流程

1. 创建 OpenShift Cluster Manager 角色并将其链接到您的红帽机构：

   注意

   要使用 OpenShift Cluster Manager Hybrid Cloud Console 启用特定于集群 Operator 角色和 OpenID Connect (OIDC)供应商的自动部署，您必须在创建 ROSA 集群的 Accounts and roles 步骤中选择 Admin OCM role 命令将管理特权应用到角色。如需有关 OpenShift Cluster Manager 角色的基本和管理特权的更多信息，请参阅了解 AWS 帐户关联。

   注意

   如果您在 OpenShift Cluster Manager Hybrid Cloud Console 中创建 ROSA 集群的 Accounts and roles 步骤中选择了 Basic OCM role 命令，则必须使用手动模式部署 ROSA 集群。系统将提示您在后续步骤中配置特定于集群的 Operator 角色和 OpenID Connect (OIDC)供应商。

   $ rosa create ocm-role

   选择提示符处的默认值，以快速创建和连接角色。

2. 创建用户角色并将其链接到您的红帽用户帐户：

   $ rosa create user-role

   选择提示符处的默认值，以快速创建和连接角色。

   注意

   红帽用户帐户必须存在于红帽机构中，该机构链接到您的 OpenShift Cluster Manager 角色。

流程

1. 检查 AWS 帐户是否有现有的角色和策略：

   $ rosa list account-roles

2. 如果您的 AWS 帐户中不存在它们，请创建所需的集群范围的 STS 角色和策略：

   $ rosa create account-roles

   选择提示中的默认值，以快速创建角色和策略。

流程

1. 要将 OIDC 配置与 AWS 资源一同创建，请运行以下命令：

   $ rosa create oidc-config --mode=auto --yes

   此命令返回以下信息：

   输出示例

   ? Would you like to create a Managed (Red Hat hosted) OIDC Configuration Yes
   I: Setting up managed OIDC configuration
   I: To create Operator Roles for this OIDC Configuration, run the following command and remember to replace <user-defined> with a prefix of your choice:
   	rosa create operator-roles --prefix <user-defined> --oidc-config-id 13cdr6b
   If you are going to create a Hosted Control Plane cluster please include '--hosted-cp'
   I: Creating OIDC provider using 'arn:aws:iam::4540112244:user/userName'
   ? Create the OIDC provider? Yes
   I: Created OIDC provider with ARN 'arn:aws:iam::4540112244:oidc-provider/dvbwgdztaeq9o.cloudfront.net/13cdr6b'

   在创建集群时，您必须提供 OIDC 配置 ID。CLI 输出为 --mode auto 提供这个值，否则您必须根据 --mode manual 的 aws CLI 输出确定这些值。

2. 可选： 您可以将 OIDC 配置 ID 保存为变量，以便稍后使用。运行以下命令来保存变量：

   $ export OIDC_ID=<oidc_config_id>1

   1

   在上面的示例输出中，OIDC 配置 ID 是 13cdr6b。

   • 运行以下命令，查看变量的值：

     $ echo $OIDC_ID

     输出示例

     13cdr6b

流程

1. 导航到 OpenShift Cluster Manager 并选择 Create cluster。
2. 在 Create a OpenShift cluster 页面中，在 Red Hat OpenShift Service on AWS (ROSA) 行中选择 Create cluster。

3. 验证您的 AWS 帐户 ID 是否在关联的 AWS 帐户 下拉菜单中列出，且安装程序、支持、worker 和 control plane 帐户角色 Amazon Resource Names (ARN) 是否在 Accounts 和 roles 页面中列出。

   注意

   如果没有列出 AWS 帐户 ID，请检查您是否成功将 AWS 帐户与红帽机构相关联。如果没有列出您的帐户角色 ARN，请检查 AWS 帐户中是否存在所需的集群范围的 STS 角色。

4. 点击 Next。

5. 在 Cluster details 页面中，输入 Cluster name。将默认值留在剩余的字段中，然后点 Next。

   注意

   集群创建生成域前缀，作为您在 openshiftapps.com 上置备的集群的子域。如果集群名称小于或等于 15 个字符，该名称用于域前缀。如果集群名称超过 15 个字符，则域前缀会随机生成给 15 个字符的字符串。要自定义子域，请选择 Create custom domain prefix 复选框，然后在 Domain prefix 字段中输入您的域前缀名称。

6. 要快速部署集群，保留 Cluster settings, Networking, Cluster roles and policies, 和 Cluster updates 页中的默认选项，点每个页中的 Next。
7. 在 Review your ROSA cluster 页中，查看您选择的概述并点 Create cluster 开始安装。

流程

1. 导航到 OpenShift Cluster Manager 并选择 Create cluster。
2. 在 Create a OpenShift cluster 页面中，在 Red Hat OpenShift Service on AWS (ROSA) 行中选择 Create cluster。

3. 如果自动检测到 AWS 帐户，帐户 ID 会在 关联的 AWS 帐户 下拉菜单中列出。如果没有自动检测到 AWS 帐户，点 Select a account → associated AWS account 并按照以下步骤操作：

   1. 在 Authenticate 页面上，单击 rosa login 命令旁边的复制按钮。命令包括您的 OpenShift Cluster Manager API 登录令牌。

      注意

      您还可以在 OpenShift Cluster Manager 上的 OpenShift Cluster Manager API Token 页面中加载 API 令牌。

   2. 在 CLI 中运行复制的命令以登录到您的 ROSA 帐户。

      $ rosa login --token=<api_login_token> 1

      1

      将 <api_login_token > 替换为复制命令中提供的令牌。

      输出示例

      I: Logged in as '<username>' on 'https://api.openshift.com'

   3. 在 OpenShift Cluster Manager 中的 Authenticate 页面上，单击 Next。

   4. 在 OCM 角色页面中，点 Basic OCM role 或 Admin OCM role 命令旁边的复制按钮。

      基本角色可让 OpenShift Cluster Manager 检测 ROSA 所需的 AWS IAM 角色和策略。admin 角色还启用角色和策略的检测。另外，admin 角色允许使用 OpenShift Cluster Manager 自动部署特定于集群 Operator 角色和 OpenID Connect (OIDC) 供应商。

   5. 在 CLI 中运行复制的命令，并按照提示创建 OpenShift Cluster Manager IAM 角色。以下示例使用默认选项创建基本 OpenShift Cluster Manager IAM 角色：

      $ rosa create ocm-role

      输出示例

      I: Creating ocm role
      ? Role prefix: ManagedOpenShift 1
      ? Enable admin capabilities for the OCM role (optional): No 2
      ? Permissions boundary ARN (optional):  3
      ? Role Path (optional): 4
      ? Role creation mode: auto 5
      I: Creating role using 'arn:aws:iam::<aws_account_id>:user/<aws_username>'
      ? Create the 'ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' role? Yes
      I: Created role 'ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' with ARN 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>'
      I: Linking OCM role
      ? OCM Role ARN: arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>
      ? Link the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' role with organization '<red_hat_organization_id>'? Yes 6
      I: Successfully linked role-arn 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' with organization account '<red_hat_organization_id>'

      1

      指定要在 OCM IAM 角色名称中包含的前缀。默认值为 ManagedOpenShift。每个 AWS 帐户只能为红帽机构创建一个 OCM 角色。

      2

      启用 admin OpenShift Cluster Manager IAM 角色，该角色等同于指定 --admin 参数。如果要使用 Auto 模式使用 OpenShift Cluster Manager 自动置备特定于集群的 Operator 角色和 OIDC 供应商，则需要 admin 角色。

      3

      可选：为角色指定一个权限边界 Amazon Resource Name (ARN)。如需更多信息，请参阅 AWS 文档中的 IAM 实体的权限边界。

      4

      为您的 OCM 角色指定自定义 ARN 路径。该路径必须仅包含字母数字字符，并以 / 开头和结尾，例如 /test/path/dev/。如需更多信息，请参阅 IAM 角色和策略的 ARN 路径自定义。

      5

      选择角色创建模式。您可以使用 auto 模式自动创建 OpenShift Cluster Manager IAM 角色并将其链接到您的红帽机构帐户。在手动模式中，ROSA CLI 生成创建和链接角色所需的 aws 命令。在手动模式中，对应的策略 JSON 文件也保存到当前目录中。manual 模式允许您在手动运行 aws 命令前查看详情。

      6

      将 OpenShift Cluster Manager IAM 角色链接到您的红帽机构帐户。

   6. 如果您不选择将 OpenShift Cluster Manager IAM 角色链接到上一命令中的红帽机构帐户，请从 OpenShift Cluster Manager OCM 角色 页面中复制 rosa link 命令并运行它：

