Recursos de OCI para el instalador basado en agente para la instalación manual

Los compartimentos le permiten organizar y aislar recursos en la nube. Recomendamos crear un nuevo compartimento para el cluster OpenShift. Para obtener más información, consulte Creación de un compartimento.

Los nodos de cálculo OpenShift, los equilibradores de carga y otros recursos utilizan una red virtual en la nube (VCN) de OCI para conectarse. Consulte Creación de una VCN para obtener instrucciones sobre cómo crear una VCN.

Necesita permisos de IAM para gestionar las redes virtuales en la nube y los recursos de red relacionados en el tipo de recurso agregado virtual-network-family. Consulte Gestión de acceso a recursos para obtener detalles. Tenga en cuenta que los permisos de red se tratan en la sección Servicios principales.

Opcionalmente, puede utilizar grupos de seguridad de red (NSG) en la VCN para controlar el acceso. Consulte Grupos de seguridad de red para obtener más información sobre el uso de NSG para controlar el tráfico y el acceso a la red. Tenga en cuenta que el NSG debe estar en el mismo compartimento que los otros recursos de infraestructura OpenShfit.

Consulte la página Recursos definidos por Terraform para OpenShift en OCI en GitHub para obtener más información sobre la configuración de la subred y la VCN. Para definiciones de recursos específicas, acceda a las carpetas relevantes en el directorio shared_modules y busque los siguientes recursos: oci_core_vcn, oci_core_internet_gateway, oci_core_nat_gateway, oci_core_route_table, oci_core_subnet y oci_core_network_security_group.

El cluster OpenShift de Red Hat necesita dos equilibradores de carga, uno para el tráfico de red interno y otro para el tráfico externo. Consulte Creación de un equilibrador de carga para obtener instrucciones. Para obtener detalles generales sobre las configuraciones del equilibrador de carga, consulte la página Recursos definidos por Terraform para OpenShift en OCI en GitHub. Para definiciones de recursos específicas, acceda a la carpeta relevante en el directorio shared_modules y busque los siguientes recursos: oci_load_balancer_load_balancer, oci_load_balancer_backend_set y oci_load_balancer_listener.

Cree registros DNS para enrutar el tráfico de red OpenShift interno y externo. Según los requisitos de red y seguridad, cree una zona de DNS pública, una zona de DNS privada o ambas. Una zona de DNS privada solo se puede resolver en redes de Oracle (como su VCN). Una zona de DNS pública permite el acceso externo.

Cada registro DNS debe hacer referencia a los mismos ID de equilibradores de carga públicos y privados.

Consulte Zones para obtener instrucciones sobre cómo crear y gestionar zonas de DNS.

Para obtener información detallada sobre la configuración de DNS de alto nivel, consulte la página Recursos definidos por Terraform para OpenShift en OCI en GitHub. Para definiciones de recursos específicas, acceda a la carpeta correspondiente en el directorio shared_modules y busque los siguientes recursos: oci_dns_zone y oci_dns_rrset.

Las etiquetas definidas son necesarias para agrupar e identificar todos los nodos de cálculo y plano de control.

Mediante el servicio Tagging, cree dos espacios de nombres de etiqueta y defina las etiquetas necesarias en el compartimento que está utilizando para crear el cluster OpenShift:

• Espacio de nombres de etiqueta: openshift-tags y openshift-{cluster_name}
• Nombres y valores de etiquetas definidos:
• • Para openshift-tags: openshift-resource
  • Para openshift-{cluster_name}:
    • instance-role: control_plane o compute (en función del tipo de nodo)
    • boot-volume-type: PARAVIRTUALIZED o ISCSI

Estas etiquetas se deben aplicar a todos los recursos relevantes durante el aprovisionamiento. Para obtener más información, consulte Etiquetas de atribución de recursos.

Para obtener más información, consulte Etiquetas y conceptos de espacio de nombres de etiqueta.

Para obtener instrucciones de alto nivel específicas para OpenShift en OCI, consulte la página Recursos definidos por Terraform para OpenShift en OCI en GitHub. Para definiciones de recursos específicas, acceda a la carpeta correspondiente en el directorio shared_modules y busque los siguientes recursos: oci_identity_tag_namespace y oci_identity_tag.

Los grupos dinámicos permiten agrupar instancias informáticas de Oracle Cloud Infrastructure (OCI) como actores "principales" (similares a los grupos de usuarios) para otorgar acceso a través de políticas de IAM.

