Vorbereitende Schritte

Lesen Sie die folgenden Schritte und Informationen, bevor Sie das ACM-Add-on installieren.

1. Stellen Sie sicher, dass Ihre Cluster die folgenden Anforderungen erfüllen.
   • Ihr Hub-Cluster muss ein VPC-Cluster mit mindestens 3 Worker-Nodes sein, auf denen RHCOS läuft und die über mindestens 6 VCPU und 64GB RAM verfügen. Um eine hohe Verfügbarkeit zu gewährleisten, muss Ihr Cluster über mindestens einen Arbeitsknoten pro Zone in 3 Zonen verfügen.
   • Jeder verwaltete Cluster muss über mindestens 3 Arbeitsknoten verfügen, auf denen RHCOS läuft, sowie über mindestens 6 VCPU und 64GB RAM.
2. Überprüfen Sie operatoren, die automatisch installiert werden durch das ACM-Add-on und optionale Betreiber, die Sie als Erweiterungen installieren können.
3. Sie müssen die Plattformzugangsrolle Administrator und die Dienstzugangsrolle Manager für den Cluster in IBM Cloud Kubernetes Service haben.
4. Sie benötigen einen VPC-Cluster mit mindestens 3 Worker-Knoten. Jeder Worker-Knoten muss über mindestens 4 CPUs und 16GB RAM verfügen. Um eine hohe Verfügbarkeit zu gewährleisten, muss Ihr Cluster über mindestens einen Arbeitsknoten pro Zone in 3 Zonen verfügen.
5. Erstellen Sie ein vertrauenswürdiges Profil auf Ihrem Cluster, das Sie für ACM verwenden können.
6. Optional: Wenn Sie verwaltete Cluster während der Installation des ACM-Add-ons importieren möchten, wenn Sie planen, verwaltete Cluster nach der Installation über die CLI zu importieren, oder wenn Sie die Anmeldeinformationen eines verwalteten Clusters später aktualisieren möchten, müssen Sie für jeden verwalteten Cluster ein Secret auf dem Hub-Cluster erstellen. Siehe Vorbereiten von Geheimnissen für ACM. Dieser Schritt ist nicht erforderlich, wenn Sie nach der Installation lediglich verwaltete Cluster über die Webkonsole OpenShift importieren möchten.
7. Installieren oder aktualisieren Sie die CLI.

Erstellen Sie ein vertrauenswürdiges Profil für ACM

Befolgen Sie die Schritte, um ein vertrauenswürdiges Profil für ACM zu erstellen und es dem Hub-Cluster zuzuweisen.

Sobald Sie ein vertrauenswürdiges Profil zu einem Cluster hinzugefügt haben, kann es nicht mehr entfernt werden, und Sie können für Ihre Ressourcen keinen API-Schlüssel mehr verwenden. Befolgen Sie diese Schritte sorgfältig, um sicherzustellen, dass Ihr vertrauenswürdiges Profil korrekt eingerichtet ist.

Geheimnisse für die ACM vorbereiten

Das Erstellen von Geheimnissen für ACM ist optional. Sie müssen diesen Abschnitt nur ausfüllen, wenn Sie während der Installation des ACM-Add-ons verwaltete Cluster importieren möchten, wenn Sie planen, verwaltete Cluster nach der Installation über die CLI zu importieren, oder wenn Sie vorhaben, die Anmeldeinformationen eines verwalteten Clusters später zu aktualisieren.

Wenn Sie vorhaben, verwaltete Cluster nach der Installation über die Webkonsole OpenShift zu importieren und die Anmeldeinformationen später nicht aktualisieren müssen, müssen Sie keine Geheimnisse erstellen.

Führen Sie für jeden Cluster, den Sie verwalten möchten, die folgenden Schritte auf dem Hub-Cluster aus.

1. Führen Sie auf dem Cluster, den Sie mit ACM verwalten möchten, den Befehl aus, um den Server URL zu finden. Suchen Sie in der Ausgabe den Wert Master URL und notieren Sie ihn. Dies ist der Server URL, auf den im Geheimnis verwiesen wird. Diese URL verwenden Sie auch in den folgenden Schritten.

   ibmcloud oc cluster get -c CLUSTER_NAME_OR_ID
   

   Beispielhafte Ausgabe.

   NAME:                           mycluster
   ID:                             1234567
   State:                          normal
   Created:                        2025-01-22T19:22:16+0000
   Location:                       dal10
   Master URL:                     https://c100-e.<region>.containers.cloud.ibm.com:<port>
   ...
   

2. Rufe die Basis- URL en des OAuth-Servers Red Hat OpenShift ab. Ersetzen Sie MASTER_URL durch den im vorherigen Schritt ermittelten URL. Der Befehl extrahiert die Basis- URL, ohne das Suffix „ /oauth/token “.

   curl -sS MASTER_URL/.well-known/oauth-authorization-server | jq -r .token_endpoint | sed 's#/oauth/token##'
   

   Beispielhafte Ausgabe.

   https://c111-e.us-east.containers.cloud.ibm.com:31282
   

3. Rufen Sie mithilfe des im vorherigen Schritt abgerufenen Endpunkts ein Zugriffstoken ab. Führen Sie den folgenden Befehl cURL aus, wobei Sie URL durch die Ausgabe aus dem vorherigen Schritt und API_KEY durch Ihren API-Schlüssel für IBM Cloud ersetzen. Suchen Sie in der Ausgabe ACCESS_TOKEN nach dem in der Location-Antwort. Dies ist das Zugriffstoken, das in das Geheimnis aufgenommen wird.

