先决条件

在安装专用工作程序之前，请确保您有 IBM Cloud® 帐户可创建认证密钥。 您需要在管理员的台式计算机上安装的最新 kubectl 版本。 此外，您还必须拥有 Kubernetes 集群 （版本 1.15 或更高）和管理权限，才能安装私有 Worker。

• 建议的 Kubernetes 集群配置：

  • IBM Cloud Kubernetes Service 1.21 或更高版本，以便在 Public 上隔离运行工作负载。IBM Cloud
  • Red Hat® OpenShift® on IBM Cloud® V 4.9 或更高版本。

• 网络访问权：

  • 入站: 不需要。
  • 出站网络访问使用 "(TCP:443)，其中区域与交付管道位置相匹配，为悉尼（au-syd）、法兰克福（eu-de）、伦敦（eu-gb）、东京（jp-tok）、大阪（jp-osa）、达拉斯（us-south）、华盛顿（us-east）、圣保罗（br-sao）或多伦多（ca-tor）。 例如，对于法兰克福区域，请指定 https://private-worker-service.eu-de.devops.cloud.ibm.com (TCP:443)。 要获取对全局端点的网络访问权以进行 API 密钥验证，请使用 https://iam.cloud.ibm.com (TCP:443)。

• 用于从 icr.io中拉取映像的许可权。 私人工作者需要 tekton-pipelines 基础设施，并且必须能够从 icr.io 提取 tekton-releases 映像，以完成私人工作者的安装。

  要从 "icr.io 容器注册表中提取映像，可能需要 定义特定的Kubernetes ClusterImagePolicy。

由于专用工作程序与 Red Hat OpenShift 管道不兼容，因此建议不要在具有 Red Hat OpenShift 管道的集群上安装这些工作程序。

安装 Delivery Pipeline Private Worker

要安装专用工作程序，您必须具有对集群的管理员级别访问权。 由于没有可用的图形用户界面，因此只能通过命令行来完成专用工作程序安装。

kubectl apply --filename "https://private-worker-service.{REGION}.devops.cloud.ibm.com/install"

kubectl apply --filename "https://private-worker-service.{REGION}.devops.cloud.ibm.com/install?private=true"

注册 Delivery Pipeline Private Worker

$ ibmcloud iam service-id-create {worker-pool-name} -d "{worker-pool-description}"

Creating service ID {worker-pool-name} bound to current account as username@domain.com...OK
Service ID {worker-pool-name} is created successfully

Name           {worker-pool-name}
Description    {worker-pool-description}
CRN            crn:v1:bluemix:public:iam-identity::a/8d63fb1cc5e99e86dd7229dddff75fef::serviceid:ServiceId-38ffff31-3ea3-4ecc-9732-190f7a993097
Bound To       crn:v1:bluemix:public:::a/8d63fb1cc5e99e86dd7229dddff75fef:::
Version        1-6df15bde97b6e87f583a557f8731888f
Locked         false
UUID         ServiceId-38ffff31-3ea3-4ecc-9732-190f7a993097

$ ibmcloud iam service-api-key-create {worker-api-key-name} (SERVICE\_ID\_NAME|SERVICE\_ID\_UUID) \[-d, --description DESCRIPTION\] \[--file OUT_FILE\]

Creating API key  {worker-api-key-name} of service
SERVICE\_ID\_NAME as username@domain.com...
OK
Service API key {worker-api-key-name} is created
Successfully saved API key information to FILE
Please preserve the API key! It cannot be retrieved after it's created.

Name           {worker-api-key-name}
Description    Description
Bound To       crn:v1:bluemix:public:iam-identity::a/2cac145ae78048679b129009cfe8c7f9::serviceid:ServiceId-9a6a14e5-5811-4c2c-9131-0e1d4bb7dfe1
Created At     2019-07-04T10:51+0000
API Key        doJX9kORc4q5PRkH19H3lePDwYRAKNWk4XlIuEBrriOD
Locked         false
UUID           ApiKey-c1ee0fb5-90f2-476e-a260-a796e6d7f5f7

配置 Delivery Pipeline Private Worker 以使用专用端点

缺省情况下，专用工作程序使用公共端点进行通信。 集群管理员可以更新专用工作程序配置以使用专用端点，以便专用工作程序与 IBM Cloud® Continuous Delivery 服务之间的通信不使用公用因特网。

1. 获取群集上安装的代理名称：

   kubectl get workeragents -n default
   

2. 更改该代理程序的 apiUrl :

   kubectl patch workeragent {WORKER_NAME} --type='merge' -p '{"spec": {"apiUrl":"https://private-worker-service.private.{REGION}.devops.cloud.ibm.com"}}'
   

   其中，{REGION} 是工具链管道的位置。 专用终端可在以下地区使用：

   • 达拉斯 us-south
   • 华盛顿州 us-east
   • 法兰克福 eu-de
   • 伦敦 eu-gb

   您必须具有 VRF 已启用 IBM Cloud 帐户才能使用此功能。

3. 可选。 要返回到使用代理程序的公共端点，请输入以下命令:

   kubectl patch workeragent {WORKER_NAME} -n default --type='merge' -p '{"spec": {"apiUrl":"https://private-worker-service.{REGION}.devops.cloud.ibm.com"}}'
   

配置 Delivery Pipeline 专用工作程序以使用 Satellite 链路端点

缺省情况下，专用工作程序使用公共端点进行通信。 集群管理员可以更新专用工作程序配置以使用 Satellite 链接端点，以便专用工作程序与 Continuous Delivery 服务之间的通信通过 Satellite 链接端点。

1. 为 IBM Cloud® Continuous Delivery 服务创建云 Satellite 链接端点，并设置 FQDN 和 Service indication name 以使用以下值:

   private-worker-service.{REGION}.devops.cloud.ibm.com
   

   其中，{REGION} 是工具链管道的位置。

2. 在专用工作程序名称空间中创建用于将公共端点映射到 Satellite 链接端点的 configmap:

   apiVersion: v1
   kind: ConfigMap
   metadata:
      name: pipelineworker-url-map
   data:
      iam.cloud.ibm.com: <default IAM satellite link endpoint for your satellite location>
      private-worker-service.{REGION}.devops.cloud.ibm.com: <satellite link endpoint created in step 1)>
   

   您可以将端点添加到 configmap，例如这些 缺省 Satellite 链接端点。

更新 Delivery Pipeline Private Worker 安装

如果专用工作程序报告为不活动，那么必须更新安装。

要查看专用工作程序的版本，请输入以下命令之一:

• IBM Cloud Kubernetes Service: kubectl -n tekton-pipelines describe deploy private-worker-agent | grep Image
• Red Hat® OpenShift® on IBM Cloud®: kubectl -n openshift-operators describe deploy private-worker-agent-controller-manager | grep Image

要更新专用工作程序安装，请完成以下步骤：

1. 再次运行安装命令。
2. 再次在 Kubernetes 集群上注册专用工作程序。

您可以复用用于现有专用工作程序的 apikey。

有关 Delivery Pipeline 专用工作程序的更多信息，请参阅 Delivery Pipeline 专用工作程序的故障诊断 和 管道专用工作程序的常见问题解答。