什么是 Kubernetes？

Kubernetes 是一个开放式源代码平台，用于管理跨多个主机的容器化工作负载和服务，并提供用于部署、自动化、监视和缩放容器化应用程序的管理工具，需要的手动干预极少，甚至不需要手动干预。 组成微服务的所有容器都会分组成 pod，pod 是一种逻辑单元，可确保轻松进行管理和发现。 这些 pod 在可移植、可扩展并能在发生故障转移时自我复原的 Kubernetes 集群中管理的计算主机上运行。

有关 Kubernetes的更多信息，请参阅 Kubernetes 文档。

如何创建 Red Hat OpenShift on IBM Cloud 集群?

要创建 Red Hat OpenShift on IBM Cloud 集群，请首先决定是要遵循基本集群设置教程，还是设计自己的集群环境。

我要遵循教程

首先查看 入门 文档，然后 选择其中一个可用教程。

我想要设计自己的集群环境

首先查看 入门 文档，然后 创建集群环境策略。

Red Hat OpenShift on IBM Cloud 如何工作？

通过 Red Hat OpenShift on IBM Cloud，您可以创建自己的 Red Hat OpenShift 集群，在 IBM Cloud 上部署和管理容器化应用程序。 容器化应用程序在称为工作程序节点的 IBM Cloud 基础架构计算主机上托管。 您可以选择将计算主机配置为具有共享或专用资源的虚拟机，或者配置为可针对 GPU 和软件定义存储 (SDS) 的使用进行优化的裸机。 您的工作节点由高度可用的 Red Hat OpenShift 主站控制，该主站由 IBM 进行配置、监控和管理。 您可以通过 IBM Cloud Kubernetes Service API 或 CLI 来使用集群基础架构资源，通过 Kubernetes API 或 CLI 来管理部署和服务。

有关如何设置集群资源的更多信息，请参阅服务体系结构。 要查找功能和权益的列表，请参阅 权益和服务产品。

为什么要使用 Red Hat OpenShift on IBM Cloud？

Red Hat OpenShift on IBM Cloud 是一款受管理的 产品，可提供功能强大的工具、直观的用户体验和内置安全性，用于快速交付应用程序，您可以将这些应用程序绑定到与、人工智能、安全和数据分析相关的云服务。Red Hat OpenShift IBM Watson® IoT, DevOps, 作为经过认证的 Kubernetes 提供程序，Red Hat OpenShift on IBM Cloud 具备智能安排、自我复原、水平缩放、服务发现和负载均衡、自动应用和回滚以及私钥和配置管理功能。 该服务还具有与简化的集群管理、容器安全性和隔离策略相关的高级功能，设计您自己的集群的功能，以及用于实现部署一致性的集成操作工具。

有关功能和优势的详细概述，请参阅 使用服务的优势。

哪些容器平台可用于集群？

通过 IBM Cloud，您可以从两个不同的容器管理平台为容器化工作负载创建集群: IBM 版本的社区 Kubernetes 和 Red Hat OpenShift on IBM Cloud。 您选择的容器平台会安装在集群主节点和工作程序节点上。 之后，您可以 更新版本，但不能回滚到以前的版本或切换到不同的容器平台。 如果要使用多个容器平台，请为每个平台创建一个单独的集群。

如需了解更多信息，请参阅 Red Hat OpenShift 和社区 Kubernetes 集群之间的比较。

Kubernetes

Kubernetes 是一个生产级开源容器编排平台，可用于自动化、扩展和管理在 Ubuntu 操作系统上运行的容器化应用程序。 通过 IBM Cloud Kubernetes Service 版本，可以访问社区 Kubernetes API 功能，这些功能被社区视为 Beta 或更高版本。 缺省情况下，通常不会启用 Kubernetes alpha 功能，这些功能会随时更改。 通过 Kubernetes，可以组合各种资源（例如，私钥、部署和服务），以安全地创建和管理高可用性容器化应用程序。

Red Hat OpenShift

Red Hat OpenShift on IBM Cloud 是一个基于 的平台，专门用于加速在 操作系统上运行的容器化应用程序交付流程。Kubernetes Red Hat Enterprise Linux 您可以跨内部和外部云协调和扩展现有的 Red Hat OpenShift 工作负载，从而获得一个可移植的混合解决方案，该解决方案在多云场景中也能正常工作。 要开始使用，请试用 Red Hat OpenShift on IBM Cloud 教程。

