设置高级群集管理插件（仅限部分地区）

准备工作

在安装 ACM 附加组件之前，请查看以下前提步骤和信息。

1. 查看 ACM 计划类型 并决定您要使用的计划。 请注意，对于虚拟化 ACM，建议托管群集运行裸机工作节点。
2. 确保您的群集满足以下要求。
   • 您的集线器群集必须是 VPC 群集，至少有 3 个运行 RHCOS 的工作节点，至少有 6 个 VCPU 和 64GB 内存。 为实现高可用性，请确保群集在 3 个区域中每个区域至少有一个工作节点。
   • 每个托管群集必须至少有 3 个运行 RHCOS 的工作节点，至少有 6 个 VCPU 和 64GB 内存。
   • 此外，如果要使用 ACM for Virtualization 计划，建议使用裸机工作节点。 对于 ACM for Kubernetes 计划，托管集群可以运行裸机节点或 VSI。
3. 查看 ACM 附加组件 自动安装的操作符，以及可以作为增强功能安装的 可选操作符。
4. 您必须拥有 IBM Cloud Kubernetes Service 中群集的 管理员平台访问角色和管理器服务访问角色。
5. 您必须拥有一个至少有 3 个工作节点的 VPC 集群。 每个工作节点必须至少有 4 个 CPU 和 16GB 内存。 为实现高可用性，请确保群集在 3 个区域中每个区域至少有一个工作节点。
6. 在群集上创建用于 ACM 的受信任配置文件。
7. 对于要使用 ACM 管理的每个群集，必须在集线器群集上创建一个秘密，其中包含受管群集的访问令牌和服务器 URL。 此步骤可在安装之前或之后完成。 请参阅“为 ACM 准备秘密”。
8. 安装或更新 CLI。

为 ACM 创建受信任的配置文件

请按照以下步骤创建用于 ACM 的受信任配置文件。

1. 按照步骤 创建受信任的个人资料。 在配置文件的条件中，请务必指定以下访问权限。

   • 当命名空间等于 kube-system
   • Satellite 服务角色 - Satellite Link 管理员、阅读器
   • Kubernetes Service 角色 - 经理、编辑
   • 计费服务角色 - 阅读器、操作员

2. 创建受信任配置文件后，从控制台的受信任配置文件页面复制 ID。

3. 使用受信任配置文件的 ID 创建以下秘密。 保存以下文本并输入您的证书。 您可以按照步骤手动创建密文，也可以使用 shell 脚本 在群集中自动创建密文。

   IBMCLOUD_AUTHTYPE=pod-identity
   IBMCLOUD_PROFILEID=<TRUSTED-PROFILE-ID>
   

4. 在群集中创建一个包含受信任配置文件凭据的秘密。 将以下 YAML 保存到名为 ibm-cloud-credentials.yaml 的文件中。 在 ibm-credentials.env: 字段中，输入受信任配置文件的 ID。

   apiVersion: v1
   data:
     ibm-credentials.env: # Trusted profile ID
   kind: Secret
   metadata:
     name: ibm-cloud-credentials
     namespace: kube-system
   type: Opaque
   

5. 登录您的账户。 如果适用，请将相应的资源组设定为目标。 设置集群的上下文。

6. 在集群中创建私钥。

   kubectl apply -f ibm-cloud-credentials.yaml
   

为 ACM 准备秘密

对于要使用 ACM 管理的每个群集，必须在集线器群集上创建一个秘密，其中包括受管群集的访问令牌和服务器 URL。

如果要在 ACM 附加组件安装过程中导入托管群集，请在开始安装前完成以下步骤。 如果选择在集线器群集上安装附加组件后创建机密并导入托管群集，则可以通过 CLI 完成其他步骤。

为要管理的每个群集完成以下步骤。

1. 在要使用 ACM 管理的群集上，运行命令查找服务器 URL。 在输出中找到并记录主 URL 值。 这是秘密中要引用的服务器 URL。 您还可以在以下步骤中使用 URL。

   ibmcloud oc cluster get -c <cluster_name_or_ID>
   

   示例输出。

   NAME:                           mycluster
   ID:                             1234567
   State:                          normal
   Created:                        2025-01-22T19:22:16+0000
   Location:                       dal10
   Master URL:                     https://c100-e.<region>.containers.cloud.ibm.com:<port>
   ...
   