      $ rosa link ocm-role <arn> 1

      1

      将 <arn> 替换为上一命令输出中包含的 OpenShift Cluster Manager IAM 角色的 ARN。

   7. 在 OpenShift Cluster Manager OCM 角色 页面中选择 Next。

   8. 在 User role 页面上，点 User role 命令的复制按钮，并在 CLI 中运行命令。在安装集群以及 OpenShift Cluster Manager 所需的资源时，红帽使用用户角色来验证 AWS 身份。

      按照提示创建用户角色：

      $ rosa create user-role

      输出示例

      I: Creating User role
      ? Role prefix: ManagedOpenShift 1
      ? Permissions boundary ARN (optional): 2
      ? Role Path (optional): [? for help] 3
      ? Role creation mode: auto 4
      I: Creating ocm user role using 'arn:aws:iam::<aws_account_id>:user/<aws_username>'
      ? Create the 'ManagedOpenShift-User-<red_hat_username>-Role' role? Yes
      I: Created role 'ManagedOpenShift-User-<red_hat_username>-Role' with ARN 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<red_hat_username>-Role'
      I: Linking User role
      ? User Role ARN: arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<red_hat_username>-Role
      ? Link the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<red_hat_username>-Role' role with account '<red_hat_user_account_id>'? Yes 5
      I: Successfully linked role ARN 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<red_hat_username>-Role' with account '<red_hat_user_account_id>'

      1

      指定要在用户角色名称中包含的前缀。默认值为 ManagedOpenShift。

      2

      可选：为角色指定一个权限边界 Amazon Resource Name (ARN)。如需更多信息，请参阅 AWS 文档中的 IAM 实体的权限边界。

      3

      为您的用户角色指定自定义 ARN 路径。该路径必须仅包含字母数字字符，并以 / 开头和结尾，例如 /test/path/dev/。如需更多信息，请参阅 IAM 角色和策略的 ARN 路径自定义。

      4

      选择角色创建模式。您可以使用 auto 模式自动创建用户角色并将其链接到 OpenShift Cluster Manager 用户帐户。在手动模式中，ROSA CLI 生成创建和链接角色所需的 aws 命令。在手动模式中，对应的策略 JSON 文件也保存到当前目录中。manual 模式允许您在手动运行 aws 命令前查看详情。

      5

      将用户角色链接到 OpenShift Cluster Manager 用户帐户。

   9. 如果您没有将用户角色链接到上一命令中的 OpenShift Cluster Manager 用户帐户，请从 OpenShift Cluster Manager User role 页面中复制 rosa link 命令并运行它：

      $ rosa link user-role <arn> 1

      1

      将 < arn > 替换为上一命令输出中包含的用户角色的 ARN。

   10. 在 OpenShift Cluster Manager User role 页面上，单击 Ok。
   11. 验证 AWS 帐户 ID 是否列在 Accounts and roles 页面的关联 AWS 帐户下拉菜单中。

   12. 如果所需的帐户角色不存在，则会提供一个通知，表示有些帐户角色 ARN 没有被检测到。您可以通过点击 rosa create account-roles 命令旁边的复制缓冲区并在 CLI 中运行命令，创建 AWS 帐户范围的角色和策略，包括 Operator 策略：

       $ rosa create account-roles

       输出示例

       I: Logged in as '<red_hat_username>' on 'https://api.openshift.com'
       I: Validating AWS credentials...
       I: AWS credentials are valid!
       I: Validating AWS quota...
       I: AWS quota ok. If cluster installation fails, validate actual AWS resource usage against https://docs.openshift.com/rosa/rosa_getting_started/rosa-required-aws-service-quotas.html
       I: Verifying whether OpenShift command-line tool is available...
       I: Current OpenShift Client Version: 4.0
       I: Creating account roles
       ? Role prefix: ManagedOpenShift 1
       ? Permissions boundary ARN (optional): 2
       ? Path (optional): [? for help] 3
       ? Role creation mode: auto 4
       I: Creating roles using 'arn:aws:iam::<aws_account_number>:user/<aws_username>'
       ? Create the 'ManagedOpenShift-Installer-Role' role? Yes 5
       I: Created role 'ManagedOpenShift-Installer-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-Installer-Role'
       ? Create the 'ManagedOpenShift-ControlPlane-Role' role? Yes 6
       I: Created role 'ManagedOpenShift-ControlPlane-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-ControlPlane-Role'
       ? Create the 'ManagedOpenShift-Worker-Role' role? Yes 7
       I: Created role 'ManagedOpenShift-Worker-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-Worker-Role'
       ? Create the 'ManagedOpenShift-Support-Role' role? Yes 8
       I: Created role 'ManagedOpenShift-Support-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-Support-Role'
       I: To create a cluster with these roles, run the following command:
       rosa create cluster --sts

       1

       指定要在 OpenShift Cluster Manager IAM 角色名称中包含的前缀。默认值为 ManagedOpenShift。

       重要

       您必须指定一个在 AWS 帐户之间是唯一的集群范围的角色前缀，即使您为帐户角色使用自定义 ARN 路径。

       2

       可选：为角色指定一个权限边界 Amazon Resource Name (ARN)。如需更多信息，请参阅 AWS 文档中的 IAM 实体的权限边界。

       3

       为您的集群范围的角色指定自定义 ARN 路径。该路径必须仅包含字母数字字符，并以 / 开头和结尾，例如 /test/path/dev/。如需更多信息，请参阅 IAM 角色和策略的 ARN 路径自定义。

       4

       选择角色创建模式。您可以使用 auto 模式自动创建帐户范围内的角色和策略。在手动模式中，ROSA CLI 生成创建角色和策略所需的 aws 命令。在手动模式中，对应的策略 JSON 文件也保存到当前目录中。manual 模式允许您在手动运行 aws 命令前查看详情。

       5 6 7 8

       创建集群范围的安装程序、control plane、worker 和支持角色以及对应的 IAM 策略。如需更多信息，请参阅 帐户范围的 IAM 角色和策略参考。

       注意

       在此步骤中，ROSA CLI 还会自动创建特定于集群 Operator 策略的帐户范围的 Operator IAM 策略，以允许 ROSA 集群 Operator 执行核心 OpenShift 功能。如需更多信息，请参阅 帐户范围的 IAM 角色和策略参考。

   13. 在 Accounts and roles 页面中，点 Refresh ARNs 并验证是否列出了安装程序、支持、worker 和 control plane 帐户角色 ARN。

       如果您的集群版本的 AWS 帐户中有多个帐户角色，则会提供一个 安装程序角色 ARN 的下拉列表。选择您要用于集群的安装程序角色的 ARN。集群使用与所选安装程序角色相关的集群范围的角色和策略。

4. 点击 Next。

   注意

   如果更改了 Accounts and roles 页面，您可能需要再次选择复选框，以确认您已读取并完成所有先决条件。

5. 在 Cluster details 页面中，为集群提供一个名称并指定集群详情：

   1. 添加集群名称。

   2. 可选：集群创建会生成域前缀，作为您在 openshiftapps.com 上置备的集群的子域。如果集群名称小于或等于 15 个字符，该名称用于域前缀。如果集群名称超过 15 个字符，则域前缀会随机生成给 15 个字符的字符串。

      要自定义子域，请选择 Create custom domain prefix 复选框，然后在 Domain prefix 字段中输入您的域前缀名称。域前缀不能超过 15 个字符，在您的机构内必须是唯一的，且在集群创建后无法更改。

   3. 从 Version 下拉菜单中选择集群版本。
   4. 从 Region 下拉菜单中选择云供应商区域。
   5. 选择 Single zone 或 Multi-zone 配置。
   6. 选择 Enable user workload monitoring 以监控您自己的项目，使其与红帽站点可靠性工程师(SRE)平台指标隔离。默认启用这个选项。

   7. 可选：如果您需要 etcd 键值加密，请选择 Enable additional etcd encryption。使用此选项时，etcd 键的值被加密，而不是键本身。这个选项除了 control plane 存储加密外，它默认加密 Red Hat OpenShift Service on AWS 集群中的 etcd 卷。

      注意

      通过在 etcd 中为密钥值启用 etcd 加密，则会出现大约 20% 的性能开销。除了加密 etcd 卷的默认 control plane 存储加密外，还会引入第二层加密的开销。只有在特别需要时才考虑启用 etcd 加密。

   8. 可选：如果要提供自己的 AWS 密钥管理服务(KMS) 密钥 Amazon 资源名称(ARN)，请选择 Encrypt persistent volumes with customer key。用于加密集群中的持久性卷的密钥。

