必要條件

在安裝專用工作者節點之前，請務必要有 IBM Cloud® 帳戶，以便建立鑑別金鑰。 您需要在管理者的桌上型電腦上安裝最新的 kubectl 版本。 此外，您還必須擁有一個具備管理員權限的 Kubernetes 叢集 （版本為 1.15 或更高），才能安裝私有工作節點。

• 建議的 Kubernetes 叢集配置：

  • IBM Cloud Kubernetes Service 需使用 1.21 或更高版本，方能在 IBM Cloud Public上以隔離模式執行工作負載。
  • Red Hat® OpenShift® on IBM Cloud® 4.9 版或更新版本。

• 網路存取權：

  • 入埠: 不需要。

  • 外向網路存取使用 (TCP:443)，其中區域與傳輸管道的位置相符，且為以下任一網址：au-syd （澳洲雪梨）、eu-de （德國法蘭克福）、eu-gb （英國倫敦）、jp-tok （日本東京）、us-south （美國達拉斯）、us-east （美國華盛頓特區）、br-sao （聖保羅）或 ca-tor （加拿大多倫多）。 例如，對於法蘭克福地區，請指定 https://private-worker-service.eu-de.devops.cloud.ibm.com (TCP:443)。 如需對廣域端點的網路存取權以進行 API 金鑰驗證，請使用 https://iam.cloud.ibm.com (TCP:443)。

• 從 icr.io取回映像檔的許可權。 私有工作節點需要 tekton-pipelines 基礎架構，並且必須能夠從 icr.io 拉取 tekton-releases 映像檔，才能完成私有工作節點的安裝。

  要從 icr.io 容器註冊表中提取映像，您可能需要 定義特定的 Kubernetes ClusterImagePolicy。

由於 private workers 與 Red Hat OpenShift Pipelines 不相容，因此建議您不要將其安裝在具有 Red Hat OpenShift pipelines 的群集上。

安裝 Delivery Pipeline 專用工作者節點

若要安裝專用工作者節點，您必須具有叢集的管理者層次存取權。 專用工作者節點安裝只能透過指令行完成，因為沒有可用的圖形使用者介面。

kubectl apply --filename "https://private-worker-service.{REGION}.devops.cloud.ibm.com/install"

kubectl apply --filename "https://private-worker-service.{REGION}.devops.cloud.ibm.com/install?private=true"

登錄 Delivery Pipeline 專用工作者節點

$ ibmcloud iam service-id-create {worker-pool-name} -d "{worker-pool-description}"
Creating service ID {worker-pool-name} bound to current account as username@domain.com...OK
Service ID {worker-pool-name} is created successfully
Name           {worker-pool-name}
Description    {worker-pool-description}
CRN            crn:v1:bluemix:public:iam-identity::a/8d63fb1cc5e99e86dd7229dddff75fef::serviceid:ServiceId-38ffff31-3ea3-4ecc-9732-190f7a993097
Bound To       crn:v1:bluemix:public:::a/8d63fb1cc5e99e86dd7229dddff75fef:::
Version        1-6df15bde97b6e87f583a557f8731888f
Locked         false
UUID         ServiceId-38ffff31-3ea3-4ecc-9732-190f7a993097

$ ibmcloud iam service-api-key-create {worker-api-key-name} (SERVICE\_ID\_NAME|SERVICE\_ID\_UUID) \[-d, --description DESCRIPTION\] \[--file OUT_FILE\]
Creating API key  {worker-api-key-name} of service
SERVICE\_ID\_NAME as username@domain.com...
OK
Service API key {worker-api-key-name} is created
Successfully saved API key information to FILE
Please preserve the API key! It cannot be retrieved after it's created.
Name           {worker-api-key-name}
Description    Description
Bound To       crn:v1:bluemix:public:iam-identity::a/2cac145ae78048679b129009cfe8c7f9::serviceid:ServiceId-9a6a14e5-5811-4c2c-9131-0e1d4bb7dfe1
Created At     2019-07-04T10:51+0000
API Key        doJX9kORc4q5PRkH19H3lePDwYRAKNWk4XlIuEBrriOD
Locked         false
UUID           ApiKey-c1ee0fb5-90f2-476e-a260-a796e6d7f5f7

$ kubectl create secret generic {WORKER_NAME}-auth -n default --from-literal=apikey={API_KEY} && kubectl apply --filename "https://private-worker-service.{REGION}.devops.cloud.ibm.com/install/worker?serviceId={SERVICE_ID}&name={WORKER_NAME}"
workeragent.devops.cloud.ibm.com/worker-name created
secret/worker-name-auth created

