流程

1. 创建 NodeFeatureDiscovery 资源来检测适合运行 Kata 容器的节点功能：

   1. 将以下 YAML 保存到 nfd.yaml 文件中：

      apiVersion: nfd.openshift.io/v1
      kind: NodeFeatureDiscovery
      metadata:
        name: nfd-kata
        namespace: openshift-nfd
      spec:
        operand:
          image: quay.io/openshift/origin-node-feature-discovery:4.10
          imagePullPolicy: Always
          servicePort: 12000
        workerConfig:
          configData: |
            sources:
               custom:
                 - name: "feature.node.kubernetes.io/runtime.kata"
                   matchOn:
                     - cpuId: ["SSE4", "VMX"]
                       loadedKMod: ["kvm", "kvm_intel"]
                     - cpuId: ["SSE4", "SVM"]
                       loadedKMod: ["kvm", "kvm_amd"]

   2. 创建 NodeFeatureDiscovery 自定义资源(CR)：

      $ oc create -f nfd.yaml

      输出示例

      nodefeaturediscovery.nfd.openshift.io/nfd-kata created

      feature.node.kubernetes.io/runtime.kata=true 标签应用到所有合格的 worker 节点。

2. 在 KataConfig 资源中将 checkNodeEligibility 字段设置为 true 来启用这个功能，例如：

   1. 将以下 YAML 保存到 kata-config.yaml 文件中：

      apiVersion: kataconfiguration.openshift.io/v1
      kind: KataConfig
      metadata:
        name: example-kataconfig
      spec:
        checkNodeEligibility: true

   2. 创建 KataConfig CR：

      $ oc create -f kata-config.yaml

      输出示例

      kataconfig.kataconfiguration.openshift.io/example-kataconfig created

流程

1. 从 Web 控制台中的 Administrator 视角，进入到 Operators → OperatorHub。
2. 在 Filter by keyword 字段中，输入 OpenShift sandboxed containers。
3. 选择 OpenShift sandboxed containers 标题。
4. 阅读 Operator 信息并单击 Install。

5. 在 Install Operator 页面中：

   1. 从可用 Update Channel 选项列表中选择 stable。

   2. 验证为 Installed Namespace 选择了 Operator recommended Namespace。这会在 openshift-sandboxed-containers-operator 命名空间中安装 Operator。如果此命名空间尚不存在，则会自动创建。

      注意

      尝试在 openshift-sandboxed-containers-operator 以外的命名空间中安装 OpenShift 沙盒容器 Operator 会导致安装失败。

   3. 验证是否为 Approval Strategy 选择了 Automatic。Automatic 是默认值，当有新的 z-stream 发行版本可用时，自动启用对 OpenShift 沙盒容器的自动更新。
6. 点 Install。

验证

1. 从 Web 控制台中的 Administrator 视角，导航到 Operators → Installed Operators。
2. 验证 OpenShift 沙盒容器 Operator 是否在 operator 列表中列出。

流程

1. 从 Web 控制台中的 Administrator 视角，导航到 Operators → Installed Operators。
2. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
3. 在 KataConfig 选项卡中，点 Create KataConfig。

4. 在 Create KataConfig 页面中，输入以下详情：

   • 名称 ：输入 KataConfig 资源的名称。默认情况下，名称定义为 example-kataconfig。
   • Labels （可选）：输入任何相关的、识别到 KataConfig 资源的属性。每个标签代表一个键值对。
   • checkNodeEligibility （可选，不与对等 pod 相关的）：选择此复选框以使用 Node Feature Discovery Operator (NFD)检测节点资格以作为 RuntimeClass 运行 kata。如需更多信息，请参阅"检查集群节点是否有资格运行 OpenShift 沙盒容器"。
   • enablePeerPods （对于对等 pod）：选择此复选框来启用对等 pod，并在公有云环境中使用 OpenShift 沙盒容器。

