開始之前

在安裝 ACM 附加元件之前，請檢閱下列先決步驟和資訊。

1. 確保您的叢集符合下列要求。
   • 您的集線器群集必須是 VPC 群集，至少有 3 個執行 RHCOS 的工作節點，以及至少 6 個 VCPU 和 64GB RAM。 為了達到高可用性，請確保您的群集在 3 個區域中，每個區域至少有一個工作站節點。
   • 每個管理群集必須至少有 3 個執行 RHCOS 的工作節點，以及至少 6 個 VCPU 和 64GB RAM。
2. 檢視 ACM 附加元件 自動安裝的操作員，以及您可以作為增強功能安裝 的選用操作員。
3. 您必須擁有 IBM Cloud Kubernetes Service 中叢集的 管理員平台存取角色和管理員服務存取角色。
4. 您必須擁有至少 3 個工作節點的 VPC 集群。 每個 Worker 節點必須至少有 4 個 CPU 和 16GB RAM。 為了達到高可用性，請確保您的群集在 3 個區域中，每個區域至少有一個工作站節點。
5. 在群集上建立可信任的設定檔，以用於 ACM。
6. 對於您要使用 ACM 管理的每個群集，您必須在集線器群集上以受管理群集的存取權限和伺服器 URL 建立一個秘密。 此步驟可以在安裝之前或之後完成。 請參閱 為 ACM 準備秘密。
7. 安裝或更新 CLI。

為 ACM 建立受信任的設定檔

請依照以下步驟建立一個可用於 ACM 的受信任設定檔，並將其指派給樞紐叢集。

一旦將受信任的設定檔新增至叢集，便無法移除，且您將無法再使用 API 金鑰來存取您的資源。 請務必仔細遵循以下步驟，以確保您的「受信任」個人資料已正確設定。

為 ACM 準備秘密

對於要使用 ACM 管理的每個群集，您必須在集線器群集上建立一個秘密，其中包括受管理群集的存取權限和伺服器 URL。

如果要在 ACM 附加元件安裝過程中匯入受管群集，請在開始安裝前完成這些步驟。 如果您選擇在集線器群集上安裝附加元件後才建立機密和匯入受管群集，您可以使用 CLI 完成 其他步驟。

針對您要管理的每個群集，完成下列步驟。

1. 在要使用 ACM 管理的群集上，執行指令找出伺服器 URL。 在輸出中，找到並記下 Master URL 值。 這是秘密中要參考的伺服器 URL。 您也可以在下列步驟中使用此 URL。

   ibmcloud oc cluster get -c CLUSTER_NAME_OR_ID
   

   輸出範例。

   NAME:                           mycluster
   ID:                             1234567
   State:                          normal
   Created:                        2025-01-22T19:22:16+0000
   Location:                       dal10
   Master URL:                     https://c100-e.<region>.containers.cloud.ibm.com:<port>
   ...
   

2. 取得 Red Hat OpenShift OAuth 伺服器的基礎網址 URL。 請將「MASTER_URL」替換為上一步驟中找到的「URL」。 此指令會提取不包含「/oauth/token」後綴的基礎網址 URL。

   curl -sS MASTER_URL/.well-known/oauth-authorization-server | jq -r .token_endpoint | sed 's#/oauth/token##'
   

   輸出範例。

   https://c111-e.us-east.containers.cloud.ibm.com:31282
   

3. 使用上一步驟取得之端點來取得存取憑證。 執行以下 cURL 指令，將 URL 替換為上一步驟的輸出結果，並將 API_KEY 替換為您的 IBM Cloud API 金鑰。 在輸出結果中，找出 Location 回應中所包含的 ACCESS_TOKEN。 這是要包含在秘密中的存取標記。

   curl 要求範例：

   curl -u 'apikey:API_KEY' -H "X-CSRF-Token: a" 'URL/oauth/authorize?client_id=openshift-challenging-client&response_type=token' -vvv
   

   輸出範例。 ACCESS_TOKEN 包含在 Location 回應字串中。

   < HTTP/1.1 302 Found
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Expires: 0
   < Expires: Fri, 01 Jan 2030 00:00:00 GMT
   < Location: TOKEN_ENDPOINT/oauth/token/implicit#access_token=ACCESS_TOKEN&expires_in=86400&scope=user%3Afull&token_type=Bearer
   ...
   

4. 在集線器群集上，建立包含群集存取標記和伺服器 URL 的秘訣。 有關建立機密的資訊，請參閱 Kubernetes 文件中的 使用機密。

   秘密範例。

   apiVersion: v1
   kind: Secret
   metadata:
     name: SECRET_NAME
     namespace: SECRET_NAMESPACE  # The namespace that the secret is to be created in
   type: Opaque
   stringData:
     token: ACCESS_TOKEN
     server: SERVER_URL
   

ACM 操作員

檢視 ACM 附加元件自動安裝的操作員，以及您可以作為增強功能安裝的選用操作員。

安裝 ACM 後匯入受管群集

有幾種方式可以匯入叢集來使用 ACM 管理。 在匯入群集之前，請確定您已 建立 ACM 所需的秘訣。

ACM 管理的所有群集都必須屬於一個群集集。 您可以建立新的群集集，也可以將群集新增到 Default 群集集。 如果沒有指定叢集集，受管叢集就會加入 Default 選項。

更新或移除受管群集

若要從 ACM 實例移除或更新受管群集，您必須編輯集線器群集上 ACM 自訂資源的 managedClusters 區段。

1. 執行指令編輯 ACM 資源。

   oc edit acmhub RESOURCE_NAME
   

2. 在資源的 managedClusters 區段中，新增群集 ID、為 ACM 建立的群集秘訣名稱、秘訣的命名空間，以及您要為群集執行的動作。 格式請參閱以下範例。 對於動作，請指定 Delete 或 Update。 請注意，若要刪除群集，您不需要秘密或秘密命名空間。

   以下範例會刪除 cluster_id_1 並更新 cluster_id_2。

   managedclusters:
     - clusterid: "cluster_id_1"
       action: "Delete"
     - clusterid: "cluster_id_2"
       secretname: "managed-secret-2"
       secretnamespace: "managed-namespace-2" # The namespace that the secret was created in
       action: "Update"
   

3. 儲存並套用變更。

升級 ACM 版本

執行指令將附加元件升級到新版本。

ibmcloud oc cluster addon update acm --cluster CLUSTER_ID --version ADD-ON_VERSION

若要檢查附加元件是否已更新，請列出您的群集附加元件。 在輸出中，尋找 ACM 附加元件的詳細資訊。

ibmcloud oc cluster addon ls --cluster CLUSTER_ID

刪除 ACM 附加元件

按照步驟刪除 ACM 附加元件。

1. 從集線器群集刪除 ACM 資源。

   oc delete acmhub RESOURCE_NAME
   

2. 刪除資源後，移除 ACM 附加元件。 請指定相同的叢集 ID。

   ibmcloud oc cluster addon disable acm -f --cluster CLUSTER_ID