   Beispiel für curl-Anforderung:

   curl -u 'apikey:API_KEY' -H "X-CSRF-Token: a" 'URL/oauth/authorize?client_id=openshift-challenging-client&response_type=token' -vvv
   

   Beispielhafte Ausgabe. Das ACCESS_TOKEN ist in der Antwortzeichenfolge von Location enthalten.

   < HTTP/1.1 302 Found
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Expires: 0
   < Expires: Fri, 01 Jan 2030 00:00:00 GMT
   < Location: TOKEN_ENDPOINT/oauth/token/implicit#access_token=ACCESS_TOKEN&expires_in=86400&scope=user%3Afull&token_type=Bearer
   ...
   

4. Erstellen Sie auf dem Hub-Cluster ein Geheimnis, das das Cluster-Zugangs-Token und den Server URL enthält. Informationen zum Erstellen von Geheimnissen finden Sie unter Arbeiten mit Geheimnissen in der Dokumentation Kubernetes.

   Beispiel Geheimnis.

   apiVersion: v1
   kind: Secret
   metadata:
     name: SECRET_NAME
     namespace: SECRET_NAMESPACE  # The namespace that the secret is to be created in
   type: Opaque
   stringData:
     token: ACCESS_TOKEN
     server: SERVER_URL
   

ACM-Betreiber

Überprüfen Sie die Operatoren, die automatisch durch das ACM-Add-on installiert werden, und die optionalen Operatoren, die Sie als Erweiterungen installieren können.

Importieren von verwalteten Clustern nach der Installation von ACM

Nach der Installation von ACM können Sie verwaltete Cluster über die Webkonsole OpenShift oder die CLI importieren. Für die konsolenbasierten Methoden ist kein Geheimcode erforderlich. Für die CLI-Methode ist ein Geheimnis erforderlich.

Alle von ACM verwalteten Cluster müssen zu einer Clustergruppe gehören. Sie können einen neuen Clustersatz erstellen oder dem Clustersatz Default Cluster hinzufügen. Wenn kein Clusterset angegeben wird, werden verwaltete Cluster zur Option Default hinzugefügt.

Aktualisieren oder Entfernen eines verwalteten Clusters

Um einen verwalteten Cluster aus einer ACM-Instanz zu entfernen oder die Verbindungsdaten von ACM für einen verwalteten Cluster zu aktualisieren (beispielsweise nach einer Token-Rotation oder einer Änderung der Server- URL ), müssen Sie den Abschnitt managedClusters der ACM-benutzerdefinierten Ressource im Hub-Cluster bearbeiten. Durch diese Aktion Update werden die auf Geheimnissen basierenden Anmeldedaten aktualisiert, die ACM für die Kommunikation mit einem verwalteten Cluster verwendet. Dies ist nicht dasselbe wie ein Upgrade der OpenShift-Version eines Clusters.

Um die Anmeldedaten eines verwalteten Clusters zu aktualisieren, wird das Geheimnis für diesen Cluster benötigt.

1. Führen Sie den Befehl aus, um die ACM-Ressource zu bearbeiten.

   oc edit acmhub RESOURCE_NAME
   

2. Fügen Sie im Abschnitt managedClusters der Ressource die Cluster-ID, den Namen des für ACM erstellten Cluster-Geheimnisses, den Namensraum für das Geheimnis und die Aktion, die Sie für den Cluster implementieren möchten, hinzu. Zur Formatierung siehe das folgende Beispiel. Geben Sie für die Aktion oder Delete an Update. Beachten Sie, dass Sie zum Löschen eines Clusters weder das Geheimnis noch den geheimen Namensraum benötigen.

   Im folgenden Beispiel werden gelöscht CLUSTER_ID_1 und aktualisiert CLUSTER_ID_2.

   managedclusters:
     - clusterid: "CLUSTER_ID_1"
       action: "Delete"
     - clusterid: "CLUSTER_ID_2"
       secretname: "SECRET_NAME"
       secretnamespace: "SECRET_NAMESPACE" # The namespace that the secret was created in
       action: "Update"
   

3. Speichern Sie die Änderungen und wenden Sie sie an.

Aktualisieren der ACM-Version

Führen Sie den Befehl aus, um das Add-on auf eine neue Version zu aktualisieren.

ibmcloud oc cluster addon update acm --cluster CLUSTER_ID --version ADD-ON_VERSION

Um zu überprüfen, ob das Add-on aktualisiert wurde, listen Sie Ihre Cluster-Add-ons auf. Suchen Sie in der Ausgabe nach den ACM-Add-on-Details.

ibmcloud oc cluster addon ls --cluster CLUSTER_ID

Löschen des ACM-Zusatzmoduls

Führen Sie die folgenden Schritte aus, um das ACM-Add-on zu löschen.

1. Löschen Sie die ACM-Ressource aus dem Hub-Cluster.

   oc delete acmhub RESOURCE_NAME
   

2. Nachdem die Ressource gelöscht wurde, entfernen Sie das ACM-Add-on. Geben Sie dieselbe Cluster-ID an.

   ibmcloud oc cluster addon disable acm -f --cluster CLUSTER_ID