服务是否附带受管理的 Red Hat OpenShift 主节点和工作节点？

Red Hat OpenShift on IBM Cloud 中的每个群集都由一个专用的 Red Hat OpenShift 主控器控制，该主控器由 IBM 在 IBM 拥有的 IBM Cloud 基础设施账户中管理。 Red Hat OpenShift 主站（包括所有主站组件、计算、网络和存储资源）由 IBM 网站可靠性工程师（SRE）持续监控。 SRE 将应用最新的安全标准，检测恶意活动并进行修复，以及设法确保 Red Hat OpenShift on IBM Cloud 的可性和可用性。

Red Hat OpenShift 会定期发布主要更新、次要更新或补丁更新。 这些更新可能会影响 Red Hat OpenShift API 服务器版本或 Red Hat OpenShift 主站中的其他组件。 IBM 会自动更新补丁版本，但主节点的主版本和次版本必须由您进行更新。 更多信息，请参阅 更新主控程序。

标准集群中的工作程序节点将供应给 IBM Cloud 基础架构帐户。 工作程序节点专用于您的帐户，您将负责请求及时更新工作程序节点，以确保工作程序节点操作系统和 Red Hat OpenShift on IBM Cloud 组件应用最新的安全性更新和补丁。 安全性更新和补丁由 IBM 现场可靠性工程师 (SRE) 提供，他们会持续监视工作程序节点上安装的 Linux 映像，以检测漏洞和安全合规性问题。 有关更多信息，请参阅更新工作程序节点。

我可以将哪些类型的工作负载移至 Red Hat OpenShift on IBM Cloud?

下表就用户通常会移至各种类型云的工作负载类型提供了一些示例。 您还可以选择使集群同时在两种环境中运行的混合方法。

准备好在 Red Hat OpenShift on IBM Cloud 中离线运行工作负载了吗？

太好了！ 您已经在使用公共云文档。 请继续阅读以了解更多策略构想，或者通过立即创建集群来开始运作。

想同时在内部部署云和外部部署云中运行工作负载？

浏览 IBM Cloud Satellite，以将 IBM Cloud 的灵活性和可伸缩性扩展至本地，边缘或其他云提供者环境。

我能否自动执行基础架构部署?

如果要在多个集群中、公共和专用环境中，或者甚至在多个云提供者中运行应用程序，那么您可能会想知道如何使部署策略在所有这些环境中都有效。

可以使用开放式源代码 Terraform 工具来自动供应 IBM Cloud 基础架构，包括 Kubernetes 集群。 遵循本教程以 创建单专区和多专区 Kubernetes 和 OpenShift 集群。 创建集群后，还可以设置 Red Hat OpenShift on IBM Cloud 集群自动缩放器，以便工作程序池可根据工作负载的资源请求来扩展和缩减工作程序节点。

我可以运行哪些应用程序？ 我可以移动现有应用程序，还是需要开发新应用程序?

对于集群版本，容器化应用程序必须能够在其中一个 受支持的操作系统 上运行。 您还需要考虑应用程序的有状态性。 有关可在 Red Hat OpenShift on IBM Cloud中运行的应用程序类型的更多信息，请参阅 规划应用程序部署。

如果已有应用程序，那么可以 将其迁移到 Red Hat OpenShift on IBM Cloud。 如果要开发新应用程序，请查看 有关开发无状态云本机应用程序的准则。

无服务器应用程序如何?

您可以通过 IBM Cloud Code Engine 服务运行无服务器应用程序和作业。Code Engine 还可以为您构建映像。

在将应用程序移动到集群之前，我应该具备哪些技能?