   • kataConfigPoolSelector ：默认情况下，kata 在所有节点上作为 RuntimeClass 安装。如果要在所选节点上安装 kata 作为 RuntimeClass，您必须添加一个 matchExpression ：

     1. 展开 kataConfigPoolSelector 区域。
     2. 在 kataConfigPoolSelector 中，展开 matchExpressions。这是标签选择器要求列表。
     3. 点 Add matchExpressions。
     4. 在 key 字段中，添加选择器应用到的标签键。
     5. 在 operator 字段中，添加键与标签值的关系。有效的运算符为 In、NotIn、Exists 和 DoesNotExist。
     6. 展开 values 区域，然后点 Add value。
     7. 在 Value 字段中，为 key 标签值输入 true 或 false。
   • loglevel ：定义为将 kata 作为 RuntimeClass 运行的节点检索的日志数据级别。如需更多信息，请参阅"收集 OpenShift 沙盒容器数据"。
5. 点 Create。

验证

1. 在 KataConfig 选项卡中，选择新的 KataConfig CR。
2. 在 KataConfig 页面中，选择 YAML 选项卡。

3. 监控 status 字段。

   每次有更新时都会出现一条消息。点 Reload 查看更新的 KataConfig CR。

   status 字段具有 条件和 kataNodes 子字段。kataNodes 子字段是节点列表的集合，每个节点都列出 kata 安装的特定状态的节点。

   当 kataNodes 下的所有 worker 都被列为，且条件 InProgress 为 False 时，它代表集群中安装 kata。如需更多信息，请参阅"安装和卸载转换"。

流程

1. 从 web 控制台中的 Administrator 视角，展开 Workloads 并选择您要创建的工作负载类型。
2. 在工作负载页面中，点击以创建工作负载。

3. 在工作负载的 YAML 文件中，在列出容器的 spec 字段中，添加 runtimeClassName: kata。

   Pod 对象示例

   apiVersion: v1
   kind: Pod
   metadata:
     name: hello-openshift
     labels:
       app: hello-openshift
   spec:
     runtimeClassName: kata
     containers:
       - name: hello-openshift
         image: quay.io/openshift/origin-hello-openshift
         ports:
           - containerPort: 8888
         securityContext:
           privileged: false
           allowPrivilegeEscalation: false
           runAsNonRoot: true
           runAsUser: 1001
           capabilities:
             drop:
               - ALL
           seccompProfile:
             type: RuntimeDefault

4. 点击 Save。

流程

1. 为 OpenShift 沙盒容器 Operator 创建 Namespace 对象。

   1. 创建一个包含以下清单的 Namespace 对象 YAML 文件：

      apiVersion: v1
      kind: Namespace
      metadata:
        name: openshift-sandboxed-containers-operator

   2. 创建 Namespace 对象：

      $ oc create -f Namespace.yaml

2. 为 OpenShift 沙盒容器 Operator 创建 OperatorGroup 对象。

   1. 创建一个包含以下清单的 OperatorGroup 对象 YAML 文件：

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: openshift-sandboxed-containers-operator
        namespace: openshift-sandboxed-containers-operator
      spec:
        targetNamespaces:
        - openshift-sandboxed-containers-operator

   2. 创建 OperatorGroup 对象：

      $ oc create -f OperatorGroup.yaml

3. 创建 Subscription 对象，以便为 OpenShift 沙盒容器 Operator 订阅命名空间。

   1. 创建一个包含以下内容的 Subscription 对象 YAML 文件：

      apiVersion: operators.coreos.com/v1alpha1
      kind: Subscription
      metadata:
        name: openshift-sandboxed-containers-operator
        namespace: openshift-sandboxed-containers-operator
      spec:
        channel: stable
        installPlanApproval: Automatic
        name: sandboxed-containers-operator
        source: redhat-operators
        sourceNamespace: openshift-marketplace
        startingCSV: sandboxed-containers-operator.v1.5.3