      重要

      默认情况下，仅加密从默认存储类创建的持久性卷 (PV)。

      只有在将存储类配置为加密时，使用其他存储类创建的 PV 才会被加密。

      1. 可选。要创建客户管理的 KMS 密钥，请按照创建对称加密 KMS 密钥的步骤进行操作。

         重要

         除了成功创建集群的帐户角色外，还需要 EBS Operator 角色。

         此角色必须附加到 ManagedOpenShift-openshift-cluster-csi-drivers-ebs-cloud-credentials 策略，这是 ROSA 所需的 IAM 策略，以通过 Container Storage Interface (CSI)管理后端存储。

         有关集群 Operator 所需的策略和权限的更多信息，请参阅 集群范围的角色创建方法。

         EBS Operator 角色示例

         "ARN:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cluster-csi-drivers-ebs-cloud-credent"

         创建 Operator 角色后，您必须在 AWS 控制台的Key Management Service (KMS) 页面中 编辑 Key Policy 以添加角色。

   9. 点击 Next。

6. 在 Default machine pool 页面中，选择一个 Compute 节点实例类型。

   注意

   创建集群后，您可以更改集群中的计算节点数量，但您无法更改默认机器池中的计算节点实例类型。您可用的节点数量和类型取决于您是否使用单一或者多个可用区。它们还取决于您 AWS 帐户和所选区域中的启用和可用的内容。

7. 可选：为默认机器池配置自动扩展：

   1. 选择 Enable autoscaling 以自动扩展默认机器池中的机器数量，以满足部署需求。

   2. 设置自动扩展的最小和最大节点数限值。集群自动扩展不会减少或增加默认的机器池节点数超过您指定的限制。

      • 如果您使用一个可用区部署集群，请设置最小节点数和最大节点数。这会在可用区中定义最小和最大计算节点限值。
      • 如果您使用多个可用区部署集群，请为每个区设置 Minimum nodes per zone 和 Maximum nodes per zone。它定义每个区的最小和最大计算节点限值。
      注意

      另外，您可以在创建机器池后为默认机器池设置自动扩展首选项。

8. 如果没有启用自动扩展，请为默认机器池选择计算节点计数：

   • 如果您使用一个可用区部署集群，请从下拉菜单中选择 Compute 节点数。这定义了置备到区域的机器池的计算节点数量。
   • 如果您使用多个可用区部署集群，请从下拉菜单中选择 Compute 节点数（每个区）。这定义了每个区要置备到机器池的计算节点数量。

9. 可选： 选择 EC2 实例元数据服务(IMDS)配置 - 可选 （默认）或 必需 - 来强制使用 IMDSv2。有关 IMDS 的更多信息，请参阅 AWS 文档中的实例元数据和用户数据。

   重要

   在集群创建后无法更改实例元数据服务设置。

10. 可选：展开 标记节点标签，为节点添加标签。点 Add label 来添加更多节点标签并选择 Next。

11. 在网络 配置页面 的集群 隐私 部分中，选择 Public 或 Private 来使用集群的公共或私有 API 端点和应用程序路由。

    重要

    在集群创建后，无法在公共和私有之间更改 API 端点。

    公共 API 端点

    如果您不想限制对集群的访问，请选择 Public。您可以从互联网访问 Kubernetes API 端点和应用程序路由。

    私有 API 端点

    如果要限制集群的网络访问，请选择 Private。Kubernetes API 端点和应用程序路由只能从直接连接访问。

    重要

    如果使用私有 API 端点，则在更新云供应商帐户中的网络设置之前，您无法访问集群。

12. 可选：如果您选择使用公共 API 端点，则默认为集群创建新的 VPC。如果要在现有 VPC 中安装集群，请选择 Install into an existing VPC。

    警告

    您无法将 ROSA 集群安装到 OpenShift 安装程序创建的现有 VPC 中。这些 VPC 在集群部署期间创建，且必须只与单个集群关联，以确保集群置备和删除操作正常工作。

    要验证 OpenShift 安装程序是否已创建 VPC，请检查 kubernetes.io/cluster/<infra-id> 标签上的 owned 值。例如，当查看名为 mycluster-12abc-34def 的 VPC 标签时，kubernetes.io/cluster/mycluster-12abc-34def 标签的值为 owned。因此，VPC 由安装程序创建的，不得由管理员修改。

    注意

    如果选择使用私有 API 端点，则必须使用现有的 VPC 和 PrivateLink，Install into an existing VPC 和 Use a PrivateLink 选项会被自动选择。通过这些选项，Red Hat Site Reliability Engineering (SRE)团队可以使用 AWS PrivateLink 端点连接到集群，以帮助支持。

13. 可选： 如果要将集群安装到现有的 VPC 中，请选择配置集群范围代理 来启用 HTTP 或 HTTPS 代理来拒绝从集群直接访问互联网。
14. 点击 Next。

15. 如果您选择在现有 AWS VPC 中安装集群，请提供 Virtual Private Cloud (VPC)子网设置。

    注意

    您必须确保您的 VPC 配置了一个公有和私有子网，以及您要安装到的每个可用区的专用子网。如果您选择使用 PrivateLink，则只需要专用子网。

    1. 可选：扩展 Additional security groups 并选择额外的自定义安全组，以应用到默认创建的机器池中的节点。您必须已创建了安全组，并将其与您为这个集群选择的 VPC 关联。您无法在创建集群时将安全组添加到默认机器池中。

       默认情况下，您指定的安全组将为所有节点类型添加。取消选择 Apply the same security groups to all node type (control plane, infrastructure and worker)复选框，以为每个节点类型 选择不同的安全组。

       如需更多信息，请参阅附加资源 下 安全组 的要求。

16. 如果您选择配置集群范围代理，在 Cluster-wide proxy 页面中提供代理配置详情：

    1. 至少在以下字段之一中输入值：

       • 指定有效的 HTTP 代理 URL。
       • 指定有效的 HTTPS 代理 URL。

       • 在 Additional trust bundle 字段中，提供 PEM 编码 X.509 证书捆绑包。捆绑包添加到集群节点的可信证书存储中。需要额外的信任捆绑包文件，除非代理的身份证书由 Red Hat Enterprise Linux CoreOS (RHCOS) 信任捆绑包的颁发机构签名。

         如果您使用不要求额外代理配置但需要额外 CA 的 MITM 透明代理网络，您必须提供 MITM CA 证书。

         注意

         如果您在没有指定 HTTP 或 HTTPS 代理 URL 的情况下上传额外的信任捆绑包文件，则会在集群中设置捆绑包，但不会配置为与代理一起使用。

    2. 点击 Next。

    有关使用 Red Hat OpenShift Service on AWS 配置代理的更多信息 ，请参阅配置集群范围代理。

17. 在 CIDR 范围 对话框中，配置自定义无类别间路由 (CIDR) 范围，或使用提供默认值并点 Next。

    注意

    如果您要安装到 VPC 中，Machine CIDR 范围必须与 VPC 子网匹配。

    重要

    稍后无法更改 CIDR 配置。在继续操作前，请联系您的网络管理员选择。

18. 在 Cluster roles and policies 页面中，选择您首选的特定于集群的 Operator IAM 角色和 OIDC 供应商创建模式。

    使用 Manual 模式，您可以使用 rosa CLI 命令或 aws CLI 命令为集群生成所需的 Operator 角色和 OIDC 供应商。通过手动模式，您可以在使用首选选项手动创建 IAM 资源并完成集群安装前查看详情。

    另外，您可以使用 Auto 模式自动创建 Operator 角色和 OIDC 供应商。要启用 Auto 模式，OpenShift Cluster Manager IAM 角色必须具有管理员权限。

    注意

    如果您在创建关联的集群范围的角色时指定了自定义 ARN 路径，则会自动检测自定义路径并将其应用到 Operator 角色。当使用 Manual 或 Auto 模式创建 Operator 角色时，会应用自定义 ARN 路径。

19. 可选：为特定于集群 Operator IAM 角色指定自定义 operator 角色前缀。

    注意

    默认情况下，特定于集群的 Operator 角色名称使用集群名称和随机 4 位哈希值作为前缀。您可以选择指定自定义前缀来替换角色名称中的 < cluster_name>-<hash >。创建特定于集群的 Operator IAM 角色时会应用前缀。有关前缀的详情，请参阅关于自定义 Operator IAM 角色前缀。