Red Hat OpenShift 旨在为两个主要角色（集群管理员和应用程序开发人员）提供功能。 每个角色使用不同的技术技能，以成功运行应用程序并将应用程序部署到集群 。

集群管理员的主要任务和技术知识是什么？

作为集群管理员，您负责设置、操作、保护和管理集群的 IBM Cloud 基础架构。 典型任务包括：

• 调整集群的大小，以便为工作负载提供足够的容量。
• 设计集群，以满足公司的高可用性、灾难恢复和合规标准。
• 通过设置用户许可权并限制集群中的操作来保护计算资源、网络和数据，从而确保集群安全。
• 规划和管理基础架构组件之间的网络通信，以确保网络安全性、分段和合规性。
• 规划持久性存储器选项，以满足数据存储位置和数据保护需求。

集群管理员角色必须具备丰富的知识，包括计算、网络、存储、安全性和合规性。 在典型的公司中，这些知识一般由多个专家分别掌握，例如系统工程师、系统管理员、网络工程师、网络架构设计师、IT 经理或安全与合规专家。 请考虑将集群管理员角色分配给公司中的多个人员，以便您具备成功操作集群所需的知识。

应用程序开发人员的主要任务和技术技能是什么？

作为开发人员，您需要在 Red Hat OpenShift 集群中设计、创建、保护、部署、测试、运行和监控云原生的容器化应用程序。 要创建和运行这些应用程序，您必须熟悉微服务的概念、12 要素应用程序 指南、Docker 和容器化原则，以及可用的 Red Hat OpenShift 部署选项。

Red Hat OpenShift 和 Red Hat OpenShift on IBM Cloud 提供了多个选项，用于说明如何 公开应用程序并保持应用程序专用，添加持久存储器，集成其他服务 以及如何 保护工作负载和保护敏感数据。 在将应用程序移至 Red Hat OpenShift on IBM Cloud 中的群集之前，请验证您的应用程序能否作为容器化应用程序在支持的操作系统上运行，以及 Red Hat OpenShift 和 Red Hat OpenShift on IBM Cloud 能否提供工作负载所需的功能。

集群管理员和开发人员之间是否有互动？

需要。 集群管理员和开发人员必须经常互动，以便集群管理员了解在集群中提供这种功能的工作量要求，并让开发人员了解他们在应用程序开发过程中必须考虑的可用限制、集成和安全原则。

我有哪些选项可保护集群？

您可以使用 Red Hat OpenShift on IBM Cloud 中的内置安全功能来保护集群中的组件以及数据和应用程序部署，以确保安全合规性和数据完整性。 使用这些功能可确保 Red Hat OpenShift API 服务器、etcd 数据存储、工作节点、网络、存储、图像和部署免受恶意攻击。 您还可以利用内置日志记录和监视工具来检测恶意攻击和可疑使用模式。

有关群集组件的更多信息，以及如何满足每个组件的安全标准，请参阅 Red Hat OpenShift on IBM Cloud 的安全性。

我能为集群用户提供哪些访问策略？

Red Hat OpenShift on IBM Cloud 使用 (IAM)，通过 IAM 平台访问角色授予对群集资源的访问权限，并通过 IAM 服务访问角色授予 基于角色的访问控制 (RBAC) 策略。Cloud Identity and Access Management Kubernetes 有关访问策略类型的更多信息，请参阅 为用户选择正确的访问策略和角色。

发生泄漏时，如何轮换集群 API 密钥?

有关如何轮换 API 密钥的指示信息，请参阅 如何在发生泄漏时轮换集群 API 密钥?。

在哪里可以找到影响集群的安全公告的列表？

如果在 Red Hat OpenShift中发现漏洞，那么 Red Hat OpenShift 会在安全公告中发布 CVE，以通知用户并描述用户为修复漏洞而必须执行的操作。Red Hat OpenShift 影响 Red Hat OpenShift on IBM Cloud 用户或 IBM Cloud 平台的安全公告发布在 IBM Cloud 安全公告 中。

有些 CVE 需要最新版本的补丁更新，您可以将其作为 Red Hat OpenShift on IBM Cloud 中常规 群集更新流程 的一部分进行安装。 确保及时应用安全补丁，以保护集群免受恶意攻击。 有关安全补丁包含哪些内容的详细信息，请参阅 版本更改日志。

服务提供对裸机和 GPU 的支持吗？

某些 VPC 工作程序节点类型模板提供 GPU 支持。 有关更多信息，请参阅 VPC 风格。

是的，您可以将工作程序节点作为单租户物理裸机服务器进行供应。 裸机服务器可为数据、GPU 和人工智能等工作负载带来高性能优势。 此外，所有硬件资源都专供您的工作负载使用，因此您不必担心“吵闹的邻居”。

有关可用裸机类型以及裸机与虚拟机不同之处的详细信息，请参阅 规划指南。

我可以创建的最小大小集群是什么?

