開始之前

在安裝 ACM 附加元件之前，請檢閱下列先決步驟和資訊。

1. 確保您的叢集符合下列要求。
   • 您的集線器群集必須是 VPC 群集，至少有 3 個執行 RHCOS 的工作節點，以及至少 6 個 VCPU 和 64GB RAM。 為了達到高可用性，請確保您的群集在 3 個區域中，每個區域至少有一個工作站節點。
   • 每個管理群集必須至少有 3 個執行 RHCOS 的工作節點，以及至少 6 個 VCPU 和 64GB RAM。
2. 檢視 ACM 附加元件 自動安裝的操作員，以及您可以作為增強功能安裝 的選用操作員。
3. 您必須擁有 IBM Cloud Kubernetes Service 中叢集的 管理員平台存取角色和管理員服務存取角色。
4. 您必須擁有至少 3 個工作節點的 VPC 集群。 每個 Worker 節點必須至少有 4 個 CPU 和 16GB RAM。 為了達到高可用性，請確保您的群集在 3 個區域中，每個區域至少有一個工作站節點。
5. 在群集上建立可信任的設定檔，以用於 ACM。
6. 可選：若您希望在 ACM 附加元件的安裝過程中匯入受管理叢集，或計畫在安裝完成後透過 CLI 匯入受管理叢集，或是日後打算更新受管理叢集的連線憑證，則必須針對每個受管理叢集在樞紐叢集上建立一個祕密。 請參閱 《為 ACM 準備機密》。 若您僅計畫在安裝完成後，透過 OpenShift 網頁控制台匯入受管叢集，則無需執行此步驟。
7. 安裝或更新 CLI。

為 ACM 建立受信任的設定檔

請依照以下步驟建立一個可用於 ACM 的受信任設定檔，並將其指派給樞紐叢集。

一旦將受信任的設定檔新增至叢集，便無法移除，且您將無法再使用 API 金鑰來存取您的資源。 請務必仔細遵循以下步驟，以確保您的「受信任」個人資料已正確設定。

為 ACM 準備秘密

為 ACM 建立密鑰是可選的。 您僅需在以下情況下填寫此部分：若您希望在 ACM 附加元件的安裝過程中匯入受管叢集；若您計畫 在安裝完成後透過 CLI 匯入受管叢集；或是若您計畫稍後 更新受管叢集的連線憑證。

如果您計劃在安裝完成後，透過 OpenShift 網頁控制台匯入受管叢集，且日後無需更新連線憑證，則無需建立機密。

對於每個您想要管理的叢集，請在樞紐叢集上完成以下步驟。

1. 在要使用 ACM 管理的群集上，執行指令找出伺服器 URL。 在輸出中，找到並記下 Master URL 值。 這是秘密中要參考的伺服器 URL。 您也可以在下列步驟中使用此 URL。

   ibmcloud oc cluster get -c CLUSTER_NAME_OR_ID
   

   輸出範例。

   NAME:                           mycluster
   ID:                             1234567
   State:                          normal
   Created:                        2025-01-22T19:22:16+0000
   Location:                       dal10
   Master URL:                     https://c100-e.<region>.containers.cloud.ibm.com:<port>
   ...
   

2. 取得 Red Hat OpenShift OAuth 伺服器的基礎網址 URL。 請將「MASTER_URL」替換為上一步驟中找到的「URL」。 此指令會提取不包含「/oauth/token」後綴的基礎網址 URL。

   curl -sS MASTER_URL/.well-known/oauth-authorization-server | jq -r .token_endpoint | sed 's#/oauth/token##'
   

   輸出範例。

   https://c111-e.us-east.containers.cloud.ibm.com:31282
   

3. 使用上一步驟取得之端點來取得存取憑證。 執行以下 cURL 指令，將 URL 替換為上一步驟的輸出結果，並將 API_KEY 替換為您的 IBM Cloud API 金鑰。 在輸出結果中，找出 Location 回應中所包含的 ACCESS_TOKEN。 這是要包含在秘密中的存取標記。

   curl 要求範例：

   curl -u 'apikey:API_KEY' -H "X-CSRF-Token: a" 'URL/oauth/authorize?client_id=openshift-challenging-client&response_type=token' -vvv
   