20. 选择 Next。

21. 在 Cluster update 策略 页面中，配置您的更新首选项：

    1. 选择集群更新方法：

       • 如果要 单独调度每个更新，请选择单个更新。这是默认选项。

       • 选择 Recurring updates 以在更新可用是在您的首先日期、开始时间上更新集群。

         重要

         即使选择了周期性更新，在次版本间升级集群前，您必须更新帐户和特定于集群的 IAM 资源。

         注意

         您可以在 Red Hat OpenShift Service on AWS 更新生命周期文档中查看生命周期结束日期。如需更多信息，请参阅 Red Hat OpenShift Service on AWS 更新生命周期。

    2. 如果您选择重复更新，请从下拉菜单中选择 UTC 中的星期天和升级开始时间。
    3. 可选：您可以在集群安装过程中为节点排空设置宽限期。默认设置 1 小时 宽限期。

    4. 点击 Next。

       注意

       如果出现严重影响集群的安全性或稳定性的关键安全问题，Red Hat Site Reliability Engineering (SRE) 可能会对最新 z-stream 版本进行自动更新。在通知客户后，更新会在 48 小时内应用。有关严重影响安全评级的信息，请参阅 了解红帽安全评级。

22. 查看您选择的概述并点 Create cluster 启动集群安装。

23. 如果选择使用 Manual 模式，请手动创建特定于集群的 Operator 角色和 OIDC 供应商以继续安装：

    1. 在 Action required to continue installation 对话框中，选择 AWS CLI 或 ROSA CLI 选项卡并手动创建资源：

       • 如果您选择使用 AWS CLI 方法，点 Download .zip，保存文件，然后提取 AWS CLI 命令和策略文件。然后，在 CLI 中运行提供的 aws 命令。

         注意

         您必须在包含策略文件的目录中运行 aws 命令。

       • 如果您选择使用 ROSA CLI 方法，点 rosa create 命令旁边的复制按钮，并在 CLI 中运行它们。

         注意

         如果您在创建关联的集群范围的角色时指定了自定义 ARN 路径，则会自动检测到自定义路径，并在使用这些手动方法创建时应用到 Operator 角色。

    2. 在 Action required to continue installation 对话框中，点 x 返回到集群的 Overview 页。
    3. 验证集群的 Overview 页面的 Details 部分中的 Cluster Status 是否已从 Waiting 改为 Installing。在状态更改前，可能需要大约两分钟的延迟时间。
    注意

    如果选择使用 Auto 模式，OpenShift Cluster Manager 会自动创建 Operator 角色和 OIDC 供应商。

    重要

    除了成功创建集群的帐户角色外，还需要 EBS Operator 角色。

    此角色必须附加到 ManagedOpenShift-openshift-cluster-csi-drivers-ebs-cloud-credentials 策略，这是 ROSA 所需的 IAM 策略，以通过 Container Storage Interface (CSI)管理后端存储。

    有关集群 Operator 所需的策略和权限的更多信息，请参阅 集群范围的角色创建方法。

    EBS Operator 角色示例

    "ARN:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cluster-csi-drivers-ebs-cloud-credent"

    创建 Operator 角色后，您必须在 AWS 控制台的Key Management Service (KMS) 页面中 编辑 Key Policy 以添加角色。

流程

1. 创建所需的集群范围的角色和策略，包括 Operator 策略：

   1. 在当前工作目录中生成 IAM 策略 JSON 文件，并输出 aws CLI 命令进行审核：

      $ rosa create account-roles --interactive \ 1
                                  --mode manual 2

      1

      交互模式 允许您在互动提示中指定配置选项。如需更多信息，请参阅交换式集群创建模式参考。

      2

      手动模式 生成创建集群范围的角色和策略所需的 aws CLI 命令和 JSON 文件。检查后，您必须手动运行命令以创建资源。

      输出示例

      I: Logged in as '<red_hat_username>' on 'https://api.openshift.com'
      I: Validating AWS credentials...
      I: AWS credentials are valid!
      I: Validating AWS quota...
      I: AWS quota ok. If cluster installation fails, validate actual AWS resource usage against https://docs.openshift.com/rosa/rosa_getting_started/rosa-required-aws-service-quotas.html
      I: Verifying whether OpenShift command-line tool is available...
      I: Current OpenShift Client Version: 4.0
      I: Creating account roles
      ? Role prefix: ManagedOpenShift 1
      ? Permissions boundary ARN (optional): 2
      ? Path (optional): [? for help] 3
      ? Role creation mode: auto 4
      I: Creating roles using 'arn:aws:iam::<aws_account_number>:user/<aws_username>'
      ? Create the 'ManagedOpenShift-Installer-Role' role? Yes 5
      I: Created role 'ManagedOpenShift-Installer-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-Installer-Role'
      ? Create the 'ManagedOpenShift-ControlPlane-Role' role? Yes 6
      I: Created role 'ManagedOpenShift-ControlPlane-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-ControlPlane-Role'
      ? Create the 'ManagedOpenShift-Worker-Role' role? Yes 7
      I: Created role 'ManagedOpenShift-Worker-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-Worker-Role'
      ? Create the 'ManagedOpenShift-Support-Role' role? Yes 8
      I: Created role 'ManagedOpenShift-Support-Role' with ARN 'arn:aws:iam::<aws_account_number>:role/ManagedOpenShift-Support-Role'
      I: To create a cluster with these roles, run the following command:
      rosa create cluster --sts

      1

      指定要在 OpenShift Cluster Manager IAM 角色名称中包含的前缀。默认值为 ManagedOpenShift。

      重要

      您必须指定一个在 AWS 帐户之间是唯一的集群范围的角色前缀，即使您为帐户角色使用自定义 ARN 路径。

      2

      可选：为角色指定权限边界 Amazon Resource Name (ARN)。如需更多信息，请参阅 AWS 文档中的 IAM 实体的权限边界。

      3

      为您的集群范围的角色指定自定义 ARN 路径。该路径必须仅包含字母数字字符，并以 / 开头和结尾，例如 /test/path/dev/。如需更多信息，请参阅 IAM 角色和策略的 ARN 路径自定义。

      4

      选择角色创建模式。您可以使用 auto 模式自动创建帐户范围内的角色和策略。在手动模式中，rosa CLI 生成创建角色和策略所需的 aws 命令。在手动模式中，对应的策略 JSON 文件也保存到当前目录中。manual 模式允许您在手动运行 aws 命令前查看详情。

      5 6 7 8

      创建集群范围的安装程序、control plane、worker 和支持角色以及对应的 IAM 策略。如需更多信息，请参阅 帐户范围的 IAM 角色和策略参考。

      注意

      在此步骤中，ROSA CLI 还会自动创建特定于集群 Operator 策略的帐户范围的 Operator IAM 策略，以允许 ROSA 集群 Operator 执行核心 OpenShift 功能。如需更多信息，请参阅 帐户范围的 IAM 角色和策略参考。

   2. 查看后，手动运行 aws 命令来创建角色和策略。另外，您可以使用 --mode auto 运行上述命令来立即运行 aws 命令。

2. 可选：如果您使用自己的 AWS KMS 密钥加密 control plane、基础架构、worker 节点根卷和持久性卷(PV)，请将帐户范围内安装程序角色的 ARN 添加到 KMS 密钥策略中。

   重要

   只有从默认存储类创建的持久性卷(PV)才会使用此特定密钥加密。

   使用任何其他存储类创建的 PV 仍然会被加密，但 PV 不会使用此密钥加密，除非存储类被特别配置为使用这个密钥。

   1. 将 KMS 密钥的密钥策略保存到本地机器的文件中。以下示例将输出保存到当前工作目录中的 kms-key-policy.json ：

      $ aws kms get-key-policy --key-id <key_id_or_arn> --policy-name default --output text > kms-key-policy.json 1

      1

      将 <key_id_or_arn > 替换为 KMS 密钥的 ID 或 ARN。

   2. 将您在上一步中创建的集群范围的安装程序角色的 ARN 添加到文件的 claim .Principal.AWS 部分。在以下示例中，添加了默认 ManagedOpenShift-Installer-Role 角色的 ARN：