请注意，运行最小的可能集群不符合要接收支持的服务级别协议 (SLA)。 此外，请记住，某些服务 (例如 Ingress) 需要高可用性工作程序节点设置。 您可能无法在工作程序池中只有两个节点的集群中运行这些服务或应用程序。 有关更多信息，请参阅 规划集群以实现高可用性。

经典或 VPC 集群

集群必须始终至少具有 2 个工作程序节点。 请注意，不能有具有 0 工作程序节点的集群，也不能对工作程序节点关闭电源或暂挂计费。

Satellite 集群

可以使用单副本拓扑创建集群，这仅表示 1 工作程序节点。 请注意，如果使用单副本拓扑创建 Satellite 集群，那么以后无法添加工作程序节点。

服务支持哪些版本？

Red Hat OpenShift on IBM Cloud 同时支持多个版本的 Red Hat OpenShift。 新版本 (n) 发布后，最多支持后面 2 个版本 ( n-2 )。 比最新版本低 2 以上的版本 (n-3) 将首先不推荐使用，然后不再支持。

有关支持的版本以及从一个版本到另一个版本必须采取的更新操作的更多信息，请参阅 Red Hat OpenShift on IBM Cloud 版本信息。

服务支持哪些工作程序节点操作系统?

有关按集群版本列出的受支持工作程序节点操作系统的列表，请参阅 Red Hat OpenShift on IBM Cloud 版本信息。

服务在哪里可用？

Red Hat OpenShift on IBM Cloud 在全球范围内可用。 您可以在每个受支持的 Red Hat OpenShift on IBM Cloud 区域创建群集。

有关支持的区域的更多信息，请参阅位置。

该服务是否高度可用?

需要。 缺省情况下，Red Hat OpenShift on IBM Cloud 会设置许多组件，例如具有副本，反亲缘关系和其他选项的集群主节点，以增加服务的高可用性 (HA)。 您可以通过在高可用性体系结构中配置集群工作程序节点，存储器，网络和工作负载来增加其冗余和故障容错。 有关默认设置和增加 HA 选项的概述，请参阅 创建高可用性群集策略。

有关最新的 HA 服务级别协议条款，请参阅 IBM Cloud 服务条款。 通常，SLA 可用性条款要求在 HA 体系结构中配置基础架构资源时，必须在三个不同的可用性专区中均匀分布这些资源。 例如，要获得 SLA 条款规定的完全 HA 覆盖，您必须建立一个多区群集，其中至少有 6 个工作节点，每个区两个工作节点，均匀分布在三个区中。

多区群如何工作？

如果我想跨区域建立多个群集，该怎么办？

可以在一个地理位置的不同区域（如美国南部和美国东部）或不同地理位置（如美国南部和欧洲中部）中设置多个集群。 这两种设置为应用程序提供的可用性级别相同，但同时在数据共享和数据复制方面增加了复杂性。 在大多数情况下，保持在同一地理位置中就足以满足需求。 但是，如果您的用户遍布全球，最好在用户所在的地方建立一个集群，这样用户向您的应用程序发送请求时就不会经历漫长的等待时间。

在多个群集之间平衡工作负载时，我有哪些选择？

要在多个群集之间平衡工作负载，必须使用 Ingress、路由器 或 网络负载平衡器(NLB) 在公共网络上提供应用程序。 路由器服务和 NLB 会被分配一个公共 IP 地址，你可以用它来访问应用程序。

要在应用程序之间平衡工作负载，可将路由器服务和 NLB 的公共 IP 地址添加到 CIS 全局负载平衡器或自己的全局负载平衡器。

如果我想在专用网络上平衡工作负载，该怎么办？

IBM Cloud 不在专用网络上提供全局负载平衡器服务。 但是，您可以使用其中一个支持的 VPN 选项将集群连接到内部部署网络中托管的专用负载均衡器。 确保通过使用 Ingress、路由器 或 网络负载平衡器(NLB) 在专用网络上公开您的应用程序，并在 VPN 设置中使用专用 IP 地址将您的应用程序连接到内部网络。