   輸出範例。 ACCESS_TOKEN 包含在 Location 回應字串中。

   < HTTP/1.1 302 Found
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Expires: 0
   < Expires: Fri, 01 Jan 2030 00:00:00 GMT
   < Location: TOKEN_ENDPOINT/oauth/token/implicit#access_token=ACCESS_TOKEN&expires_in=86400&scope=user%3Afull&token_type=Bearer
   ...
   

4. 在集線器群集上，建立包含群集存取標記和伺服器 URL 的秘訣。 有關建立機密的資訊，請參閱 Kubernetes 文件中的 使用機密。

   秘密範例。

   apiVersion: v1
   kind: Secret
   metadata:
     name: SECRET_NAME
     namespace: SECRET_NAMESPACE  # The namespace that the secret is to be created in
   type: Opaque
   stringData:
     token: ACCESS_TOKEN
     server: SERVER_URL
   

ACM 操作員

檢視 ACM 附加元件自動安裝的操作員，以及您可以作為增強功能安裝的選用操作員。

安裝 ACM 後匯入受管群集

安裝 ACM 後，您可以透過 OpenShift 網頁控制台或 CLI 匯入受管叢集。 基於主機的方法不需要密鑰。 CLI 方法需要一個 密鑰。

所有由 ACM 管理的叢集都必須屬於某個叢集集。 您可以建立新的群集集，也可以將群集新增到 Default 群集集。 如果沒有指定叢集集，受管叢集就會加入 Default 選項。

更新或移除受管群集

若要將受管叢集從 ACM 實例中移除，或更新 ACM 針對受管叢集的連線憑證（例如在令牌輪替或伺服器 URL 變更之後），您必須在樞紐叢集上的 ACM 自訂資源中編輯 managedClusters 區段。 Update 動作會重新整理 ACM 用於與受管叢集通訊的基於機密憑證。 這與升級叢集的 OpenShift 版本並不相同。

若要更新受管叢集的連線憑證，必須具備該叢集的 機密。

1. 執行指令編輯 ACM 資源。

   oc edit acmhub RESOURCE_NAME
   

2. 在資源的 managedClusters 區段中，新增群集 ID、為 ACM 建立的群集秘訣名稱、秘訣的命名空間，以及您要為群集執行的動作。 格式請參閱以下範例。 針對此動作，請指定 Delete 或 Update。 請注意，若要刪除群集，您不需要秘密或秘密命名空間。

   以下範例會刪除 CLUSTER_ID_1 並更新 CLUSTER_ID_2。

   managedclusters:
     - clusterid: "CLUSTER_ID_1"
       action: "Delete"
     - clusterid: "CLUSTER_ID_2"
       secretname: "SECRET_NAME"
       secretnamespace: "SECRET_NAMESPACE" # The namespace that the secret was created in
       action: "Update"
   

3. 儲存並套用變更。

升級 ACM 版本

執行指令將附加元件升級到新版本。

ibmcloud oc cluster addon update acm --cluster CLUSTER_ID --version ADD-ON_VERSION

若要檢查附加元件是否已更新，請列出您的群集附加元件。 在輸出中，尋找 ACM 附加元件的詳細資訊。

ibmcloud oc cluster addon ls --cluster CLUSTER_ID

刪除 ACM 附加元件

按照步驟刪除 ACM 附加元件。

1. 從集線器群集刪除 ACM 資源。

   oc delete acmhub RESOURCE_NAME
   

2. 刪除資源後，移除 ACM 附加元件。 請指定相同的叢集 ID。

   ibmcloud oc cluster addon disable acm -f --cluster CLUSTER_ID