPC ID。下面是一个示例输出。

    vpc-1234567890abcdef0

  2. 将 VPC ID 存储在环境变量中。

    export VPC_ID=vpc-1234567890abcdef0

  3. 使用VPC_ID环境变量为 VPC 创建Name标签。

    aws ec2 create-tags --resources $VPC_ID --tags Key=Name,Value=MyVPC

  4. 在 VPC 上启用 DNS 主机名支持。

    aws ec2 modify-vpc-attribute \
    --vpc-id $VPC_ID \
    --enable-dns-hostnames

  5. 在 VPC 中创建公有和私有子网，指定应在其中创建资源的可用区。

    重要

    ROSA 要求客户为每个可用区配置至少一个用于创建集群的私有子网。对于多可用区部署，需要三个可用区。如果未满足这些要求，则集群创建失败。

    注意

    某些 ROSA 实例类型仅在部分可用区域中可用。您可以使用 ROSA CLI rosa list instance-types 命令列出所有可用的 ROSA 实例类型。要检查某个实例类型是否适用于给定可用区，请使用 AWS CLI 命令aws ec2 describe-instance-type-offerings --location-type availability-zone --filters Name=location,Values=<availability_zone> --region <region> --output text | egrep "<instance_type>"。

    aws ec2 create-subnet \
    --vpc-id $VPC_ID \
    --cidr-block 10.0.1.0/24 \
    --availability-zone us-east-1a \
    --query Subnet.SubnetId \
    --output text
aws ec2 create-subnet \
    --vpc-id $VPC_ID \
    --cidr-block 10.0.0.0/24 \
    --availability-zone us-east-1a \
    --query Subnet.SubnetId \
    --output text

  6. 将公有子网和私有子网存储 IDs 在环境变量中。

    export PUBLIC_SUB=subnet-1234567890abcdef0
export PRIVATE_SUB=subnet-0987654321fedcba0

  7. 为出站流量创建互联网网关和路由表。为私有流量创建路由表和弹性 IP 地址。

    aws ec2 create-internet-gateway \
    --query InternetGateway.InternetGatewayId \
    --output text
aws ec2 create-route-table \
    --vpc-id $VPC_ID \
    --query RouteTable.RouteTableId \
    --output text
aws ec2 allocate-address \
    --domain vpc \
    --query AllocationId \
    --output text
aws ec2 create-route-table \
    --vpc-id $VPC_ID \
    --query RouteTable.RouteTableId \
    --output text

  8. 将环境变量存储 IDs 在环境中。

    export IGW=igw-1234567890abcdef0
export PUBLIC_RT=rtb-0987654321fedcba0
export EIP=eipalloc-0be6ecac95EXAMPLE
export PRIVATE_RT=rtb-1234567890abcdef0

  9. 将互联网网关连接到 VPC。

    aws ec2 attach-internet-gateway \
    --vpc-id $VPC_ID \
    --internet-gateway-id $IGW

  10. 将公有路由表关联到公有子网，并将流量配置为路由到 Internet 网关。

    aws ec2 associate-route-table \
    --subnet-id $PUBLIC_SUB \
    --route-table-id $PUBLIC_RT
aws ec2 create-route \
    --route-table-id $PUBLIC_RT \
    --destination-cidr-block 0.0.0.0/0 \
    --gateway-id $IGW

  11. 创建 NAT 网关并将其与弹性 IP 地址关联以启用流向私有子网的流量。

    aws ec2 create-nat-gateway \
    --subnet-id $PUBLIC_SUB \
    --allocation-id $EIP \
    --query NatGateway.NatGatewayId \
    --output text

  12. 将私有路由表关联到私有子网，并将流量配置为路由到 NAT 网关。

    aws ec2 associate-route-table \
    --subnet-id $PRIVATE_SUB \
    --route-table-id $PRIVATE_RT
aws ec2 create-route \
    --route-table-id $PRIVATE_RT \
    --destination-cidr-block 0.0.0.0/0 \
    --gateway-id $NATGW

  13. （可选）对于多可用区部署，请重复上述步骤，再配置两个包含公有子网和私有子网的可用区。

您可以使用 ROSA CLI 和 AWS PrivateLink 创建 集群 具有单个可用区（单可用区）或多个可用区（多可用区）的。无论哪种情况，您的计算机的 CIDR 值都必须匹配 VPC 的 CIDR 值。

以下过程使用rosa create cluster命令创建 ROSA 经典版 集群。要创建多可用区 集群，请在命令--multi-az中指定，然后在出现提示时选择要 IDs 使用的私有子网。