      {
          "Version": "2012-10-17",
          "Id": "key-rosa-policy-1",
          "Statement": [
              {
                  "Sid": "Enable IAM User Permissions",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::<aws_account_id>:root"
                  },
                  "Action": "kms:*",
                  "Resource": "*"
              },
              {
                  "Sid": "Allow ROSA use of the key",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": [
                          "arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Support-Role", 1
                          "arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Installer-Role",
                          "arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Worker-Role",
                          "arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-ControlPlane-Role",
                          "arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cluster-csi-drivers-ebs-cloud-credent" 2
                      ]
                  },
                  "Action": [
                      "kms:Encrypt",
                      "kms:Decrypt",
                      "kms:ReEncrypt*",
                      "kms:GenerateDataKey*",
                      "kms:DescribeKey"
                  ],
                  "Resource": "*"
              },
              {
                  "Sid": "Allow attachment of persistent resources",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": [
                          "arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Support-Role", 3
                          "arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Installer-Role",
                          "arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Worker-Role",
                          "arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-ControlPlane-Role",
                          "arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cluster-csi-drivers-ebs-cloud-credent" 4
                      ]
                  },
                  "Action": [
                      "kms:CreateGrant",
                      "kms:ListGrants",
                      "kms:RevokeGrant"
                  ],
                  "Resource": "*",
                  "Condition": {
                      "Bool": {
                          "kms:GrantIsForAWSResource": "true"
                      }
                  }
              }
          ]
      }

      1 3

      您必须为创建 ROSA 集群时要使用的集群范围的角色指定 ARN。部分中列出的 ARN 必须用逗号分开。

      2 4

      您必须为创建 ROSA 集群时使用的 operator 角色指定 ARN。部分中列出的 ARN 必须用逗号分开。

   3. 将更改应用到您的 KMS 密钥策略：

      $ aws kms put-key-policy --key-id <key_id_or_arn> \ 1
          --policy file://kms-key-policy.json \ 2
          --policy-name default

      1

      将 <key_id_or_arn > 替换为 KMS 密钥的 ID 或 ARN。

      2

      在本地文件引用密钥策略时，您必须包含 file:// 前缀。

      在下一步中创建集群时，您可以引用 KMS 密钥的 ARN。

3. 使用自定义安装选项创建带有 STS 的集群。您可以使用 --interactive 模式以交互方式指定自定义设置：

   警告

   您无法将 ROSA 集群安装到 OpenShift 安装程序创建的现有 VPC 中。这些 VPC 在集群部署期间创建，且必须只与单个集群关联，以确保集群置备和删除操作正常工作。

   要验证 OpenShift 安装程序是否已创建 VPC，请检查 kubernetes.io/cluster/<infra-id> 标签上的 owned 值。例如，当查看名为 mycluster-12abc-34def 的 VPC 标签时，kubernetes.io/cluster/mycluster-12abc-34def 标签的值为 owned。因此，VPC 由安装程序创建的，不得由管理员修改。

   $ rosa create cluster --interactive --sts

   输出示例

   I: Interactive mode enabled.
   Any optional fields can be left empty and a default will be selected.
   ? Cluster name: <cluster_name>
   ? Domain prefix: <domain_prefix> 1
   ? Deploy cluster with Hosted Control Plane (optional): No
   ? Create cluster admin user: Yes 2
   ? Username: user-admin 3
   ? Password: [? for help] *************** 4
   ? OpenShift version: 4.15.0 5
   ? Configure the use of IMDSv2 for ec2 instances optional/required (optional): 6
   I: Using arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Installer-Role for the Installer role 7
   I: Using arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-ControlPlane-Role for the ControlPlane role
   I: Using arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Worker-Role for the Worker role
   I: Using arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Support-Role for the Support role
   ? External ID (optional): 8
   ? Operator roles prefix: <cluster_name>-<random_string> 9
   ? Deploy cluster using pre registered OIDC Configuration ID:
   ? Tags (optional) 10
   ? Multiple availability zones (optional): No 11
   ? AWS region: us-east-1
   ? PrivateLink cluster (optional): No
   ? Install into an existing VPC (optional): Yes 12
   ? Select availability zones (optional): No
   ? Enable Customer Managed key (optional): No 13
   ? Compute nodes instance type (optional):
   ? Enable autoscaling (optional): No
   ? Compute nodes: 2
   ? Additional Security Group IDs (optional): 14
   ? > [*]  sg-0e375ff0ec4a6cfa2 ('sg-1')
   ? > [ ]  sg-0e525ef0ec4b2ada7 ('sg-2')
   ? Machine CIDR: 10.0.0.0/16
   ? Service CIDR: 172.30.0.0/16
   ? Pod CIDR: 10.128.0.0/14
   ? Host prefix: 23
   ? Encrypt etcd data (optional): No 15
   ? Disable Workload monitoring (optional): No
   I: Creating cluster '<cluster_name>'
   I: To create this cluster again in the future, you can run:
      rosa create cluster --cluster-name <cluster_name> --role-arn arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Installer-Role --support-role-arn arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Support-Role --master-iam-role arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-ControlPlane-Role --worker-iam-role arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Worker-Role --operator-roles-prefix <cluster_name>-<random_string> --region us-east-1 --version 4.15.0 --additional-compute-security-group-ids sg-0e375ff0ec4a6cfa2 --additional-infra-security-group-ids sg-0e375ff0ec4a6cfa2 --additional-control-plane-security-group-ids sg-0e375ff0ec4a6cfa2 --replicas 2 --machine-cidr 10.0.0.0/16 --service-cidr 172.30.0.0/16 --pod-cidr 10.128.0.0/14 --host-prefix 23 16
   I: To view a list of clusters and their status, run 'rosa list clusters'
   I: Cluster '<cluster_name>' has been created.
   I: Once the cluster is installed you will need to add an Identity Provider before you can login into the cluster. See 'rosa create idp --help' for more information.
   ...

   1

   可选。在创建集群时，您可以使用 --domain-prefix 标志在 Stopopenshiftapps.com 上自定义集群的子域。此标志的值在您的机构中必须是唯一的，它不能超过 15 个字符，且在集群创建后无法更改。如果没有提供标志，则会创建一个自动生成的值，它依赖于集群名称的长度。如果集群名称小于或等于 15 个字符，该名称用于域前缀。如果集群名称超过 15 个字符，则域前缀会随机生成给 15 个字符的字符串。

   2 3 4

   在创建集群时，您可以为集群创建本地管理员用户。选择 Yes，然后提示您为集群 admin 创建用户名和密码。用户名不得包含 /、: 或 %。密码必须至少为 14 个字符(ASCII-standard)，且无空格。此过程自动配置 htpasswd 身份提供程序。

   5

   在创建集群时，列出的 OpenShift 版本 选项包括主版本、次版本和补丁版本，如 4.15.0。

   6

   可选：指定 'optional' 以将所有 EC2 实例配置为使用 EC2 实例和 EC2 实例(IMDS)的 v1 和 v2 端点。这是默认值。指定 'required' 将所有 EC2 实例配置为只使用 IMDSv2。

   重要

   在集群创建后无法更改实例元数据服务设置。

   7

   如果您在 AWS 帐户中有多个集群版本的帐户角色，则会提供交互式选项列表。

   8

   可选：指定在假定帐户角色时由 Red Hat OpenShift Service on AWS 和 OpenShift 安装程序传递的唯一标识符。这个选项只适用于希望外部 ID 的自定义帐户角色。

   9

   默认情况下，特定于集群的 Operator 角色名称使用集群名称和随机 4 位哈希值作为前缀。您可以选择指定自定义前缀来替换角色名称中的 < cluster_name>-<hash >。创建特定于集群的 Operator IAM 角色时会应用前缀。有关前缀的详情，请参考 定义 Operator IAM 角色前缀。

   注意

   如果您在创建关联的集群范围的角色时指定了自定义 ARN 路径，则会自动检测到自定义路径。在稍后的步骤中创建自定义路径时，自定义路径会应用到特定于集群的 Operator 角色。

   10

   可选：指定一个标签，用于 AWS 中由 Red Hat OpenShift Service on AWS 创建的所有资源。标签可帮助您管理、识别、组织、搜索和过滤 AWS 中的资源。标签用逗号分开，例如："密钥值、数据输入"。

   重要

   Red Hat OpenShift Service on AWS 仅在集群创建过程中支持到 Red Hat OpenShift 资源的自定义标签。添加后，无法删除或编辑标签。集群需要添加的标签才能遵守红帽产品服务等级协议(SLA)。这些标签不能被删除。

   Red Hat OpenShift Service on AWS 不支持在 ROSA 集群管理的资源外添加额外的标签。当 AWS 资源由 ROSA 集群管理时，这些标签可能会丢失。在这些情况下，您可能需要自定义解决方案或工具来协调标签，并保持它们保持不变。

   11

   可选： 在生产环境中，建议使用多个可用区。默认为单个可用区。

   12

   可选：您可以在现有 VPC 中创建集群，或者 ROSA 可以创建一个新的 VPC 来使用。

   警告

   您无法将 ROSA 集群安装到 OpenShift 安装程序创建的现有 VPC 中。这些 VPC 在集群部署期间创建，且必须只与单个集群关联，以确保集群置备和删除操作正常工作。