主节点和工作节点是否高度可用？

Red Hat OpenShift on IBM Cloud 体系结构和基础架构旨在确保可靠性、处理等待时间短以及服务正常运行时间最长。 默认情况下，Red Hat OpenShift on IBM Cloud 中的每个群集都会设置多个 Red Hat OpenShift master 实例，以确保群集资源的可用性和可访问性，即使 Red Hat OpenShift master 的一个或多个实例不可用也是如此。

通过将工作负载分布在一个区域的多个专区中的多个工作程序节点上，可以进一步提高集群的高可用性，并防止应用程序发生中断。 这种设置被称为多区集群，可确保即使一个工作节点或整个区无法使用，也能访问您的应用程序。

要防止整个区域出现故障，可创建多个群集，并将它们分布在 IBM Cloud 区域。 通过为集群设置网络负载均衡器 (NLB)，可以实现对集群进行跨区域负载均衡和跨区域联网。

如果您具有即使发生中断也必须可用的数据，请确保将数据存储在持久性存储器上。

有关如何为集群实现高可用性的更多信息，请参阅 Red Hat OpenShift on IBM Cloud 的高可用性。

我的应用程序会自动跨区传播吗？

这取决于您如何设置应用程序。 请参阅 规划高度可用的部署 和 规划高度可用的持久存储。

工作节点是否加密？

工作节点的辅助磁盘已加密。 有关详细信息，请参阅 群集加密概述。 创建 Worker 池后，您可能会发现 Worker 节点的名称中有 .encrypted，例如 b3c.4x16.encrypted。

服务符合哪些合规标准?

IBM Cloud 通过遵循许多数据，财务，健康，保险，隐私，安全，技术和其他国际合规标准来构建。 有关更多信息，请参阅 IBM Cloud 合规性。

要查看详细的系统需求，可以运行 Red Hat OpenShift on IBM Cloud 的软件产品兼容性报告。 请注意，合规性取决于集群工作程序节点，网络和存储资源的底层 基础架构提供程序。

经典基础架构: Red Hat OpenShift on IBM Cloud 实现与以下安全标准相称的控件:

• 欧盟-美国隐私保护和瑞士-美国隐私保护框架
• 健康保险可移植性和责任法案 (HIPAA)
• 服务组织控制标准（SOC 1 类型 2、SOC 2 类型 2）
• 鉴证业务国际准则第 3402 号 (ISAE 3402) - 服务类组织控制鉴证报告
• 国际标准化组织（ISO 27001、ISO 27017 和 ISO 27018）
• 支付卡行业数据安全标准 (PCI DSS)

VPC 基础架构: Red Hat OpenShift on IBM Cloud 实施与以下安全标准相称的控件:

• 欧盟-美国隐私保护和瑞士-美国隐私保护框架
• 健康保险可移植性和责任法案 (HIPAA)
• 鉴证业务国际准则第 3402 号 (ISAE 3402) - 服务类组织控制鉴证报告

Satellite: 请参阅 IBM Cloud Satellite 文档。

能否将其他 IBM Cloud 服务与集群配合使用?

您可以将 IBM Cloud 平台和基础架构服务以及来自第三方供应商的服务添加到 Red Hat OpenShift on IBM Cloud 集群，以启用自动化，提高安全性或增强集群中的监视和日志记录功能。

有关支持的服务的列表，请参阅集成服务。

如何在集群中安装 Cloud Pak ?

Cloud Paks 与 IBM Cloud 目录集成，因此您可以快速配置所有 Cloud Pak 组件并将其安装到现有或新的 Red Hat OpenShift 集群中。 当您安装 Cloud Pak 时，Cloud Pak 与 Schematics 进行配置，并为您创建 Schematics 工作区。 您稍后可以使用该工作空间来访问有关 Cloud Pak 安装的信息。 您可以通过 Cloud Pak URL 来访问 Cloud Pak 服务。 更多信息，请查阅 Cloud Pak文档。

我是否可以将 Cloud Pak 随附的 Red Hat OpenShift 权利用于集群?