   2. 创建 Subscription 对象：

      $ oc create -f Subscription.yaml

流程

1. 使用以下清单创建 YAML 文件：

   apiVersion: kataconfiguration.openshift.io/v1
   kind: KataConfig
   metadata:
     name: cluster-kataconfig
   spec:
     checkNodeEligibility: false 1
     logLevel: info

   1

   将'checkNodeEligibility' 设置为 true，以检测节点资格作为 RuntimeClass 运行 kata。如需更多信息，请参阅"检查集群节点是否有资格运行 OpenShift 沙盒容器"。

2. （可选）如果只在所选节点上安装 kata 作为 RuntimeClass，请创建一个包含清单中的标签的 YAML 文件：

   apiVersion: kataconfiguration.openshift.io/v1
   kind: KataConfig
   metadata:
     name: cluster-kataconfig
   spec:
     checkNodeEligibility: false
     logLevel: info
     kataConfigPoolSelector:
       matchLabels:
         <label_key>: '<label_value>' 1

   1

   kataConfigPoolSelector 中的标签只支持单个值；不支持 nodeSelector 语法。

3. 创建 KataConfig 资源：

   $ oc create -f cluster-kataconfig.yaml

流程

1. 从 Web 控制台中的 Administrator 视角，进入到 Operators → OperatorHub。
2. 在 Filter by keyword 字段中，输入 OpenShift sandboxed containers。
3. 选择 OpenShift sandboxed containers 标题。
4. 阅读 Operator 信息并单击 Install。

5. 在 Install Operator 页面中：

   1. 从可用 Update Channel 选项列表中选择 stable。

   2. 验证为 Installed Namespace 选择了 Operator recommended Namespace。这会在 openshift-sandboxed-containers-operator 命名空间中安装 Operator。如果此命名空间尚不存在，则会自动创建。

      注意

      尝试在 openshift-sandboxed-containers-operator 以外的命名空间中安装 OpenShift 沙盒容器 Operator 会导致安装失败。

   3. 验证是否为 Approval Strategy 选择了 Automatic。Automatic 是默认值，当有新的 z-stream 发行版本可用时，自动启用对 OpenShift 沙盒容器的自动更新。
6. 点 Install。

验证

1. 从 Web 控制台中的 Administrator 视角，导航到 Operators → Installed Operators。
2. 验证 OpenShift 沙盒容器 Operator 是否在 operator 列表中列出。

流程

1. 从 Web 控制台中的 Administrator 视角，导航到 Operators → Installed Operators。
2. 从 Operator 列表中选择 OpenShift 沙盒容器 Operator。
3. 在 KataConfig 选项卡中，点 Create KataConfig。

4. 在 Create KataConfig 页面中，输入以下详情：

   • 名称 ：输入 KataConfig 资源的名称。默认情况下，名称定义为 example-kataconfig。
   • Labels （可选）：输入任何相关的、识别到 KataConfig 资源的属性。每个标签代表一个键值对。
   • checkNodeEligibility （可选，不与对等 pod 相关的）：选择此复选框以使用 Node Feature Discovery Operator (NFD)检测节点资格以作为 RuntimeClass 运行 kata。如需更多信息，请参阅"检查集群节点是否有资格运行 OpenShift 沙盒容器"。
   • enablePeerPods （对于对等 pod）：选择此复选框来启用对等 pod，并在公有云环境中使用 OpenShift 沙盒容器。

   • KataConfigPoolSelector ：默认情况下，kata-remote 在所有节点上作为 RuntimeClass 安装。如果要在所选节点上安装 kata-remote 作为 RuntimeClass，您必须添加一个 matchExpression ：

