Documentação do Oracle Cloud Infrastructure

Ir para o conteúdo principal

Gerenciador de Certificados

Ao ativar o complemento de cluster do Gerenciador de Certificados, você pode especificar os pares de chave/valor a seguir como argumentos.

Argumentos de Configuração Comuns à maioria dos Complementos de Cluster


Chave (API e CLI)	Nome para Exibição da Chave (Console)	Descrição	Obrigatório/Opcional	Valor Padrão	Valor de Exemplo
`affinity`	afinidade	Um grupo de regras de programação de afinidade. Formato JSON em texto simples ou codificado em Base64. Não utilizado por: Operador de GPU Nvidia Possíveis equivalentes: Descoberta de Recursos do Nó, use `master.affinity` Operador de Rede NVIDIA, use `operator.affinity` Driver SMB CSI, use `contoller.affinity` Operador de GPU AMD, use `controllerManager.affinity`	Opcional	nulo	nulo
`nodeSelectors`	seletores de nó	Você pode usar seletores de nó e labels de nó para controlar os nós de trabalho nos quais os pods complementares são executados. Para que um pod seja executado em um nó, o seletor de nós do pod deve ter a mesma chave/valor do label do nó. Defina `nodeSelectors` como um par de chave/valor que corresponda ao seletor de nós do pod e ao label do nó de trabalho. Formato JSON em texto simples ou codificado em Base64. Não utilizado por: Operador de GPU NVIDIA SMB do Driver CSI Possíveis equivalentes: Descoberta de Recursos do Nó, use `worker.nodeSelector` Operador de Rede NVIDIA, use `operator.nodeSelectors` Operador de GPU AMD, use `selector` ou `controllerManager.nodeSelector`	Opcional	nulo	`{"foo":"bar", "foo2": "bar2"}` O pod só será executado em nós que tenham o label `foo=bar` ou `foo2=bar2`.
`numOfReplicas`	numOfReplicas	O número de réplicas da implantação do complemento. Não utilizado por: Plug-in de GPU AMD Operador de GPU NVIDIA Operador de Rede NVIDIA SMB do Driver CSI Possíveis equivalentes: CoreDNS, use `nodesPerReplica` Descoberta de Recursos do Nó, use `master.replicaCount` Operador de GPU AMD, use `controllerManager.replicas`	Obrigatório	`1` Cria uma réplica da implantação do complemento por cluster.	`2` Cria duas réplicas da implantação do complemento por cluster.
`rollingUpdate`	rollingUpdate	Controla o comportamento desejado de atualização incremental por maxSurge e maxUnavailable. Formato JSON em texto simples ou codificado em Base64. Não utilizado por: Descoberta de Recurso do Nó Operador de Rede NVIDIA SMB do Driver CSI Possíveis equivalentes: Operador de GPU NVIDIA, use `daemonsets.rollingUpdate.maxUnavailable` Operador de GPU AMD, use `upgradePolicy` em `devicePlugin`, `metricsExporter`, `testRunner`, `configManager` ou `draDriver`	Opcional	nulo	nulo
`tolerations`	tolerâncias	Você pode usar taints e tolerations para controlar os nós de trabalho nos quais os pods complementares são executados. Para que um pod seja executado em um nó que tenha uma taint, o pod deve ter uma tolerância correspondente. Defina `tolerations` como um par de chave/valor que corresponda à tolerância do pod e à mancha do nó de trabalho. Formato JSON em texto simples ou codificado em Base64. Possíveis equivalentes: Descoberta de Recursos do Nó, use `master.tolerations` e/ou `worker.tolerations` Operador de GPU NVIDIA, use `daemonsets.tolerations` Operador de Rede NVIDIA, use `operator.tolerations` Driver SMB CSI, use `controller.tolerations` Operador de GPU AMD, usar tolerações em `devicePlugin`, `metricsExporter`, `testRunner`, `configManager`, `draDriver` ou `controllerManager`	Opcional	nulo	`[{"key":"tolerationKeyFoo", "value":"tolerationValBar", "effect":"noSchedule", "operator":"exists"}]` Somente pods que têm essa tolerância podem ser executados em nós de trabalho que têm a mancha `tolerationKeyFoo=tolerationValBar:noSchedule`.
`topologySpreadConstraints`	topologySpreadConstraints	Como distribuir pods correspondentes entre a topologia fornecida. Formato JSON em texto simples ou codificado em Base64. Não utilizado por: Descoberta de Recurso do Nó Operador de GPU NVIDIA Operador de Rede NVIDIA SMB do Driver CSI AMD GPU Operator	Opcional	nulo	nulo