Puede crear políticas de IAM (que se describen en la siguiente sección) que hagan referencia a estos grupos dinámicos para controlar el acceso a los recursos de OCI. Consulte Gestión de grupos dinámicos para obtener instrucciones. Para obtener detalles de alto nivel sobre la configuración de grupos dinámicos, consulte la página Recursos definidos por Terraform para OpenShift en OCI en GitHub. Para definiciones de recursos específicas, acceda a la carpeta relevante en el directorio shared_modules y busque el siguiente recurso: oci_identity_dynamic_group.

Se necesitan tres políticas de IAM para que el grupo dinámico del plano de control OpenShift acceda a los recursos de OCI y los gestione durante la creación del cluster. Estas políticas de IAM son necesarias para el grupo dinámico master. Consulte Gestión de grupos dinámicos y Visión general de políticas de IAM para obtener instrucciones. Para obtener detalles de alto nivel sobre las configuraciones de políticas de grupo dinámico, consulte la página Recursos definidos por Terraform para OpenShift en OCI en GitHub. Para definiciones de recursos específicas, acceda a la carpeta relevante en el directorio shared_modules y busque el siguiente recurso: oci_identity_policy.

• Política de acceso a recursos del plano de control: esta política permite a los nodos del plano de control gestionar los recursos de infraestructura principales. El grupo dinámico para los nodos de plano de control se denomina ${var.cluster_name}_control_plane_nodes
  • Nombre de política:${var.cluster_name}_control_plane_nodes
  • Compartimento: compartimento de cluster
  • Sentencias de póliza:

    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage volume-family in compartment id ${var.compartment_ocid}
    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage instance-family in compartment id ${var.compartment_ocid}
    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage security-lists in compartment id ${var.compartment_ocid}
    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to use virtual-network-family in compartment id ${var.compartment_ocid}
    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage load-balancers in compartment id ${var.compartment_ocid}
    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage objects in compartment id ${var.compartment_ocid}

• Política de acceso de etiquetado de recursos de cluster: esta política otorga acceso a los nodos de plano de control para utilizar el espacio de nombres openshift-tags para etiquetar recursos de cluster.
  • Policy Name: ${var.cluster_name}_control_plane_nodes_tags
  • Compartment: compartimento raíz
  • Sentencia de política:

    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to use tag-namespaces in tenancy

• (Opcional) Política de acceso de red: esta política solo es necesaria si los componentes de red están en un compartimento diferente al de las instancias de cluster.

  • Nombre de política: ${var.cluster_name}_control_plane_nodes_networking_access_policy

  • Compartment: compartimento de red
  • Sentencias de políticas:

    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage security-lists in compartment id ${var.networking_compartment_ocid}
    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage virtual-network-family in compartment id ${var.networking_compartment_ocid}  

Para crear nodos de cluster para OpenShift Container Platform mediante Agent-based Installer, necesita una imagen personalizada del servicio Compute que contenga el software de Red Hat necesario para ejecutar los nodos de cluster. Para crear esta imagen, debe hacer lo siguiente:

1. Cree una imagen ISO de detección localmente, mediante el binario openshift-install, disponible en Red Hat Hybrid Cloud Console. Consulte Creación de archivos de configuración para instalar un cluster en OCI (documentación de Red Hat) (documentación de Red Hat) para obtener instrucciones.
2. Cargue la imagen ISO de detección en OCI Object Storage. Consulte Creating an Object Storage Bucket y Uploading an Object Storage to a Bucket para obtener instrucciones.
3. Cree una imagen personalizada en un servicio Compute según la ISO de detección. Consulte Gestión de imágenes personalizadas para obtener instrucciones.

El instalador basado en agente requiere dos archivos de configuración que se deben editar para que pueda utilizar el instalador basado en agente para generar la imagen ISO de detección. Estos son los archivos agent-config.yaml y install-config.yaml. Consulte Creación de archivos de configuración para instalar un cluster en OCI (documentación de Red Hat) para obtener más información.

Después de crear los archivos agent-config.yaml y install-config.yaml, guárdelos localmente. La estructura de directorios local debe ser la siguiente:

.
└── local_machine_work_directory/
    ├── agent-config.yaml
    ├── install-config.yaml
    └── openshift /
        ├── manifest.yml

Asegúrese de que el firewall está configurado para otorgar acceso a los sitios que necesita OpenShift Container Platform. Consulte Configuración del firewall para OpenShift Container Platform (documentación de Red Hat) para obtener más información sobre la configuración de la lista de permitidos del firewall para OpenShift Container Platform.