     1. 展开 kataConfigPoolSelector 区域。
     2. 在 kataConfigPoolSelector 中，展开 matchExpressions。这是标签选择器要求列表。
     3. 点 Add matchExpressions。
     4. 在 key 字段中，添加选择器应用到的标签键。
     5. 在 operator 字段中，添加键与标签值的关系。有效的运算符为 In、NotIn、Exists 和 DoesNotExist。
     6. 展开 values 区域，然后点 Add value。
     7. 在 Value 字段中，为 key 标签值输入 true 或 false。
   • loglevel ：定义为将 kata-remote 作为 RuntimeClass 运行的节点检索的日志数据级别。如需更多信息，请参阅"收集 OpenShift 沙盒容器数据"。
5. 点 Create。

验证

1. 在 KataConfig 选项卡中，选择新的 KataConfig CR。
2. 在 KataConfig 页面中，选择 YAML 选项卡。

3. 监控 status 字段。

   每次有更新时都会出现一条消息。点 Reload 查看更新的 KataConfig CR。

   status 字段具有 条件和 kataNodes 子字段。kataNodes 子字段是节点列表的集合，每个节点都列出 kata 安装的特定状态的节点。

   当 kataNodes 下的所有 worker 都被列为，且条件 InProgress 为 False 时，它代表集群中安装 kata。如需更多信息，请参阅"安装和卸载转换"。

流程

1. 从 web 控制台中的 Administrator 视角，展开 Workloads 并选择您要创建的工作负载类型。
2. 在工作负载页面中，点击以创建工作负载。
3. 在工作负载的 YAML 文件中，在列出容器的 spec 字段中，添加 runtimeClassName: kata-remote。

4. 在工作负载的 YAML 文件中，添加一个注解来定义是否使用默认实例大小或类型，或自动实例大小或类型。实例大小用于特定的云提供商，而实例类型则用于其他云提供商。

   • 对于特定实例大小类型，添加以下注解：

     io.katacontainers.config.hypervisor.machine_type: <instance type/instance size>

     定义工作负载应使用的实例大小或类型。在为对等 pod 创建 ConfigMap 时，预定义的这些默认大小或类型。从其中之一选择。

   • 对于自动实例大小或类型，添加以下注解：

     io.katacontainers.config.hypervisor.default_vcpus: <vcpus>
     io.katacontainers.config.hypervisor.default_memory: <memory>

     定义可供工作负载使用的内存量。工作负载将根据可用内存量在自动实例大小或类型上运行。

   Pod 对象示例

   apiVersion: v1
   kind: Pod
   metadata:
     name: hello-openshift
     labels:
       app: hello-openshift
     annotations:
       io.katacontainers.config.hypervisor.machine_type: Standard_DC4as_v5 1
   spec:
     runtimeClassName: kata-remote
     containers:
       - name: hello-openshift
         image: quay.io/openshift/origin-hello-openshift
         ports:
           - containerPort: 8888
         securityContext:
           privileged: false
           allowPrivilegeEscalation: false
           runAsNonRoot: true
           runAsUser: 1001
           capabilities:
             drop:
               - ALL
           seccompProfile:
             type: RuntimeDefault

   1

   本例使用之前定义的实例大小用于使用 Azure 的对等 pod。使用 AWS 的对等 pod 使用实例类型。

5. 点击 Save。

流程

1. 为 OpenShift 沙盒容器 Operator 创建 Namespace 对象。

   1. 创建一个包含以下清单的 Namespace 对象 YAML 文件：

      apiVersion: v1
      kind: Namespace
      metadata:
        name: openshift-sandboxed-containers-operator

   2. 创建 Namespace 对象：

      $ oc create -f Namespace.yaml

2. 为 OpenShift 沙盒容器 Operator 创建 OperatorGroup 对象。

   1. 创建一个包含以下清单的 OperatorGroup 对象 YAML 文件：

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: openshift-sandboxed-containers-operator
        namespace: openshift-sandboxed-containers-operator
      spec:
        targetNamespaces:
        - openshift-sandboxed-containers-operator