是，如果 Cloud Pak 包含运行随 OpenShift Container Platform一起安装的特定工作程序节点类型模板的权利。 要查看您的权利，请检入 IBM Passport Advantage。 请注意，IBM Cloud 标识必须与 IBM Passport Advantage 标识匹配。

您可以在控制台中使用 Cloud Pak 权利或者使用 ibmcloud oc cluster create classic 或 ibmcloud oc worker-pool create classic CLI 命令中的 --entitlement ocp_entitled 选项在现有集群中创建集群或工作程序池。 确保指定您有权使用的工人节点的正确数量和类型。

请勿超出您的权利范围。 请记住，OpenShift Container Platform 权利可以与其他云提供者一起使用，也可以在其他环境中使用。 为避免以后出现计费问题，请确保仅使用您有权使用的内容。 例如，您可能具有针对两个工作程序节点 4 CPU 和 16 GB 内存的 OCP 许可证的权利，并且您使用两个工作程序节点 4 CPU 和 16 GB 内存创建此工作程序池。 您使用了整个权利，但不能对其他工作程序池，云提供者或环境使用相同的权利。

能否在同一 Red Hat OpenShift on IBM Cloud 集群中安装多个 Cloud Pak?

是，但您可能需要添加更多工作程序节点，以便每个 Cloud Pak 都有足够的计算资源来运行。 此外，对于每个集群，只能安装同一 Cloud Pak 的一个实例 (例如 Cloud Pak for Data)，或者将多个实例安装到同一集群中的不同项目 (例如 Cloud Pak for Automation)。 有关大小调整信息，请参阅 Cloud Pak 文档。

Cloud Pak 中包含什么？

云包是捆绑、许可、容器化的软件，针对企业用例进行了优化，包括一致部署、访问控制和计费。 您可以根据自己的工作负载选择正确的软件虚拟处理器内核组合，从而在需要时灵活使用云包的各个部分。 此外，还可以随着工作负载的发展来更改虚拟处理器内核组合。

根据不同的 Cloud Pak，您可将获得许可的 IBM 软件与开放式源代码软件捆绑在一起，在日志记录、监视、安全性和访问功能方面获得统一的管理体验。

• IBM 产品：Cloud Paks 扩展了 IBM Marketplace 上的 许可软件和中间件，并将这些产品与您的集群集成，以现代化、优化和运行混合云工作负载。IBM
• 开源软件：云包可能还包括用于云原生和可移植混合云解决方案的开源组件。 通常，开放式源代码软件是不受管理的，您负责使组件保持最新且安全。 但是，Cloud Pak 可帮助您一致地管理 Cloud Pak 组件的整个生命周期以及使用这些组件运行的工作负载。 由于开放源码软件与 Cloud Pak 捆绑在一起，您可以获得 IBM 支持，并与 IBM Cloud 的部分功能（如访问控制和计费）集成。

要查看每个 Cloud Pak 的组件，请查阅 Cloud Pak 文档。

使用 Cloud Pak 我还需要了解什么？

在设置 Cloud Pak 时，可能需要使用 Red Hat OpenShift 特有的资源，如安全上下文限制。 确保使用 oc CLI 或 kubectl V1.12 CLI 与这些资源进行交互，例如 oc get scc。 kubectl CLI 版本 1.11 存在一个错误，即在对 Red Hat OpenShift 特定资源（如 kubectl get scc ）运行命令时会产生错误。

IBM 是否支持与集群一起使用的第三方和开放式源代码工具?

请参阅 IBM 开放式源代码和第三方策略。

我要为什么收费? 我能否估算和控制集群中的成本?

请参阅 管理集群的成本。

可以将集群降级到先前版本吗?

否，无法将集群降级到先前版本。

我能否将当前集群移动到其他帐户?

否，不能将集群移动到与在其中创建集群的帐户不同的帐户。

如何使集群保持受支持状态？

• 确保集群始终运行 支持的 Red Hat OpenShift 版本。
• 当一个新的 Red Hat OpenShift 次版本发布后，旧版本很快就会被淘汰，然后就不支持了。

有关更多信息，请参阅 更新主节点 和 工作程序节点。

如果集群正在运行不受支持的操作系统，将阻止哪些操作?

当操作系统不受支持时，将阻止以下操作:

• 工作程序重新装入
• 未更新的工作程序替换
• 工作程序替换为更新
• 工作程序更新
• 工作程序池创建 (使用不受支持的操作系统)
• 工作程序池重新平衡
• 工作程序池调整大小 (向上扩展)
• 工作程序池区域添加
• 实例组调整大小 (补丁)
• autoscaler 除去工作程序 (v2/autoscalerRemoveWorker)