  * `au-syd` (澳洲雪梨)
  * `eu-de` （德國法蘭克福）
  * `eu-gb` （倫敦，英國）
  * `jp-tok` （日本東京）
  * `us-south` （美國達拉斯）
  * `us-east` （美國華盛頓特區）
  * `ca-tor` (加州多倫多)
  * `br-sao` （巴西聖保羅）

   $ kubectl create secret generic {WORKER_NAME}-auth -n default --from-literal=apikey={API_KEY} && kubectl apply --filename "https://private-worker-service.{REGION}.devops.cloud.ibm.com/install/worker?serviceId={SERVICE_ID}&name={WORKER_NAME}&private=true"

  * 法蘭克福 `eu-de`
  * 倫敦 `eu-gb`
  * 達拉斯 `us-south`
  * 華盛頓哥倫比亞特區 `us-east`

$ kubectl get workeragents
NAME           SERVICEID     AGENT   REGISTERED   VERSION   AUTH   CONSTRAINED   PAUSED
<worker_name>  <ServiceId>   OK      Succeeded    OK        OK     false         false

配置 Delivery Pipeline 專用工作者節點以使用專用端點

依預設，專用工作者節點會使用公用端點進行通訊。 叢集管理者可以更新專用工作者節點配置以使用專用端點，以便專用工作者節點與 IBM Cloud® Continuous Delivery 服務之間的通訊不使用公用網際網路。

1. 取得叢集上所安裝代理程式的名稱:

kubectl get workeragents -n default

2. 變更該代理程式的 apiUrl:

kubectl patch workeragent {WORKER_NAME} --type='merge' -p '{"spec": {"apiUrl":"https://private-worker-service.private.{REGION}.devops.cloud.ibm.com"}}'

其中，{REGION} 是工具鏈管線的位置。 私有端點可在以下區域使用：

* 達拉斯 `us-south`
* 華盛頓 `us-east`
* 法蘭克福 `eu-de`
* 倫敦 `eu-gb`

您必須擁有已 啟用 VRF 的 IBM Cloud 帳戶，才能使用此功能。

3. 選用。 若要回到使用代理程式的公用端點，請鍵入下列指令:

kubectl patch workeragent {WORKER_NAME} -n default --type='merge' -p '{"spec": {"apiUrl":"https://private-worker-service.{REGION}.devops.cloud.ibm.com"}}'

配置 Delivery Pipeline 專用工作者節點以使用 Satellite 鏈結端點

依預設，專用工作者節點會使用公用端點進行通訊。 叢集管理者可以更新專用工作者節點配置以使用 Satellite 鏈結端點，以便專用工作者節點與 Continuous Delivery 服務之間的通訊通過 Satellite 鏈結端點。

1. 針對 IBM Cloud® Continuous Delivery 服務 建立雲端 Satellite 鏈結端點，並設定 FQDN 和 Service indication name 以使用下列值:

private-worker-service.{REGION}.devops.cloud.ibm.com

其中，{REGION} 是工具鏈管線的位置。

2. 在專用工作者節點名稱空間中建立 configmap，以將公用端點對映至 Satellite 鏈結端點:

apiVersion: v1
kind: ConfigMap
metadata:
   name: pipelineworker-url-map
data:
   iam.cloud.ibm.com: <default IAM satellite link endpoint for your satellite location>
   private-worker-service.{REGION}.devops.cloud.ibm.com: <satellite link endpoint created in step 1)>

您可以新增端點到 configmap，例如這些 預設的 Satellite 連結端點。

更新 Delivery Pipeline 專用工作者節點安裝

如果專用工作者節點報告為非作用中，則必須更新安裝。

若要檢視專用工作者節點的版本，請鍵入下列其中一個指令:

• IBM Cloud Kubernetes Service: kubectl -n tekton-pipelines describe deploy private-worker-agent | grep Image
• Red Hat® OpenShift® on IBM Cloud®: kubectl -n openshift-operators describe deploy private-worker-agent-controller-manager | grep Image

若要更新專用工作者節點安裝，請完成下列步驟：

1. 重新執行安裝指令。
2. 再次在 Kubernetes 叢集上登錄專用工作者節點。

您可以重複使用用於現有專用工作者節點的 apikey。

如需 Delivery Pipeline Private Workers 的詳細資訊，請參閱 Delivery Pipeline 私人工作者的疑難排解 和 管道私人工人常見問題。