2. 获取 Red Hat OpenShift oauth 服务器的令牌端点。 将 <master_URL> 替换为上一步中找到的 URL。 请注意，输出中的值不是访问令牌。

   curl <master_URL>/.well-known/oauth-authorization-server | jq -r .token_endpoint
   

   示例输出。

   <token_endpoint>/oauth/token
   

3. 使用先前检索的端点登录群集。 将 <URL> 替换为上一步中找到的 oauth 服务器的 <token_endpoint>。 在输出中，找到位置响应中包含的 <access_token>。 这是要包含在密文中的访问令牌。

   示例 curl 请求：

   curl -u 'apikey:<API_key>' -H "X-CSRF-Token: a" '<URL>/oauth/authorize?client_id=openshift-challenging-client&response_type=token' -vvv
   

   示例输出。 <access_token> 包含在位置响应字符串中。

   < HTTP/1.1 302 Found
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Expires: 0
   < Expires: Fri, 01 Jan 2030 00:00:00 GMT
   < Location: <token_endpoint>/oauth/token/implicit#access_token=<access_token>&expires_in=86400&scope=user%3Afull&token_type=Bearer
   ...
   

4. 在集线器群集上，创建一个包含群集访问令牌和服务器 URL 的密文。 有关创建秘密的信息，请参阅 Kubernetes 文档中的 使用秘密。

   秘密示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: <secret_name>
     namespace: <secret_namespace>  # The namespace that the secret is to be created in
   type: Opaque
   stringData:
     token: <access_token>
     server: <server_url>
   

ACM 操作员

查看 ACM 附加组件自动安装的操作符，以及可以作为增强功能安装的可选操作符。

安装 ACM 后导入托管群集

有几种方法可以导入群集，用 ACM 进行管理。 在导入群集之前，请确保 已为 ACM 创建了所需的密文。

ACM 管理的所有群集必须属于一个群集集。 您可以创建新的群集集，也可以向 Default 群集集添加群集。 如果未指定群集集，托管群集将添加到 Default 选项中。

更新或删除托管群集

要从 ACM 实例中删除或更新托管群集，必须编辑集线器群集上 ACM 自定义资源的 managedClusters 部分。

1. 运行该命令编辑 ACM 资源。

   oc edit acmhub <resource_name>
   

2. 在资源的 managedClusters 部分，添加群集 ID、为 ACM 创建的群集密文名称、密文命名空间以及要为群集执行的操作。 格式参见下面的示例。 对于操作，请指定 Delete 或 Update。 请注意，删除群集不需要密文或密文命名空间。

   下面的示例删除了 cluster_id_1 并更新了 cluster_id_2。

   managedclusters:
     - clusterid: "cluster_id_1"
       action: "Delete"
     - clusterid: "cluster_id_2"
       secretname: "managed-secret-2"
       secretnamespace: "managed-namespace-2" # The namespace that the secret was created in
       action: "Update"  
   

3. 保存并应用更改。

升级 ACM 版本

运行该命令将插件升级到新版本。

ibmcloud oc cluster addon update acm --cluster <cluster_id> --version <add-on_version>

要检查附加组件是否更新，请列出群集附加组件。 在输出中，查找 ACM 附加组件的详细信息。

ibmcloud oc cluster addon ls --cluster <cluster_id>

删除 ACM 附加组件

请按照以下步骤删除 ACM 附加组件。

1. 从集线器群集中删除 ACM 资源。

   oc delete acmhub <resource_name>
   

2. 删除资源后，移除 ACM 附加组件。 指定相同的群集 ID。

   ibmcloud oc cluster addon disable acm -f --cluster <cluster_id>