   要验证 OpenShift 安装程序是否已创建 VPC，请检查 kubernetes.io/cluster/<infra-id> 标签上的 owned 值。例如，当查看名为 mycluster-12abc-34def 的 VPC 标签时，kubernetes.io/cluster/mycluster-12abc-34def 标签的值为 owned。因此，VPC 由安装程序创建的，不得由管理员修改。

   13

   可选：如果您使用自己的 AWS KMS 密钥加密 control plane、基础架构、worker 节点根卷和 PV，则启用这个选项。指定在上一步中添加到集群范围的角色的 ARN 中的 KMS 密钥的 ARN。

   重要

   只有从默认存储类创建的持久性卷(PV)才会使用此特定密钥加密。

   使用任何其他存储类创建的 PV 仍然会被加密，但 PV 不会使用此密钥加密，除非存储类被特别配置为使用这个密钥。

   14

   可选：您可以选择在集群中使用的额外自定义安全组。您必须已创建了安全组，并将其与您为这个集群选择的 VPC 关联。创建机器池后，您无法为默认机器池添加或编辑安全组。如需更多信息，请参阅附加资源 下 安全组 的要求。

   15

   可选：除默认加密 etcd 卷的 control plane 存储加密外，才启用这个选项。使用此选项时，etcd 键的值会被加密，而不是键。

   重要

   通过在 etcd 中为密钥值启用 etcd 加密，则会出现大约 20% 的性能开销。除了加密 etcd 卷的默认 control plane 存储加密外，还会引入第二层加密的开销。红帽建议仅在特别需要时才启用 etcd 加密。

   16

   输出中包括了一个可以运行的自定义命令来创建使用相同配置的集群。

   作为使用 --interactive 模式的替代选择，您可以在运行 rosa create cluster 命令时直接指定自定义选项。运行 rosa create cluster --help 命令来查看可用 CLI 选项列表，或参阅 使用 ROSA CLI 管理对象中的创建集群。

   重要

   您必须完成以下步骤来创建 Operator IAM 角色和 OpenID Connect (OIDC)供应商，将集群的状态移到 ready。

4. 创建特定于集群的 Operator IAM 角色：

   1. 在当前工作目录中生成 Operator IAM 策略 JSON 文件，并输出 aws CLI 命令进行审核：

      $ rosa create operator-roles --mode manual --cluster <cluster_name|cluster_id> 1

      1

      手动模式 生成创建 Operator 角色所需的 aws CLI 命令和 JSON 文件。检查后，您必须手动运行命令以创建资源。

   2. 检查后，运行 aws 命令，以创建 Operator IAM 角色并将受管 Operator 策略附加到它们。另外，您可以使用 --mode auto 再次运行上述命令来立即运行 aws 命令。

      注意

      如果您在上一步中指定了前缀，则会对 Operator 角色名称应用自定义前缀。

      如果您在创建关联的集群范围的角色时指定了自定义 ARN 路径，则会自动检测自定义路径并将其应用到 Operator 角色。

      重要

      除了成功创建集群的帐户角色外，还需要 EBS Operator 角色。

      此角色必须附加到 ManagedOpenShift-openshift-cluster-csi-drivers-ebs-cloud-credentials 策略，这是 ROSA 所需的 IAM 策略，以通过 Container Storage Interface (CSI)管理后端存储。

      有关集群 Operator 所需的策略和权限的更多信息，请参阅 集群范围的角色创建方法。示例 EBS Operator role "arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cluster-csi-drivers-ebs-cloud-credent"

      创建 Operator 角色后，您必须在 AWS 控制台的Key Management Service (KMS) 页面中 编辑 Key Policy 以添加角色。

5. 创建集群 Operator 用于身份验证的 OpenID Connect (OIDC)供应商：

   $ rosa create oidc-provider --mode auto --cluster <cluster_name|cluster_id> 1

   1

   auto 模式会立即运行创建 OIDC 供应商的 aws CLI 命令。

6. 检查集群的状态：

   $ rosa describe cluster --cluster <cluster_name|cluster_id>

   输出示例

   Name:                       <cluster_name>
   ID:                         <cluster_id>
   External ID:                <external_id>
   OpenShift Version:          <version>
   Channel Group:              stable
   DNS:                        <cluster_name>.xxxx.p1.openshiftapps.com
   AWS Account:                <aws_account_id>
   API URL:                    https://api.<cluster_name>.xxxx.p1.openshiftapps.com:6443
   Console URL:                https://console-openshift-console.apps.<cluster_name>.xxxx.p1.openshiftapps.com
   Region:                     <aws_region>
   Multi-AZ:                   false
   Nodes:
    - Master:                  3
    - Infra:                   2
    - Compute:                 2
   Network:
    - Service CIDR:            172.30.0.0/16
    - Machine CIDR:            10.0.0.0/16
    - Pod CIDR:                10.128.0.0/14
    - Host Prefix:             /23
   STS Role ARN:               arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Installer-Role
   Support Role ARN:           arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Support-Role
   Instance IAM Roles:
    - Master:                  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-ControlPlane-Role
    - Worker:                  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Worker-Role
   Operator IAM Roles:
    - arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-ingress-operator-cloud-credentials
    - arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cluster-csi-drivers-ebs-cloud-credent
    - arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-machine-api-aws-cloud-credentials
    - arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-cloud-credential-operator-cloud-crede
    - arn:aws:iam::<aws_account_id>:role/<cluster_name>-xxxx-openshift-image-registry-installer-cloud-creden
   Ec2 Metadata Http Tokens:   optional
   State:                      ready
   Private:                    No
   Created:                    Oct  1 2021 08:12:25 UTC
   Details Page:               https://console.redhat.com/openshift/details/s/<subscription_id>
   OIDC Endpoint URL:          https://oidc.op1.openshiftapps.com/<cluster_id>|<oidc_config_id> \ 1

   1. 端点 URL 取决于 BYO OIDC 配置。如果您要预先填充 OIDC 配置，URL 会以 < oidc_config_id > 值结束；否则，URL 以 < cluster-ID > 值结尾。

   在集群安装过程中，输出中会列出以下 State 字段更改：

   • 等待（等待 OIDC 配置）
   • 待定（准备帐户）
   • 安装（正在进行中的DNS 设置）
   • 安装

   • ready

     注意

     如果安装失败，或者 State 字段在大约 40 分钟后没有变为 ready，请检查安装故障排除文档以了解详细信息。如需更多信息，请参阅故障排除安装。如需联系红帽支持以获取帮助的步骤，请参阅 Red Hat OpenShift Service on AWS 支持。

7. 通过观察 OpenShift 安装程序日志来跟踪集群创建的进度：

   $ rosa logs install --cluster <cluster_name|cluster_id> --watch 1

   1 1

   指定在安装过程中监视新日志消息的 --watch 标志。这个参数是可选的。

流程

1. 输入以下命令撤销用户的 dedicated-admin 访问权限：

   $ rosa revoke user dedicated-admin --user=<idp_user_name> --cluster=<cluster_name>

2. 输入以下命令验证您的用户是否不再具有 dedicated-admin 访问权限。输出不会列出撤销的用户。

   $ oc get groups dedicated-admins

流程

1. 输入以下命令撤销用户的 cluster-admin 访问权限：

   $ rosa revoke user cluster-admins --user=myusername --cluster=mycluster

2. 输入以下命令验证用户是否不再具有 cluster-admin 访问权限。输出不会列出撤销的用户。

   $ oc get groups cluster-admins

流程

1. 删除集群范围的角色：

   1. 使用 ROSA CLI 列出 AWS 帐户中的系统范围角色 (rosa)：

      $ rosa list account-roles

      输出示例

      I: Fetching account roles
      ROLE NAME                           ROLE TYPE      ROLE ARN                                                           OPENSHIFT VERSION
      ManagedOpenShift-ControlPlane-Role  Control plane  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-ControlPlane-Role  4.10
      ManagedOpenShift-Installer-Role     Installer      arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Installer-Role     4.10
      ManagedOpenShift-Support-Role       Support        arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Support-Role       4.10
      ManagedOpenShift-Worker-Role        Worker         arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Worker-Role        4.10

1. 删除集群范围的角色：

   $ rosa delete account-roles --prefix <prefix> --mode auto 1

   1

   您必须包含 --<prefix> 参数。将 <prefix> 替换为要删除的集群范围角色前缀。如果您在创建集群范围的角色时没有指定自定义前缀，请指定默认前缀 ManagedOpenShift。

