创建 Azure Red Hat OpenShift 4 专用群集

在本文中，您将准备环境以创建运行 OpenShift 4 的 Azure Red Hat OpenShift 专用群集。 你将学会如何：

如果选择在本地安装并使用 CLI，本教程要求运行 Azure CLI 2.30.0 或更高版本。 若要查找版本，请运行 az --version 命令。 如果需要进行安装或升级，请参阅安装 Azure CLI。

在您开始之前

注册资源提供程序

1. 如果有多个 Azure 订阅，请指定相关订阅 ID：

   az account set --subscription <SUBSCRIPTION ID>
   

2. 注册 Microsoft.RedHatOpenShift 资源提供程序：

   az provider register -n Microsoft.RedHatOpenShift --wait
   

3. 注册 Microsoft.Compute 资源提供程序（如果尚未注册）：

   az provider register -n Microsoft.Compute --wait
   

4. 注册 Microsoft.Network 资源提供程序（如果尚未注册）：

   az provider register -n Microsoft.Network --wait
   

5. 注册 Microsoft.Storage 资源提供程序（如果尚未注册）：

   az provider register -n Microsoft.Storage --wait
   

获取 Red Hat 拉取机密（可选）

Red Hat 拉取机密使群集能够访问 Red Hat 容器注册表以及其他内容。 此步骤是可选的，但建议执行。

1. 转到 Red Hat OpenShift 群集管理器门户 并登录。

   使用企业电子邮件登录 Red Hat 帐户或创建新的 Red Hat 帐户，并接受条款和条件。

2. 单击“下载提取密钥”。

将保存的 pull-secret.txt 文件保存在一个安全的位置 - 每次创建群集时都要使用该文件。

运行 az aro create 命令时，可以使用 --pull-secret @pull-secret.txt 参数引用拉取机密。 从存储 az aro create 文件的目录执行 pull-secret.txt。 否则，将 @pull-secret.txt 替换为 @<path-to-my-pull-secret-file。

如果要复制拉取机密或在其他脚本中引用它，则应将拉取机密的格式设置为有效的 JSON 字符串。

创建包含两个空子网的虚拟网络

接下来，创建包含两个空子网的虚拟网络。

1. 设置以下变量。

   LOCATION=eastus                 # the location of your cluster
   RESOURCEGROUP="v4-$LOCATION"    # the name of the resource group where you want to create your cluster
   CLUSTER=aro-cluster             # the name of your cluster
   

2. 创建资源组

   Azure 资源组是用于部署和管理 Azure 资源的逻辑组。 创建资源组时，指定一个位置。 此位置是资源组元数据的存储位置，如果你在创建资源期间未指定另一个区域，则它还是你的资源在 Azure 中的运行位置。 使用 az group create 命令创建资源组。

   az group create --name $RESOURCEGROUP --location $LOCATION
   

   以下示例输出显示已成功创建资源组：

   {
   "id": "/subscriptions/<guid>/resourceGroups/aro-rg",
   "location": "eastus",
   "managedBy": null,
   "name": "aro-rg",
   "properties": {
       "provisioningState": "Succeeded"
   },
   "tags": null
   }
   

3. 创建虚拟网络。

   运行 OpenShift 4 的 Azure Red Hat OpenShift 群集需要一个包含两个空子网（用于控制节点和工作器节点）的虚拟网络。

   在之前创建的同一资源组中创建新的虚拟网络。

   az network vnet create \
   --resource-group $RESOURCEGROUP \
   --name aro-vnet \
   --address-prefixes 10.0.0.0/22
   

   以下示例输出显示已成功创建了虚拟网络：

   {
     "newVNet": {
       "addressSpace": {
         "addressPrefixes": [
           "10.0.0.0/22"
         ]
       },
       "id": "/subscriptions/<guid>/resourceGroups/aro-rg/providers/Microsoft.Network/virtualNetworks/aro-vnet",
       "location": "eastus",
       "name": "aro-vnet",
       "provisioningState": "Succeeded",
       "resourceGroup": "aro-rg",
       "type": "Microsoft.Network/virtualNetworks"
     }
   }
   

4. 为主节点添加一个空的子网。

   az network vnet subnet create \
   --resource-group $RESOURCEGROUP \
   --vnet-name aro-vnet \
   --name master-subnet \
   --address-prefixes 10.0.0.0/23 \
   --service-endpoints Microsoft.ContainerRegistry
   

5. 为工作节点添加空子网。

   az network vnet subnet create \
   --resource-group $RESOURCEGROUP \
   --vnet-name aro-vnet \
   --name worker-subnet \
   --address-prefixes 10.0.2.0/23 \
   --service-endpoints Microsoft.ContainerRegistry
   