注意

如果您使用防火墙，则必须对其进行配置，使其 ROSA 能够访问其运行所需的站点。

有关更多信息，请参阅 Red Hat 文档中的AWS PrivateLink 集群使用要求。

  1. 使用--mode auto或创建所需的 IAM 账户角色和策略--mode manual。

    • rosa create account-roles --classic --mode auto

    • rosa create account-roles --classic --mode manual
      注意

      如果您的离线访问令牌已过期， ROSA CLI 会输出一条错误消息，指出您的授权令牌需要更新。有关故障排除的步骤，请参阅ROSA CLI 过期的离线访问令牌疑难解答。

  2. 集群 通过运行以下命令之一来创建。

    • 单可用区

      rosa create cluster --private-link --cluster-name=<CLUSTER_NAME> --machine-cidr=10.0.0.0/16 --subnet-ids=<PRIVATE_SUBNET_ID>

    • 多可用区

      rosa create cluster --private-link --multi-az --cluster-name=<CLUSTER_NAME> --machine-cidr=10.0.0.0/16
      注意

      要创建使用 AWS PrivateLink with AWS Security Token Service (AWS STS) 短期凭证的集群，请在命令末尾追加--sts --mode auto或--sts --mode manual。rosa create cluster

  3. 按照交互式提示创建 集群 操作员 IAM 角色。

    rosa create operator-roles --interactive -c <CLUSTER_NAME>

  4. 创建 集群 操作员用来进行身份验证的 OpenID Connect (OIDC) 提供程序。

    rosa create oidc-provider --interactive -c <CLUSTER_NAME>

  5. 检查您的状态 集群。

    rosa describe cluster -c <CLUSTER_NAME>
    注意

    该 集群 State字段最多可能需要 40 分钟才能显示ready状态。如果配置失败或ready在 40 分钟后未显示为，请参阅问题排查。要联系我们 Support 的 Red Hat 支持部门寻求帮助，请参阅获得 ROSA 支持。

  6. 通过查看 OpenShift 安装程序日志来跟踪 集群 创建进度。

    rosa logs install -c <CLUSTER_NAME> --watch

使用的集群在中 AWS PrivateLink 创建公共托管区域和私有托管区域 Route 53。 Route 53 私有托管区域内的记录只能从其分配到的 VPC 内部进行解析。

Let’s Encrypt DNS-01 验证需要一个公有区域，以便能为该域颁发有效且公开信任的证书。在 Let's Encrypt 验证完成后，将删除验证记录。颁发和续订这些证书仍然需要使用该区域，通常每 60 天需要使用一次。尽管这些区域通常显示为空，但公有区域在验证过程中起着至关重要的作用。

有关 AWS 私有托管区域的更多信息，请参阅使用私有区域。有关公有托管区域更多信息，请参阅使用公有托管区域。

  1. 要允许在 VPC 外部解析等记录api.<cluster_domain>和*.apps.<cluster_domain>解析，请配置 Route 53 Resolver 入站终端节点。

    注意

    配置入站终端节点时，需要至少指定两个 IP 地址以实现冗余。我们建议您在至少两个可用区中指定 IP 地址。您可以选择在这些可用区或其他可用区中指定其他 IP 地址。

  2. 配置入站终端节点时，请选择创建集群时使用的 VPC 和私有子网。

关联 Route 53 Resolver 内部终端节点并运行后，配置 DNS 转发，以便网络上的指定服务器可以处理 DNS 查询。

  1. 将您的公司网络配置为将 DNS 查询转发到顶级域的 IP 地址，例如 drow-pl-01.htno.p1.openshiftapps.com。

  2. 如果要将 DNS 查询从一个 VPC 转发到另一个 VPC，请按照管理转发规则中的说明进行操作。

  3. 如果您要配置远程网络 DNS 服务器，请参阅特定的 DNS 服务器文档，为已安装的集群域配置选择性 DNS 转发。

ROSA 包括内置 OAuth 服务器。创建 ROSA 集群 完成后，必须配置 OAuth 为使用身份提供商。然后，您可以将用户添加到您配置的身份提供商，以授予其访问 集群的权限。您可以根据需要授予这些用户 cluster-admin 或 dedicated-admin 权限。

您可以为自己的 集群配置不同的身份提供商类型。支持的类型包括 En GitHub terprise GitHub、Google GitLab、LDAP、OpenID Connect 和 HTPasswd 身份提供商。