   2. 创建 OperatorGroup 对象：

      $ oc create -f OperatorGroup.yaml

3. 创建 Subscription 对象，以便为 OpenShift 沙盒容器 Operator 订阅命名空间。

   1. 创建一个包含以下内容的 Subscription 对象 YAML 文件：

      apiVersion: operators.coreos.com/v1alpha1
      kind: Subscription
      metadata:
        name: openshift-sandboxed-containers-operator
        namespace: openshift-sandboxed-containers-operator
      spec:
        channel: stable
        installPlanApproval: Automatic
        name: sandboxed-containers-operator
        source: redhat-operators
        sourceNamespace: openshift-marketplace
        startingCSV: sandboxed-containers-operator.v1.5.3

   2. 创建 Subscription 对象：

      $ oc create -f Subscription.yaml

流程

1. 使用以下清单创建 YAML 文件：

   apiVersion: kataconfiguration.openshift.io/v1
   kind: KataConfig
   metadata:
     name: cluster-kataconfig
   spec:
     enablePeerPods: true
     logLevel: info

2. （可选）如果您要仅在所选节点上安装 kata-remote 作为 RuntimeClass，请创建一个包含清单中的标签的 YAML 文件：

   apiVersion: kataconfiguration.openshift.io/v1
   kind: KataConfig
   metadata:
     name: cluster-kataconfig
   spec:
     enablePeerPods: true
     logLevel: info
     kataConfigPoolSelector:
       matchLabels:
         <label_key>: '<label_value>' 1

   1

   kataConfigPoolSelector 中的标签只支持单个值；不支持 nodeSelector 语法。

3. 创建 KataConfig 资源：

   $ oc create -f cluster-kataconfig.yaml

流程

1. 将 runtimeClassName: kata-remote 添加到任何 pod 模板对象中：

   • Pod 对象
   • ReplicaSet 对象
   • ReplicationController 对象
   • StatefulSet 对象
   • Deployment 对象
   • deploymentConfig 对象

2. 向 pod 模板对象添加注解，定义是否使用特定实例大小或类型，或者自动实例大小或类型。实例大小用于特定的云提供商，而实例类型则用于其他云提供商。

   • 对于特定实例大小或类型，添加以下注解：

     io.katacontainers.config.hypervisor.machine_type: <instance type/instance size>

     定义工作负载应使用的实例大小或类型。在为对等 pod 创建 ConfigMap 时，预定义的这些默认大小或类型。从其中之一选择。

   • 对于自动实例大小或类型，添加以下注解：

     io.katacontainers.config.hypervisor.default_vcpus: <vcpus>
     io.katacontainers.config.hypervisor.default_memory: <memory>

     定义可供工作负载使用的内存量。工作负载将根据可用内存量在自动实例大小或类型上运行。

   Pod 对象示例

   apiVersion: v1
   kind: Pod
   metadata:
     name: hello-openshift
     labels:
       app: hello-openshift
     annotations:
       io.katacontainers.config.hypervisor.machine_type: Standard_DC4as_v5 1
   spec:
     runtimeClassName: kata-remote
     containers:
       - name: hello-openshift
         image: quay.io/openshift/origin-hello-openshift
         ports:
           - containerPort: 8888
         securityContext:
           privileged: false
           allowPrivilegeEscalation: false
           runAsNonRoot: true
           runAsUser: 1001
           capabilities:
             drop:
               - ALL
           seccompProfile:
             type: RuntimeDefault

   1

   本例使用之前定义的实例大小用于使用 Azure 的对等 pod。使用 AWS 的对等 pod 使用实例类型。

流程

1. 从 Administrator 视角中，进入到 Workloads → Pods。
2. 使用 Search by name 字段搜索您要删除的 pod。
3. 点 pod 名称打开它。
4. 在 Details 页面中，检查已针对 Runtime 类 显示 kata。
5. 点 Actions 菜单，再选择 Delete Pod。
6. 在确认窗口中点击 Delete。

