准备工作

在安装 ACM 附加组件之前，请查看以下前提步骤和信息。

1. 确保您的群集满足以下要求。
   • 您的集线器群集必须是 VPC 群集，至少有 3 个运行 RHCOS 的工作节点，至少有 6 个 VCPU 和 64GB 内存。 为实现高可用性，请确保群集在 3 个区域中每个区域至少有一个工作节点。
   • 每个托管群集必须至少有 3 个运行 RHCOS 的工作节点，至少有 6 个 VCPU 和 64GB 内存。
2. 查看 ACM 附加组件 自动安装的操作符，以及可以作为增强功能安装的 可选操作符。
3. 您必须拥有 IBM Cloud Kubernetes Service 中群集的 管理员平台访问角色和管理器服务访问角色。
4. 您必须拥有一个至少有 3 个工作节点的 VPC 集群。 每个工作节点必须至少有 4 个 CPU 和 16GB 内存。 为实现高可用性，请确保群集在 3 个区域中每个区域至少有一个工作节点。
5. 在群集上创建用于 ACM 的受信任配置文件。
6. 对于要使用 ACM 管理的每个群集，必须在集线器群集上创建一个秘密，其中包含受管群集的访问令牌和服务器 URL。 此步骤可在安装之前或之后完成。 请参阅“为 ACM 准备秘密”。
7. 安装或更新 CLI。

为 ACM 创建受信任的配置文件

请按照以下步骤创建一个用于 ACM 的受信任配置文件，并将其分配给中心集群。

一旦将受信任的配置文件添加到集群中，就无法将其移除，且无法恢复使用 API 密钥来管理您的资源。 请务必仔细按照以下步骤操作，以确保您的受信任配置文件设置正确。

为 ACM 准备秘密

对于要使用 ACM 管理的每个群集，必须在集线器群集上创建一个秘密，其中包括受管群集的访问令牌和服务器 URL。

如果要在 ACM 附加组件安装过程中导入托管群集，请在开始安装前完成以下步骤。 如果选择在集线器群集上安装附加组件后创建机密并导入托管群集，则可通过 CLI 完成 额外步骤。

对于每个需要管理的集群，请执行以下步骤。

1. 在要使用 ACM 管理的群集上，运行命令查找服务器 URL。 在输出中找到并记录主 URL 值。 这是秘密中要引用的服务器 URL。 您还可以在以下步骤中使用 URL。

   ibmcloud oc cluster get -c CLUSTER_NAME_OR_ID
   

   示例输出。

   NAME:                           mycluster
   ID:                             1234567
   State:                          normal
   Created:                        2025-01-22T19:22:16+0000
   Location:                       dal10
   Master URL:                     https://c100-e.<region>.containers.cloud.ibm.com:<port>
   ...
   

2. 获取 Red Hat OpenShift OAuth 服务器的基址 URL。 将 MASTER_URL 替换为上一步中找到的 URL。 该命令会提取不带 /oauth/token 后缀的 URL。

   curl -sS MASTER_URL/.well-known/oauth-authorization-server | jq -r .token_endpoint | sed 's#/oauth/token##'
   

   示例输出。

   https://c111-e.us-east.containers.cloud.ibm.com:31282
   

3. 使用上一步获取的端点来获取访问令牌。 执行以下 cURL 命令，将 URL 替换为上一步的输出结果，将 API_KEY 替换为您的 IBM Cloud API密钥。 在输出结果中，找到 Location 响应中包含的 ACCESS_TOKEN。 这是要包含在密文中的访问令牌。

   示例 curl 请求：

   curl -u 'apikey:API_KEY' -H "X-CSRF-Token: a" 'URL/oauth/authorize?client_id=openshift-challenging-client&response_type=token' -vvv
   

   示例输出。 ACCESS_TOKEN 包含在 Location 响应字符串中。

   < HTTP/1.1 302 Found
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Cache-Control: no-cache, no-store, max-age=0, must-revalidate
   < Expires: 0
   < Expires: Fri, 01 Jan 2030 00:00:00 GMT
   < Location: TOKEN_ENDPOINT/oauth/token/implicit#access_token=ACCESS_TOKEN&expires_in=86400&scope=user%3Afull&token_type=Bearer
   ...
   

4. 在集线器群集上，创建一个包含群集访问令牌和服务器 URL 的密文。 有关创建秘密的信息，请参阅 Kubernetes 文档中的 使用秘密。

   秘密示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: SECRET_NAME
     namespace: SECRET_NAMESPACE  # The namespace that the secret is to be created in
   type: Opaque
   stringData:
     token: ACCESS_TOKEN
     server: SERVER_URL
   

ACM 操作员

查看 ACM 附加组件自动安装的操作符，以及可以作为增强功能安装的可选操作符。

安装 ACM 后导入托管群集

有几种方法可以导入群集，用 ACM 进行管理。 在导入群集之前，请确保 已为 ACM 创建了所需的密文。

ACM 管理的所有群集必须属于一个群集集。 您可以创建新的群集集，也可以向 Default 群集集添加群集。 如果未指定群集集，托管群集将添加到 Default 选项中。

更新或删除托管群集

要从 ACM 实例中删除或更新托管群集，必须编辑集线器群集上 ACM 自定义资源的 managedClusters 部分。

1. 运行该命令编辑 ACM 资源。

   oc edit acmhub RESOURCE_NAME
   

2. 在资源的 managedClusters 部分，添加群集 ID、为 ACM 创建的群集密文名称、密文命名空间以及要为群集执行的操作。 格式参见下面的示例。 对于操作，请指定 Delete 或 Update。 请注意，删除群集不需要密文或密文命名空间。

   下面的示例删除了 cluster_id_1 并更新了 cluster_id_2。

   managedclusters:
     - clusterid: "cluster_id_1"
       action: "Delete"
     - clusterid: "cluster_id_2"
       secretname: "managed-secret-2"
       secretnamespace: "managed-namespace-2" # The namespace that the secret was created in
       action: "Update"
   

3. 保存并应用更改。

升级 ACM 版本

运行该命令将插件升级到新版本。

ibmcloud oc cluster addon update acm --cluster CLUSTER_ID --version ADD-ON_VERSION

要检查附加组件是否更新，请列出群集附加组件。 在输出中，查找 ACM 附加组件的详细信息。

ibmcloud oc cluster addon ls --cluster CLUSTER_ID

删除 ACM 附加组件

请按照以下步骤删除 ACM 附加组件。

1. 从集线器群集中删除 ACM 资源。

   oc delete acmhub RESOURCE_NAME
   

2. 删除资源后，移除 ACM 附加组件。 请指定相同的集群 ID。

   ibmcloud oc cluster addon disable acm -f --cluster CLUSTER_ID