重要

包含 HTPasswd 身份提供者只是为了允许创建单个静态管理员用户。 HTPasswd 不支持作为通用身份提供商。 ROSA

以下过程以配置 GitHub 身份提供者为例。有关如何配置每种支持的身份提供商类型的说明，请参阅为 AWS STS配置身份提供商。

  1. 导航到 github.com 并登录到你的 GitHub 账户。

  2. 如果您没有 GitHub 组织可以用于您的身份配置 ROSA 集群，请创建一个组织。有关更多信息，请参阅 GitHub 文档中的步骤。

  3. 使用 ROSA CLI 的交互模式，通过运行以下命令为您的集群配置身份提供商。

    rosa create idp --cluster=<CLUSTER_NAME> --interactive

  4. 按照输出中的配置提示限制 GitHub 组织成员的 集群 访问权限。

    I: Interactive mode enabled.
Any optional fields can be left empty and a default will be selected.
? Type of identity provider: github
? Identity provider name: github-1
? Restrict to members of: organizations
? GitHub organizations: <GITHUB_ORG_NAME>
? To use GitHub as an identity provider, you must first register the application:
  - Open the following URL:
    https://github.com/organizations/<GITHUB_ORG_NAME>/settings/applications/new?oauth_application%5Bcallback_url%5D=https%3A%2F%2Foauth-openshift.apps.<CLUSTER_NAME>/<RANDOM_STRING>.p1.openshiftapps.com%2Foauth2callback%2Fgithub-1&oauth_application%5Bname%5D=<CLUSTER_NAME>&oauth_application%5Burl%5D=https%3A%2F%2Fconsole-openshift-console.apps.<CLUSTER_NAME>/<RANDOM_STRING>.p1.openshiftapps.com
  - Click on 'Register application'
...

  5. 在输出中打开 URL，<GITHUB_ORG_NAME>替换为您的 GitHub 组织名称。

  6. 在 GitHub 网页上，选择注册应用程序以在您的 GitHub 组织中注册新 OAuth 应用程序。

  7. 使用 GitHub OAuth 页面中的信息填充剩余的rosa create idp交互式提示，用 GitHub OAuth 应用程序中的<GITHUB_CLIENT_SECRET>凭据替换<GITHUB_CLIENT_ID>和。

    ...
? Client ID: <GITHUB_CLIENT_ID>
? Client Secret: [? for help] <GITHUB_CLIENT_SECRET>
? GitHub Enterprise Hostname (optional):
? Mapping method: claim
I: Configuring IDP for cluster '<CLUSTER_NAME>'
I: Identity Provider 'github-1' has been created.
   It will take up to 1 minute for this configuration to be enabled.
   To add cluster administrators, see 'rosa grant user --help'.
   To login into the console, open https://console-openshift-console.apps.<CLUSTER_NAME>.<RANDOM_STRING>.p1.openshiftapps.com and click on github-1.
    注意

    身份提供商配置可能需要大约两分钟才能生效。如果您配置了cluster-admin用户，则可以运行oc get pods -n openshift-authentication --watch命令来观察使用更新的配置重新部署 p OAuth od。