   重要

   帐户范围的 IAM 角色可供同一 AWS 帐户中的其他 ROSA 集群使用。只有角色不再被其他集群需要时，才删除这些资源。

   输出示例

   W: There are no classic account roles to be deleted
   I: Deleting hosted CP account roles
   ? Delete the account role 'delete-rosa-HCP-ROSA-Installer-Role'? Yes
   I: Deleting account role 'delete-rosa-HCP-ROSA-Installer-Role'
   ? Delete the account role 'delete-rosa-HCP-ROSA-Support-Role'? Yes
   I: Deleting account role 'delete-rosa-HCP-ROSA-Support-Role'
   ? Delete the account role 'delete-rosa-HCP-ROSA-Worker-Role'? Yes
   I: Deleting account role 'delete-rosa-HCP-ROSA-Worker-Role'
   I: Successfully deleted the hosted CP account roles

   1. 删除集群范围的内行和 Operator 策略：

2. 在 AWS IAM 控制台中的 Policies 页面中，根据您在创建帐户范围角色和策略时指定的前缀过滤策略列表。

   注意

   如果您在创建集群范围的角色时没有指定自定义前缀，请搜索默认前缀 ManagedOpenShift。

3. 使用 AWS IAM 控制台删除集群范围的内行策略和 Operator 策略。有关使用 AWS IAM 控制台删除 IAM 策略的更多信息，请参阅 AWS 文档中的删除 IAM 策略。

   重要

   帐户范围的 in-line 和 Operator IAM 策略可能被同一 AWS 帐户中的带有 HCP 的其他 ROSA 集群使用。只有角色不再被其他集群需要时，才删除这些资源。

流程

1. 从您的红帽机构中取消链接 OpenShift Cluster Manager IAM 角色并删除角色：

   1. 列出 AWS 帐户中的 OpenShift Cluster Manager IAM 角色：

      $ rosa list ocm-roles

      输出示例

      I: Fetching ocm roles
      ROLE NAME                                                     ROLE ARN                                                                                         LINKED  ADMIN  AWS Managed
      ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>  Yes      Yes     Yes

   2. 如果您的 OpenShift Cluster Manager IAM 角色在上一命令的输出中被列为链接，请运行以下命令来取消链接红帽机构中的角色：

      $ rosa unlink ocm-role --role-arn <arn> 1

      1

      将 <arn > 替换为 OpenShift Cluster Manager IAM 角色的 Amazon Resource Name (ARN)。ARN 在上一命令的输出中指定。在上例中，ARN 的格式为 arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id >。

      输出示例

      I: Unlinking OCM role
      ? Unlink the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' role from organization '<red_hat_organization_id>'? Yes
      I: Successfully unlinked role-arn 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' from organization account '<red_hat_organization_id>'

   3. 删除 OpenShift Cluster Manager IAM 角色和策略：

      $ rosa delete ocm-role --role-arn <arn>

      输出示例

      I: Deleting OCM role
      ? OCM Role ARN: arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>
      ? Delete 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' ocm role? Yes
      ? OCM role deletion mode: auto 1
      I: Successfully deleted the OCM role

      1

      指定删除模式。您可以使用 auto 模式自动删除 OpenShift Cluster Manager IAM 角色和策略。在手动模式中，ROSA CLI 生成删除角色和策略所需的 aws 命令。manual 模式允许您在手动运行 aws 命令前查看详情。

2. 从您的红帽机构中取消链接用户 IAM 角色并删除角色：

   1. 列出 AWS 帐户中的用户 IAM 角色：

      $ rosa list user-roles

      输出示例

      I: Fetching user roles
      ROLE NAME                                  ROLE ARN                                                                  LINKED
      ManagedOpenShift-User-<ocm_user_name>-Role  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role  Yes

   2. 如果您的用户 IAM 角色在上一命令的输出中被列为链接，请取消链接您的红帽机构中的角色：

      $ rosa unlink user-role --role-arn <arn> 1

      1

      将 <arn > 替换为您的用户 IAM 角色的 Amazon Resource Name (ARN)。ARN 在上一命令的输出中指定。在上例中，ARN 格式为 arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role。

      输出示例

      I: Unlinking user role
      ? Unlink the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role' role from the current account '<ocm_user_account_id>'? Yes
      I: Successfully unlinked role ARN 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role' from account '<ocm_user_account_id>'

   3. 删除用户 IAM 角色：

      $ rosa delete user-role --role-arn <arn>

      输出示例

      I: Deleting user role
      ? User Role ARN: arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role
      ? Delete the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role' role from the AWS account? Yes
      ? User role deletion mode: auto 1
      I: Successfully deleted the user role

      1

      指定删除模式。您可以使用 auto 模式自动删除用户 IAM 角色。在手动模式中，ROSA CLI 生成删除角色所需的 aws 命令。manual 模式允许您在手动运行 aws 命令前查看详情。

流程

1. 如果您作为客户使用 AWS 机构，那么您必须在您的机构中使用 AWS 帐户或 创建新帐户。
2. 为确保红帽可以执行必要的操作，您必须创建一个服务控制策略(SCP)，或确保 none 应用到 AWS 帐户。
3. 将 SCP 附加到 AWS 帐户。
4. 按照设置环境的 ROSA 步骤进行操作。

流程

1. 允许列出用于安装和下载软件包和工具的以下 URL：

   域	端口	功能
   registry.redhat.io	443	提供核心容器镜像。
   quay.io	443	提供核心容器镜像。
   cdn01.quay.io	443	提供核心容器镜像。
   cdn02.quay.io	443	提供核心容器镜像。
   cdn03.quay.io	443	提供核心容器镜像。
   sso.redhat.com	443	必需。https://console.redhat.com/openshift 站点使用 sso.redhat.com 中的身份验证下载 pull secret，并使用 Red Hat SaaS 解决方案来简化订阅、集群清单、销售报告等的监控。
   quay-registry.s3.amazonaws.com	443	提供核心容器镜像。
   ocm-quay-production-s3.s3.amazonaws.com	443	提供核心容器镜像。
   quayio-production-s3.s3.amazonaws.com	443	提供核心容器镜像。
   cart-rhcos-ci.s3.amazonaws.com	443	提供 Red Hat Enterprise Linux CoreOS (RHCOS)镜像。
   openshift.org	443	提供 Red Hat Enterprise Linux CoreOS (RHCOS)镜像。
   registry.access.redhat.com	443	托管存储在 Red Hat Ecosytem Catalog 中的所有容器镜像。另外，registry 提供了对 odo CLI 工具的访问，可帮助开发人员在 OpenShift 和 Kubernetes 上进行构建。
   access.redhat.com	443	必需。托管容器客户端在从 registry.access.redhat.com 中拉取镜像时验证镜像所需的签名存储。
   registry.connect.redhat.com	443	所有第三方镜像和认证 Operator 都需要。
   console.redhat.com	443	必需。允许集群和 OpenShift Console Manager 之间的交互以启用功能，如调度升级。
   sso.redhat.com	443	https://console.redhat.com/openshift 站点使用来自 sso.redhat.com的身份验证
   pull.q1w2.quay.rhcloud.com	443	当 quay.io 不可用时，提供核心容器镜像作为回退。
   .q1w2.quay.rhcloud.com	443	当 quay.io 不可用时，提供核心容器镜像作为回退。
   www.okd.io	443	openshift.org 站点通过 www.okd.io 重定向。
   www.redhat.com	443	sso.redhat.com 站点通过 www.redhat.com 重定向。
   aws.amazon.com	443	iam.amazonaws.com 和 sts.amazonaws.com 站点通过 aws.amazon.com 重定向。
   catalog.redhat.com	443	registry.access.redhat.com 和 https://registry.redhat.io 站点通过 catalog.redhat.com 重定向。
   dvbwgdztaeq9o.cloudfront.net [1]	443	ROSA 用于带有管理的 OIDC 配置的 STS 实现。

   1. 如果 cloudfront.net 前面有一个主要云前端中断需要重定向资源，则字母数字字符的字符串可能会改变。

2. 将以下遥测 URL 列入允许列表：

   域	端口	功能
   cert-api.access.redhat.com	443	遥测是必需的。
   api.access.redhat.com	443	遥测是必需的。
   infogw.api.openshift.com	443	遥测是必需的。
   console.redhat.com	443	遥测(telemetry)和 Red Hat Insights 需要。
   cloud.redhat.com/api/ingress	443	遥测(telemetry)和 Red Hat Insights 需要。
   observatorium-mst.api.openshift.com	443	受管 OpenShift 遥测需要。
   observatorium.api.openshift.com	443	受管 OpenShift 遥测需要。

