准备工作

在安装 ACM 附加组件之前，请查看以下前提步骤和信息。

1. 确保您的群集满足以下要求。
   • 您的集线器群集必须是 VPC 群集，至少有 3 个运行 RHCOS 的工作节点，至少有 6 个 VCPU 和 64GB 内存。 为实现高可用性，请确保群集在 3 个区域中每个区域至少有一个工作节点。
   • 每个托管群集必须至少有 3 个运行 RHCOS 的工作节点，至少有 6 个 VCPU 和 64GB 内存。
2. 查看 ACM 附加组件 自动安装的操作符，以及可以作为增强功能安装的 可选操作符。
3. 您必须拥有 IBM Cloud Kubernetes Service 中群集的 管理员平台访问角色和管理器服务访问角色。
4. 您必须拥有一个至少有 3 个工作节点的 VPC 集群。 每个工作节点必须至少有 4 个 CPU 和 16GB 内存。 为实现高可用性，请确保群集在 3 个区域中每个区域至少有一个工作节点。
5. 在群集上创建用于 ACM 的受信任配置文件。
6. 可选：如果您希望在 ACM 附加组件的安装过程中导入托管集群，或者计划在安装完成后通过 CLI 导入托管集群，或者计划稍后更新托管集群的连接凭据，则必须在中心集群上为每个托管集群创建一个密钥。 请参阅 《为 ACM 准备密钥》。 如果您仅计划在安装完成后通过 OpenShift Web 控制台导入托管集群，则无需执行此步骤。
7. 安装或更新 CLI。

为 ACM 创建受信任的配置文件

请按照以下步骤创建一个用于 ACM 的受信任配置文件，并将其分配给中心集群。

一旦将受信任的配置文件添加到集群中，就无法将其移除，且无法恢复使用 API 密钥来管理您的资源。 请务必仔细按照以下步骤操作，以确保您的受信任配置文件设置正确。

为 ACM 准备秘密

为 ACM 创建密钥是可选的。 仅当您希望在 ACM 附加组件的安装过程中导入托管集群、计划 在安装完成后通过 CLI 导入托管集群，或者计划稍后 更新托管集群的连接凭据 时，才需要填写本节内容。

如果您计划在安装完成后通过 OpenShift Web 控制台导入托管集群，且后续无需更新连接凭据，则无需创建密钥。

对于每个需要管理的集群，请在中心集群上完成以下步骤。

1. 在要使用 ACM 管理的群集上，运行命令查找服务器 URL。 在输出中找到并记录主 URL 值。 这是秘密中要引用的服务器 URL。 您还可以在以下步骤中使用 URL。

   ibmcloud oc cluster get -c CLUSTER_NAME_OR_ID
   

   示例输出。

   NAME:                           mycluster
   ID:                             1234567
   State:                          normal
   Created:                        2025-01-22T19:22:16+0000
   Location:                       dal10
   Master URL:                     https://c100-e.<region>.containers.cloud.ibm.com:<port>
   ...
   

2. 获取 Red Hat OpenShift OAuth 服务器的基址 URL。 将 MASTER_URL 替换为上一步中找到的 URL。 该命令会提取不带 /oauth/token 后缀的 URL。

   curl -sS MASTER_URL/.well-known/oauth-authorization-server | jq -r .token_endpoint | sed 's#/oauth/token##'
   

   示例输出。

   https://c111-e.us-east.containers.cloud.ibm.com:31282
   

3. 使用上一步获取的端点来获取访问令牌。 执行以下 cURL 命令，将 URL 替换为上一步的输出结果，将 API_KEY 替换为您的 IBM Cloud API密钥。 在输出结果中，找到 Location 响应中包含的 ACCESS_TOKEN。 这是要包含在密文中的访问令牌。

   示例 curl 请求：

   curl -u 'apikey:API_KEY' -H "X-CSRF-Token: a" 'URL/oauth/authorize?client_id=openshift-challenging-client&response_type=token' -vvv
   

   示例输出。 ACCESS_TOKEN 包含在 Location 响应字符串中。

   < HTTP/1.1 302 Found
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Expires: 0
   < Expires: Fri, 01 Jan 2030 00:00:00 GMT
   < Location: TOKEN_ENDPOINT/oauth/token/implicit#access_token=ACCESS_TOKEN&expires_in=86400&scope=user%3Afull&token_type=Bearer
   ...
   

4. 在集线器群集上，创建一个包含群集访问令牌和服务器 URL 的密文。 有关创建秘密的信息，请参阅 Kubernetes 文档中的 使用秘密。

   秘密示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: SECRET_NAME
     namespace: SECRET_NAMESPACE  # The namespace that the secret is to be created in
   type: Opaque
   stringData:
     token: ACCESS_TOKEN
     server: SERVER_URL
   

ACM 操作员

查看 ACM 附加组件自动安装的操作符，以及可以作为增强功能安装的可选操作符。

安装 ACM 后导入托管群集

安装 ACM 后，您可以通过 OpenShift Web 控制台或 CLI 导入托管集群。 基于控制台的方法不需要密钥。 CLI 方法需要一个 密钥。

所有由 ACM 管理的集群都必须属于某个集群集。 您可以创建新的群集集，也可以向 Default 群集集添加群集。 如果未指定群集集，托管群集将添加到 Default 选项中。

更新或删除托管群集

若要将托管集群从 ACM 实例中移除，或更新托管集群的 ACM 连接凭据（例如，在令牌轮换或服务器 URL 发生变更后），您必须在中心集群上的 ACM 自定义资源中编辑 managedClusters 部分。 Update 操作会刷新 ACM 用于与托管集群通信的基于密钥的凭证。 这与升级集群的 OpenShift 版本不同。

要更新托管集群的连接凭据，需要该集群的 密钥。

1. 运行该命令编辑 ACM 资源。

   oc edit acmhub RESOURCE_NAME
   

2. 在资源的 managedClusters 部分，添加群集 ID、为 ACM 创建的群集密文名称、密文命名空间以及要为群集执行的操作。 格式参见下面的示例。 对于该操作，请指定 Delete 或 Update。 请注意，删除群集不需要密文或密文命名空间。

   以下示例将删除 CLUSTER_ID_1 并更新 CLUSTER_ID_2。

   managedclusters:
     - clusterid: "CLUSTER_ID_1"
       action: "Delete"
     - clusterid: "CLUSTER_ID_2"
       secretname: "SECRET_NAME"
       secretnamespace: "SECRET_NAMESPACE" # The namespace that the secret was created in
       action: "Update"
   

3. 保存并应用更改。

升级 ACM 版本

运行该命令将插件升级到新版本。

ibmcloud oc cluster addon update acm --cluster CLUSTER_ID --version ADD-ON_VERSION

要检查附加组件是否更新，请列出群集附加组件。 在输出中，查找 ACM 附加组件的详细信息。

ibmcloud oc cluster addon ls --cluster CLUSTER_ID

删除 ACM 附加组件

请按照以下步骤删除 ACM 附加组件。

1. 从集线器群集中删除 ACM 资源。

   oc delete acmhub RESOURCE_NAME
   

2. 删除资源后，移除 ACM 附加组件。 指定相同的集群 ID。

   ibmcloud oc cluster addon disable acm -f --cluster CLUSTER_ID