Argumentos de Configuração Específicos para esta Extensão de Cluster


Chave (API e CLI)	Nome para Exibição da Chave (Console)	Descrição	Obrigatório/Opcional	Valor Padrão	Valor de Exemplo
`cert-manager-cainjector.ContainerResources`	recursos de contêiner cert-manager-cainjector	Você pode especificar as quantidades de recursos solicitadas pelos contêineres de complementos e definir limites de uso de recursos que os contêineres de complementos não podem exceder. Formato JSON em texto simples ou codificado em Base64.	Opcional	nulo	`{"limits": {"cpu": "500m", "memory": "200Mi" }, "requests": {"cpu": "100m", "memory": "100Mi"}}` Crie contêineres complementares que solicitem 100 mililitros de CPU e 100 mebibytes de memória. Limite os contêineres complementares a 500 milicores de CPU e 200 mebibytes de memória.
`cert-manager-controller.ContainerResources`	recursos de contêiner cert-manager-controller	Você pode especificar as quantidades de recursos solicitadas pelos contêineres de complementos e definir limites de uso de recursos que os contêineres de complementos não podem exceder. Formato JSON em texto simples ou codificado em Base64.	Opcional	nulo	`{"limits": {"cpu": "500m", "memory": "200Mi" }, "requests": {"cpu": "100m", "memory": "100Mi"}}` Crie contêineres complementares que solicitem 100 mililitros de CPU e 100 mebibytes de memória. Limite os contêineres complementares a 500 milicores de CPU e 200 mebibytes de memória.
`cert-manager-webhook.ContainerResources`	recursos de contêiner cert-manager-webhook	Você pode especificar as quantidades de recursos solicitadas pelos contêineres de complementos e definir limites de uso de recursos que os contêineres de complementos não podem exceder. Formato JSON em texto simples ou codificado em Base64.	Opcional	nulo	`{"limits": {"cpu": "500m", "memory": "200Mi" }, "requests": {"cpu": "100m", "memory": "100Mi"}}` Crie contêineres complementares que solicitem 100 mililitros de CPU e 100 mebibytes de memória. Limite os contêineres complementares a 500 milicores de CPU e 200 mebibytes de memória.

Considerações sobre Clusters Grandes

A tabela a seguir descreve considerações para configurar este complemento de cluster em clusters grandes.