6. 在主子网上禁用子网专用终结点策略。 为了能够连接和管理群集，必须执行此操作。

   az network vnet subnet update \
   --name master-subnet \
   --resource-group $RESOURCEGROUP \
   --vnet-name aro-vnet \
   --private-link-service-network-policies Disabled
   

创建群集

运行以下命令以创建群集。 （可选）可以传递 Red Hat 拉取机密，这样使群集能够访问 Red Hat 容器注册表以及其他内容。

az aro create \
  --resource-group $RESOURCEGROUP \
  --name $CLUSTER \
  --vnet aro-vnet \
  --master-subnet master-subnet \
  --worker-subnet worker-subnet \
  --apiserver-visibility Private \
  --ingress-visibility Private
  # --domain foo.example.com # [OPTIONAL] custom domain
  # --pull-secret @pull-secret.txt # [OPTIONAL]

az aro create 命令通常需要大约 35 分钟来创建群集。

创建不包含公共 IP 地址的专用群集

通常，专用群集是使用公共 IP 地址和负载均衡器创建的，提供了一种与其他服务建立出站连接的方法。 但是，你可以创建不包含公共 IP 地址的专用群集。 在安全或策略要求禁止使用公共 IP 地址的情况下，可能需要这样做。

若要创建没有公共 IP 地址的专用群集，请遵循上述过程，将参数 --outbound-type UserDefinedRouting 添加到 aro create 命令，如以下示例所示：

az aro create \
  --resource-group $RESOURCEGROUP \
  --name $CLUSTER \
  --vnet aro-vnet \
  --master-subnet master-subnet \
  --worker-subnet worker-subnet \
  --apiserver-visibility Private \
  --ingress-visibility Private \
  --outbound-type UserDefinedRouting

此“用户定义的路由”选项可防止预配公共 IP 地址。 借助用户定义的路由 (UDR)，可以在 Azure 中创建自定义路由，以替代默认系统路由，或者向子网的路由表添加更多路由。 请参阅虚拟网络流量路由了解详细信息。

对于出口，“用户定义的路由”选项可确保新创建的群集已启用出口锁定功能，以便保护来自新专用群集的出站流量。 有关详细信息，请参阅 控制 Azure Red Hat OpenShift 群集的出口流量 。

可以将一个或多个出口 IP 地址配置为一个命名空间或专用群集的命名空间中没有公共 IP 地址的特定 Pod。 为此，请按照上述过程创建没有公共 IP 地址的专用群集，然后按照此 Red Hat OpenShift 文档配置出口 IP。 这些出口 IP 地址需要来自与群集关联的子网。

只有具有 --outbound-type UserDefinedRouting 参数的群集才支持为专用群集配置出口 IP。 具有 --outbound-type LoadBalancer 参数的公共群集不支持它。

连接到专用群集

可以使用 kubeadmin 用户登录到群集。 请运行以下命令，找到 kubeadmin 用户的密码。

az aro list-credentials \
  --name $CLUSTER \
  --resource-group $RESOURCEGROUP

在以下示例输出中，密码位于 kubeadminPassword 中。

{
  "kubeadminPassword": "<generated password>",
  "kubeadminUsername": "kubeadmin"
}

可以通过运行以下命令查找群集控制台 URL，它类似于 https://console-openshift-console.apps.<random>.<region>.aroapp.io/

 az aro show \
    --name $CLUSTER \
    --resource-group $RESOURCEGROUP \
    --query "consoleProfile.url" -o tsv

在浏览器中启动控制台 URL，然后使用 kubeadmin 凭据登录。

安装 OpenShift CLI

登录到 OpenShift Web 控制台后，选择 ? 右上角，然后在 命令行工具上。 下载适用于你的计算机的版本。

还可以下载适用于你的计算机的最新版本的 CLI。

使用 OpenShift CLI 进行连接

检索 API 服务器的地址。

apiServer=$(az aro show --resource-group $RESOURCEGROUP --name $CLUSTER --query apiserverProfile.url --output tsv)

使用以下命令登录到 OpenShift 群集的 API 服务器。 将 <kubeadmin password> 替换为您检索到的密码。

oc login $apiServer --username kubeadmin --password <kubeadmin password>

后续步骤

在本文中，部署了一个运行 OpenShift 4 的 Azure Red Hat OpenShift 群集。 你已了解如何执行以下操作：

转到下一篇文章，了解如何使用 Microsoft Entra ID 配置用于进行身份验证的群集。

• 使用命令行配置 Microsoft Entra ID 身份验证
• 使用 Azure 门户和 OpenShift Web 控制台配置 Microsoft Entra ID 身份验证