  8. 确认身份提供商已正确配置。

    rosa list idps --cluster=<CLUSTER_NAME>

您可以通过将用户添加到已配置的身份提供商 集群 来授予他们对您的访问权限。

以下过程将用户添加到已配置为向集群配置身份的 GitHub 组织。

  1. 导航到 github.com 并登录到你的 GitHub 账户。

  2. 邀请需要 集群 访问您的 GitHub 组织的用户。有关更多信息，请参阅 GitHub 文档中的邀请用户加入您的组织。

  1. 使用以下命令授予 cluster-admin 权限。将 <IDP_USER_NAME> 和 <CLUSTER_NAME> 替换为您的用户名和集群名。

    rosa grant user cluster-admin --user=<IDP_USER_NAME> --cluster=<CLUSTER_NAME>

  2. 确认该用户是否已列为 cluster-admins 组的成员。

    rosa list users --cluster=<CLUSTER_NAME>

  1. 使用以下命令授予 dedicated-admin 权限。<CLUSTER_NAME>用您的用户名<IDP_USER_NAME>和 集群 名称替换和。

    rosa grant user dedicated-admin --user=<IDP_USER_NAME> --cluster=<CLUSTER_NAME>

  2. 确认该用户是否已列为 cluster-admins 组的成员。

    rosa list users --cluster=<CLUSTER_NAME>

在您创建 集群 管理员用户或向配置的身份提供商添加用户后，您可以 集群 通过红帽混合云控制台登录您的。

  1. 集群 使用以下命令获取您的控制台 URL。<CLUSTER_NAME>用你的名字替换 集群。

    rosa describe cluster -c <CLUSTER_NAME> | grep Console

  2. 导航到输出中的控制台 URL 并登录。

    • 如果您创建了 cluster-admin 用户，请使用提供的凭证登录。

    • 如果您为配置了身份提供商 集群，请在 “登录方式...” 对话框中选择身份提供商名称，然后完成您的提供商提出的任何授权请求。

在 Red Hat Hybrid Cloud Console 中，您可以部署开发人员目录测试应用程序，并通过路由将其公开。

  1. 导航到 Red Hat Hybrid Cloud Console，然后选择要将应用程序部署到的集群。

  2. 在集群的页面上，选择 Open console。

  3. 在 Administrator 视角中，选择 Home > Projects > Create Project。

  4. 输入项目的名称，然后添加 Display Name 和 Description（可选）。

  5. 选择 Create 以创建项目。

  6. 切换到 Developer 视角并选择 +Add。确保所选的项目是刚刚创建的项目。

  7. 在 Developer Catalog 对话框中，选择 All services。

  8. 在 “开发者目录” 页面中，JavaScript从菜单中选择 “语言” >。

  9. 选择 Node.js，然后选择 “创建应用程序” 以打开 “创建 Source-to-Image应用程序” 页面。

    注意

    您可能需要选择 Clear All Filters 才能显示 Node.js 选项。

  10. 在 Git 部分中，选择 Try Sample。

  11. 在 Name 字段中，添加一个唯一的名称。

  12. 选择创建。

    注意

    部署新应用程序需要几分钟时间。

  13. 部署完成后，选择应用程序的路由 URL。

    浏览器中将打开一个新选项卡，并显示与以下内容类似的一则消息。

    Welcome to your Node.js application on OpenShift

  14. （可选）删除应用程序并清理资源。

    1. 在 Administrator 视角中，选择 Home > Projects。

    2. 打开项目的操作菜单，然后选择 Delete Project。

  1. 使用以下命令撤销 cluster-admin 权限。<CLUSTER_NAME>用您的用户名<IDP_USER_NAME>和 集群 名称替换和。

    rosa revoke user cluster-admin --user=<IDP_USER_NAME> --cluster=<CLUSTER_NAME>

  2. 确认该用户未列为 cluster-admins 组的成员。

    rosa list users --cluster=<CLUSTER_NAME>

  1. 使用以下命令撤销 dedicated-admin 权限。<CLUSTER_NAME>用您的用户名<IDP_USER_NAME>和 集群 名称替换和。

    rosa revoke user dedicated-admin --user=<IDP_USER_NAME> --cluster=<CLUSTER_NAME>

  2. 确认该用户未列为 dedicated-admins 组的成员。

    rosa list users --cluster=<CLUSTER_NAME>

您可以通过将身份提供商用户从已配置的身份提供商中移除来撤消其 集群 访问权限。

您可以为自己的 集群配置不同类型的身份提供商。以下过程将撤消 GitHub 组织成员的 集群 访问权限。

  1. 导航到 github.com 并登录到你的 GitHub 账户。

  2. 将该用户从您的 GitHub 组织中移除。有关更多信息，请参阅 GitHub 文档中的从组织中移除成员。

您可以使用 ROSA CLI 删除使用 AWS Security Token Service (AWS STS) 集群 的。您也可以使用 ROSA CLI 删除由创建的 IAM 角色和 OIDC 提供者。 ROSA要删除由创建的 IAM 策略 ROSA，您可以使用 IAM 控制台。

重要

IAM 由创建的角色和策略 ROSA 可能会被同一账户中的其他 ROSA 集群使用。

  1. 删除 集群 并查看日志。将 <CLUSTER_NAME> 替换为 集群的名称或 ID。

    rosa delete cluster --cluster=<CLUSTER_NAME> --watch
    重要

    必须等待完全删除， 集群 然后才能移除 IAM 角色、策略和 OIDC 提供商。删除安装程序创建的资源需要账户 IAM 角色。需要操作员 IAM 角色才能清理 OpenShift 操作员创建的资源。操作员使用 OIDC 提供商进行身份验证。

  2. 运行以下命令，删除 集群 操作员用来进行身份验证的 OIDC 提供商。

    rosa delete oidc-provider -c <CLUSTER_ID> --mode auto

  3. 删除特定于集群的操作员 IAM 角色。

    rosa delete operator-roles -c <CLUSTER_ID> --mode auto

  4. 使用以下命令删除账户的 IAM 角色。将 <PREFIX> 替换为要删除的账户 IAM 角色的前缀。如果您在创建账户 IAM 角色时指定了自定义前缀，请指定默认的 ManagedOpenShift 前缀。

    rosa delete account-roles --prefix <PREFIX> --mode auto

  5. 删除由创建的 IAM 策略 ROSA。

    1. 登录 IAM 控制台。

    2. 在左侧菜单的访问管理下，选择策略。

    3. 选择要删除的策略，然后选择操作 > 删除。

    4. 输入策略名称，然后选择删除。

    5. 重复此步骤以删除 集群的每个 IAM policy。