Nome do Argumento	Número wrt de Atribuições dos Nós	Descrição	À medida que o tamanho do cluster aumenta	Riscos	Recomendação
`cert-manager-cainjector.ContainerResources`	S	Define recursos de CPU e memória para o Injetor de CA.	O Injetor de CA adiciona dados de CA a webhooks, definições de recursos personalizados e serviços de API. Conforme o tamanho do cluster aumenta: O número de definições de recursos personalizados e configurações de webhook pode aumentar. O número de operações de patch e atualização pode aumentar. As interações do servidor de API aumentam. A carga de trabalho aumenta moderadamente e geralmente é menor que a carga de trabalho do controlador do gerenciador de certificados.	Se os recursos forem subdimensionados: A injeção do bundle de CAs pode estar atrasada. Os Webhooks podem falhar porque os dados da CA estão ausentes.	Aumente os recursos moderadamente à medida que o tamanho do cluster aumenta. O Injetor de CA geralmente requer um dimensionamento de recursos menos agressivo do que o controlador do Gerenciador de Certificados.
`numOfReplicas`	N	Controla o número de réplicas dos componentes do Gerenciador de Certificados.	Réplicas adicionais melhoram a disponibilidade e a tolerância a falhas. O webhook pode ser dimensionado horizontalmente para lidar com um maior volume de solicitações de internação.	O throughput da controladora não aumenta linearmente com o número de réplicas. Alguns componentes usam a eleição do líder, de modo que apenas o líder ativo executa determinadas operações.	Use pelo menos duas ou três réplicas. Aumente o número de réplicas do webhook quando o volume de solicitações da API for alto.
`affinity` / `nodeSelectors` / `tolerations`	N	Controlar o posicionamento dos componentes do Gerenciador de Certificados.	O gerenciador de certificados é um componente crítico do plano de controle e pode ser afetado pela rotatividade de nós e pela contenção de recursos.	Se esses argumentos não forem configurados adequadamente: Os pods podem ser executados em nós instáveis ou sobrecarregados. Os componentes podem ser reiniciados. As operações de certificado podem estar atrasadas.	Execute os componentes do Gerenciador de Certificados em nós estáveis ou em pools de nós dedicados da infraestrutura ou do sistema. Configure tolerações quando os nós de destino estiverem contaminados.
`rollingUpdate`	N	Controla a estratégia de atualização de implantação.	Durante uma atualização: O tempo de inatividade da Controladora interrompe a reconciliação de certificados. O tempo de inatividade do Webhook pode fazer com que as solicitações de API falhem.	Todas as réplicas podem ser reiniciadas ao mesmo tempo. As operações de certificado podem estar temporariamente pausadas.	Defina `maxUnavailable` como `0` ou com o valor prático mais baixo. Manter a disponibilidade contínua dos componentes durante as atualizações.
`topologySpreadConstraints`	N	Controla como os pods são distribuídos entre nós e domínios de disponibilidade.	Impede que todas as réplicas sejam executadas no mesmo nó ou no mesmo domínio de disponibilidade. Melhora a resiliência a falhas de nó e domínio de disponibilidade.	Se as restrições de distribuição de topologia não estiverem configuradas: Todos os pods podem ser executados no mesmo nó ou no mesmo domínio de disponibilidade. Uma única falha pode tornar o webhook ou controlador indisponível.	Distribua réplicas entre diferentes nós e domínios de disponibilidade.
`cert-manager-controller.ContainerResources`	S	Define recursos de CPU e memória para o pod do controlador do Gerenciador de Certificados.	À medida que o tamanho do cluster aumenta, o número dos seguintes recursos pode aumentar: Certificados Solicitações de certificados Segredos As experiências do controlador: Um cache de informações maior Mais eventos de observação Conciliação mais frequente Mais interações do servidor de API	Se os recursos forem subdimensionados: A controladora pode ser encerrada porque excede seu limite de memória. A reconciliação de certificados pode ser lenta. A emissão e a renovação do certificado podem estar atrasadas. Um backlog de fila de eventos pode se desenvolver.	Aumente a memória para suportar o cache de informações maior. Aumente a CPU para suportar atividade de reconciliação adicional. Este é o argumento de dimensionamento de recursos mais importante do Gerenciador de Certificados.
`cert-manager-webhook.ContainerResources`	S	Define recursos de CPU e memória para o webhook do Gerenciador de Certificados.	O webhook valida e modifica os recursos do Gerenciador de Certificados. Conforme o tamanho do cluster aumenta: O número de solicitações de API pode aumentar. O número de chamadas de webhook de admissão pode aumentar. A carga da solicitação nesse componente sensível à latência aumenta.	Se os recursos forem subdimensionados: A latência da solicitação de admissão pode aumentar. As operações do servidor de API do Kubernetes podem ficar lentas. A criação do recurso pode falhar.	Aloque CPU suficiente para processamento de solicitações. Use dimensionamento moderado de memória.