Ressources OCI pour le programme d'installation basé sur un agent pour l'installation manuelle

Les compartiments permettent d'organiser et d'isoler des ressources en nuage. Nous vous recommandons de créer un nouveau compartiment pour la grappe OpenShift. Pour plus d'informations, voir Création d'un compartiment.

Les noeuds de calcul, les équilibreurs de charge et les autres ressources OpenShift utilisent un réseau en nuage virtuel (VCN) OCI pour se connecter. Voir Création d'un réseau VCN pour obtenir des instructions sur la création d'un réseau VCN.

Vous devez disposer des autorisations IAM pour gérer les réseaux en nuage virtuels et les ressources de réseau connexes dans le type de ressource agrégé virtual-network-family. Voir Gestion de l'accès aux ressources pour plus de détails. Notez que les autorisations réseau sont décrites dans la section Core Services.

Vous pouvez éventuellement utiliser des groupes de sécurité de réseau dans votre VCN pour contrôler l'accès. Voir Groupes de sécurité de réseau pour plus de détails sur l'utilisation des groupes de sécurité de réseau pour contrôler le trafic et l'accès au réseau. Notez que le groupe de sécurité de réseau doit se trouver dans le même compartiment que les autres ressources d'infrastructure OpenShfit.

Voir la page Ressources définies par Terraform pour OpenShift sur OCI sur GitHub pour plus de détails sur la configuration du VCN et du sous-réseau. Pour des définitions de ressource spécifiques, accédez aux dossiers pertinents du répertoire shared_modules et recherchez les ressources suivantes : oci_core_vcn, oci_core_internet_gateway, oci_core_nat_gateway, oci_core_route_table, oci_core_subnet et oci_core_network_security_group.

La grappe Red Hat OpenShift nécessite deux équilibreurs de charge, l'un pour le trafic réseau interne et l'autre pour le trafic externe. Voir Création d'un équilibreur de charge pour obtenir des instructions. Pour des détails de haut niveau sur les configurations d'équilibreur de charge, consultez la page Ressources définies par Terraform pour OpenShift sur OCI sur GitHub. Pour des définitions de ressource spécifiques, accédez au dossier pertinent dans le répertoire shared_modules et recherchez les ressources suivantes : oci_load_balancer_load_balancer, oci_load_balancer_backend_set et oci_load_balancer_listener.

Créer des enregistrements DNS pour l'acheminement du trafic réseau OpenShift interne et externe. Selon vos exigences en matière de réseau et de sécurité, créez une zone DNS publique, une zone DNS privée ou les deux. Une zone DNS privée ne peut être résolue que dans les réseaux Oracle (tels que votre VCN). Une zone DNS publique permet l'accès externe.

Chaque enregistrement DNS doit référencer les mêmes ID équilibreur de charge public et privé.

Voir Zones pour obtenir des instructions sur la création et la gestion des zones DNS.

Pour les détails de configuration DNS de haut niveau, voir la page Ressources définies par Terraform pour OpenShift sur OCI sur GitHub. Pour des définitions de ressource spécifiques, accédez au dossier pertinent dans le répertoire shared_modules et recherchez les ressources suivantes : oci_dns_zone et oci_dns_rrset.

Des marqueurs définis sont requis pour regrouper et identifier tous les plans de contrôle et noeuds de calcul.

À l'aide du service de marquage, créez deux espaces de noms de marqueur et définissez les marqueurs requis dans le compartiment que vous utilisez pour créer la grappe OpenShift :

• Espace de noms de marqueur : openshift-tags et openshift-{cluster_name}
• Noms et valeurs de marqueur définis :
• • Pour openshift-tags : openshift-resource
  • Pour openshift-{cluster_name} :
    • instance-role : control_plane ou compute (selon le type de noeud)
    • boot-volume-type : PARAVIRTUALIZED ou ISCSI

Ces marqueurs doivent être appliqués à toutes les ressources pertinentes lors du provisionnement. Pour plus d'informations, voir Marqueurs d'attribution de ressource.

Pour plus d'informations, voir Marqueurs et concepts d'espace de noms de marqueur.

Pour des instructions de haut niveau spécifiques à OpenShift sur OCI, voir la page Ressources définies par Terraform pour OpenShift sur OCI sur GitHub. Pour des définitions de ressource spécifiques, accédez au dossier pertinent dans le répertoire shared_modules et recherchez les ressources suivantes : oci_identity_tag_namespace et oci_identity_tag.

Les groupes dynamiques vous permettent de regrouper les instances de calcul Oracle Cloud Infrastructure (OCI) en tant qu'acteurs "principaux" (similaires aux groupes d'utilisateurs) pour accorder l'accès au moyen de politiques IAM.