流程

1. 从 Administrator 视角中，进入到 Operators → Installed Operators。
2. 使用 Search by name 字段搜索 OpenShift 沙盒容器 Operator。
3. 点 Operator 打开它，然后选择 KataConfig 选项卡。
4. 点 KataConfig 资源的 Options 菜单 ，然后选择 Delete KataConfig。
5. 在确认窗口中点击 Delete。

流程

1. 从 Administrator 视角中，进入到 Operators → Installed Operators。
2. 使用 Search by name 字段搜索 OpenShift 沙盒容器 Operator。
3. 点击 Operator 的 Options 菜单 并选择 Uninstall Operator。
4. 在确认窗口中点 Uninstall。

流程

1. 从 Administrator 视角中，进入到 Administration → Namespaces。
2. 使用 Search by name 字段搜索 openshift-sandboxed-containers-operator 命名空间。

3. 点命名空间的 Options 菜单 并选择 Delete Namespace。

   注意

   如果 Delete Namespace 选项不可用，代表您没有删除命名空间的权限。

4. 在 Delete Namespace 窗格中，输入 openshift-sandboxed-containers-operator 并点 Delete。
5. 点击 Delete。

流程

1. 从 Administrator 视角，进入到 Administration → CustomResourceDefinitions。
2. 使用 Search by name 字段搜索 KataConfig。
3. 点 KataConfig CRD 的 Options 菜单，然后选择 Delete CustomResourceDefinition。
4. 在确认窗口中点击 Delete。
5. 等待 KataConfig CRD 会从列表中消失。这可能需要几分钟。

流程

1. 运行以下命令，搜索使用 kata 作为 runtimeClass 的 pod：

   $ oc get pods -A -o json | jq -r '.items[] | select(.spec.runtimeClassName == "kata").metadata.name'

2. 要删除每个 pod，请运行以下命令：

   $ oc delete pod <pod-name>

流程

1. 运行以下命令来删除 KataConfig 自定义资源：

   $ oc delete kataconfig <KataConfig_CR_Name>

流程

1. 运行以下命令，从订阅中获取 OpenShift 沙盒容器的集群服务版本 (CSV) 名称：

   CSV_NAME=$(oc get csv -n openshift-sandboxed-containers-operator -o=custom-columns=:metadata.name)

2. 运行以下命令，从 Operator Lifecyle Manager（OLM）中删除 OpenShift 沙盒容器 Operator 订阅：

   $ oc delete subscription sandboxed-containers-operator -n openshift-sandboxed-containers-operator

3. 运行以下命令，删除 OpenShift 沙盒容器的 CSV 名称：

   $ oc delete csv ${CSV_NAME} -n openshift-sandboxed-containers-operator

4. 运行以下命令来获取 OpenShift 沙盒容器 Operator 组名称：

   $ OG_NAME=$(oc get operatorgroup -n openshift-sandboxed-containers-operator -o=jsonpath={..name})

5. 运行以下命令来删除 OpenShift 沙盒容器 Operator 组名称：

   $ oc delete operatorgroup ${OG_NAME} -n openshift-sandboxed-containers-operator

6. 运行以下命令来删除 OpenShift 沙盒容器命名空间：

   $ oc delete namespace openshift-sandboxed-containers-operator

流程

1. 运行以下命令来删除 KataConfig CRD：

   $ oc delete crd kataconfigs.kataconfiguration.openshift.io

流程

1. 从 OpenShift Container Platform 的 Administrator 视角，进入到 Operators → Installed Operators。
2. 选择 OpenShift 沙盒容器 Operator 并进入 KataConfig 选项卡。
3. 使用 Search by name 字段搜索 KataConfig 资源。KataConfig 资源的默认名称为 example-kataconfig。
4. 选择 KataConfig 资源，再进入 KataConfig 选项卡。

5. 修改 kataMonitorImage 的版本号：

       checkNodeEligibility: false
       kataConfigPoolSelector: null
       kataMonitorImage: 'registry.redhat.io/openshift-sandboxed-containers/osc-monitor-rhel8:1.3.0'

6. 点击 Save。