Vous pouvez créer des politiques IAM (voir la section suivante) qui référencent ces groupes dynamiques pour contrôler l'accès aux ressources OCI. Pour obtenir des instructions, voir Gestion des groupes dynamiques. Pour des détails de haut niveau sur la configuration des groupes dynamiques, voir la page Ressources définies par Terraform pour OpenShift sur OCI sur GitHub. Pour des définitions de ressource spécifiques, accédez au dossier pertinent dans le répertoire shared_modules et recherchez la ressource suivante : oci_identity_dynamic_group.

Trois politiques IAM sont requises pour que le groupe dynamique de plan de contrôle OpenShift puisse accéder aux ressources OCI et les gérer lors de la création de la grappe. Ces politiques IAM sont requises pour le groupe dynamique master. Pour obtenir des instructions, voir Gestion des groupes dynamiques et Aperçu des politiques IAM. Pour des détails de haut niveau sur les configurations de politique de groupe dynamique, voir la page Ressources définies par Terraform pour OpenShift sur OCI sur GitHub. Pour des définitions de ressource spécifiques, accédez au dossier pertinent dans le répertoire shared_modules et recherchez la ressource suivante : oci_identity_policy.

• Politique d'accès aux ressources du plan de contrôle : Cette politique permet aux noeuds de plan de contrôle de gérer les ressources d'infrastructure de base. Le groupe dynamique pour les noeuds de plan de contrôle est nommé ${var.cluster_name}_control_plane_nodes
  • Nom de la politique : ${var.cluster_name}_control_plane_nodes
  • Compartiment : Compartiment de la grappe
  • Énoncés de la politique :

    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage volume-family in compartment id ${var.compartment_ocid}
    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage instance-family in compartment id ${var.compartment_ocid}
    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage security-lists in compartment id ${var.compartment_ocid}
    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to use virtual-network-family in compartment id ${var.compartment_ocid}
    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage load-balancers in compartment id ${var.compartment_ocid}
    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage objects in compartment id ${var.compartment_ocid}

• Politique d'accès au service de marquage des ressources de grappe : Cette politique accorde l'accès aux noeuds de plan de contrôle pour utiliser l'espace de noms openshift-tags pour marquer des ressources de grappe.
  • Nom de la politique : ${var.cluster_name}_control_plane_nodes_tags
  • Compartiment : Compartiment racine
  • Énoncé de politique :

    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to use tag-namespaces in tenancy

• Politique d'accès au réseau (facultatif) : Cette politique n'est requise que si les composants de réseau se trouvent dans un compartiment différent de celui des instances de grappe.

  • Nom de la politique : ${var.cluster_name}_control_plane_nodes_networking_access_policy

  • Compartiment : Compartiment de réseau
  • Énoncés de la politique :

    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage security-lists in compartment id ${var.networking_compartment_ocid}
    
    Allow dynamic-group ${oci_identity_dynamic_group.openshift_control_plane_nodes.name} to manage virtual-network-family in compartment id ${var.networking_compartment_ocid}  

Pour créer des noeuds de grappe pour la plate-forme de conteneur OpenShift à l'aide du programme d'installation basé sur un agent, vous devez disposer d'une image personnalisée du service de calcul qui contient le logiciel Red Hat nécessaire pour exécuter les noeuds de grappe. Pour créer cette image, vous devez effectuer les opérations suivantes :

1. Créez une image ISO de détection localement, à l'aide du fichier binaire openshift-install, disponible à partir de la console Red Hat Hybrid Cloud Console. Pour obtenir des instructions, voir Création de fichiers de configuration pour installer une grappe sur OCI (documentation sur Red Hat) (documentation sur Red Hat).
2. Chargez votre image ISO de détection dans le stockage d'objets OCI. Pour obtenir des instructions, voir Création d'un seau de stockage d'objets et Chargement d'un objet de stockage d'objets dans un seau.
3. Créez une image personnalisée dans un service de calcul basé sur la détection ISO. Pour obtenir des instructions, voir Gestion des images personnalisées.

Le programme d'installation basé sur un agent nécessite deux fichiers de configuration qui doivent être modifiés afin que vous puissiez utiliser le programme d'installation basé sur un agent pour générer l'image ISO de détection. Il s'agit des fichiers agent-config.yaml et install-config.yaml. Pour plus de détails, voir Création de fichiers de configuration pour l'installation d'une grappe sur OCI (documentation sur Red Hat).

Après avoir créé les fichiers agent-config.yaml et install-config.yaml, enregistrez-les localement. La structure de votre répertoire local doit être la suivante :

.
└── local_machine_work_directory/
    ├── agent-config.yaml
    ├── install-config.yaml
    └── openshift /
        ├── manifest.yml

Assurez-vous que votre pare-feu est configuré pour accorder l'accès aux sites requis par la plate-forme de conteneur OpenShift. Voir Configuration de votre pare-feu pour la plate-forme de conteneur OpenShift (documentation sur Red Hat) pour plus de détails sur la configuration de la liste d'autorisation de votre pare-feu pour la plate-forme de conteneur OpenShift.