   受管集群需要让红帽能够更快速地对问题做出反应，更好地支持客户，并更好地了解产品升级对集群的影响。有关红帽如何使用远程健康监控数据的更多信息，请参阅附加资源部分 关于远程健康监控 的信息。

3. 允许以下 Amazon Web Services (AWS) API URls：

   域	端口	功能
   .amazonaws.com	443	需要此项以访问 AWS 服务和资源。

   或者，如果您选择不为 Amazon Web Services (AWS) API 使用通配符，则必须允许列出以下 URL：

   域	端口	功能
   ec2.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   events.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   iam.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   route53.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   sts.amazonaws.com	443	用于在 AWS 环境中安装和管理集群，用于配置为使用 AWS STS 的全局端点。
   sts.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群，用于配置为使用 AWS STS 的区域端点的集群。如需更多信息，请参阅 AWS STS 区域端点。
   tagging.us-east-1.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。此端点始终为 us-east-1，无论集群要部署到的区域。
   ec2.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   elasticloadbalancing.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   servicequotas.<aws_region>.amazonaws.com	443	必需。用于确认用于部署该服务的配额。
   tagging.<aws_region>.amazonaws.com	443	允许以标签的形式分配 AWS 资源的元数据。

4. 将以下 OpenShift URL 列入允许列表：

   域	端口	功能
   mirror.openshift.com	443	用于访问镜像安装内容和镜像。此站点也是发行版本镜像签名的来源，但 Cluster Version Operator (CVO)只需要一个可正常工作的源。
   storage.googleapis.com/openshift-release (推荐)	443	mirror.openshift.com/ 的替代站点。用于下载集群用来从 quay.io 中拉取哪些镜像的平台发行版本签名。
   api.openshift.com	443	用于检查集群是否有可用的更新。

5. 将以下站点可靠性工程(SRE)和管理 URL 列入允许：

   域	端口	功能
   api.pagerduty.com	443	集群内 alertmanager 使用此警报发送警报，通知 Red Hat SRE 要对其执行操作的事件通知。
   events.pagerduty.com	443	集群内 alertmanager 使用此警报发送警报，通知 Red Hat SRE 要对其执行操作的事件通知。
   api.deadmanssnitch.com	443	Red Hat OpenShift Service on AWS 用来发送定期 ping 的警报服务，以指示集群是否可用并在运行。
   nosnch.in	443	Red Hat OpenShift Service on AWS 用来发送定期 ping 的警报服务，以指示集群是否可用并在运行。
   .osdsecuritylogs.categoriescloud.com OR inputs1.osdsecuritylogs.categoriescloud.com inputs2.osdsecuritylogs.mvapichcloud.com inputs4.osdsecuritylogs.categoriescloud.com inputs5.osdsecuritylogs.categoriescloud.com inputs6.osdsecuritylogs.categoriescloud.com inputs7 .osdsecuritylogs.splunkcloud.cominputs8.osdsecuritylogs.zFCPcloud.com inputs9.osdsecuritylogs.12 inputs10.osdsecuritylogs.osdsecuritylogs.osdsecuritylogs11 inputs10.osdsecuritylogs.osdsecuritycom inputs10.osdsecuritylogs.osdsecuritycominputs.osdsecuritylogs.osd.osdsecuritylogs.osdsecuritycominputs5.osdsecuritylogs.com inputs10.osdsecuritylogs.cominputs10.osdsecuritylogs.osdsecuritylogs.osdsecuritylogs.osdsecuritylogs.com inputs5.osdsecuritylogs.com inputs5.osdsecuritylogs.com inputs6.osdsecuritylogs.com inputs6.osdsecuritylogs.com inputs5.osdsecuritylogs.com inputs10.osdsecuritylogs.cominputs8.osdsecuritylogs.cominputs9.osdsecuritylogs.com inputs5.osdsecuritylogs.com inputs10.osdsecuritylogs.com inputs5.osdsecuritylogs.com inputs10.osdsecuritylogs.cominputs5.osdsecuritylogs.com inputs5.osdsecuritylogs.com inputs6.osdsecuritylogs.com inputs10.osdsecuritylogs.cominputs10.osdsecuritylogs.com inputs10.osdsecuritylogs.com inputs10.osdsecuritylogs.osd.osdsecuritylogs.com inputs1.osdsecuritylogs.cominputs1.osdsecuritylogs.com inputs6.osdsecuritylogs.com inputs1.osdsecuritylogs.com inputs1.osdsecuritylogs.cominputs.osdsecuritylogs.osd.osdsecuritylogs.com inputs4.osdsecuritylogs.com inputs5.osdsecuritylogs.cominputs5.osdsecuritylogs.cominputs10.osdsecuritylogs.com inputs10.osdsecuritylogs.com inputs4.osdsecuritylogs.cominputs8.osdsecuritylogs.cominputs8.osdsecuritylogs.com inputs5.osdsecuritylogs.com inputs5.osdsecuritylogs.com inputs6.osdsecuritylogs.cominputs6.osdsecuritylogs.com inputs6.osdsecuritylogs.com inputs6.osdsecuritylogs.com inputs6.osdsecuritylogs.cominputs	9997	splunk-forwarder-operator 使用为一个日志转发端点，供 Red Hat SRE 用于基于日志的警报。
   http-inputs-osdsecuritylogs.splunkcloud.com	443	必需。splunk-forwarder-operator 使用为一个日志转发端点，供 Red Hat SRE 用于基于日志的警报。
   sftp.access.redhat.com (Recommended)	22	must-gather-operator 使用的 SFTP 服务器上传诊断日志，以帮助排除集群中的问题。

6. 将以下 URL 列入允许的可选第三方内容：

   域	端口	功能
   registry.connect.redhat.com	443	所有第三方镜像和认证操作器都需要。
   rhc4tp-prod-z8cxf-image-registry-us-east-1-evenkyleffocxqvofrk.s3.dualstack.us-east-1.amazonaws.com	443	提供对托管在 registry.connect.redhat.com上的容器镜像的访问
   oso-rhc4tp-docker-registry.s3-us-west-2.amazonaws.com	443	对于 Sonatype Nexus, F5 Big IP operator 是必需的。

7. 将提供构建所需语言或框架资源的任何站点列入允许列表。
8. 允许允许任何依赖于 OpenShift 中使用的语言和框架的出站 URL。如需防火墙或代理上允许的推荐 URL 列表，请参阅 OpenShift 出站 URL。

1. 执行 AWS 的先决条件。要部署 ROSA 集群，您的 AWS 帐户必须满足先决条件要求。
2. 查看所需的 AWS 服务配额。要准备集群部署，请查看运行 ROSA 集群的 AWS 服务配额。
3. 配置 AWS 帐户。在创建 ROSA 集群前，您必须在 AWS 帐户中启用 ROSA，安装和配置 AWS CLI (aws)工具，并验证 AWS CLI 工具配置。
4. 安装 ROSA 和 OpenShift CLI 工具并验证 AWS 服务配额。安装和配置 ROSA CLI (rosa)和 OpenShift CLI (oc)。您可以使用 ROSA CLI 验证所需的 AWS 资源配额是否可用。
5. 创建 ROSA 集群 或使用 AWS PrivateLink 创建 ROSA 集群。使用 ROSA CLI (rosa)创建集群。您可以选择使用 AWS PrivateLink 创建 ROSA 集群。
6. 访问集群。您可以配置身份提供程序，并根据需要为身份提供程序用户授予集群管理员特权。您还可以通过配置 cluster-admin 用户来快速访问新部署的集群。
7. 撤销对用户 的 ROSA 集群的访问权限。您可以使用 ROSA CLI 或 Web 控制台撤销用户对 ROSA 集群的访问。
8. 删除 ROSA 集群。您可以使用 ROSA CLI (rosa)删除 ROSA 集群。

流程

1. 登录到您要使用的 Amazon Web Services (AWS)帐户。

   建议专用 AWS 帐户来运行生产环境集群。如果使用 AWS Organizations，您可以使用您所在机构的 AWS 帐户或创建一个新账户。

   如果您使用 AWS 机构，且您需要有一个服务控制策略 (SCP) 应用于您计划使用的 AWS 帐户，请参阅 AWS 先决条件。

   作为集群创建过程的一部分，rosa 建立 osdCcsAdmin IAM 用户。此用户使用您在配置 AWS CLI 时提供的 IAM 凭证。

   注意

   此用户启用了 Programmatic 访问权限，并附加了 AdministratorAccess 策略。

2. 在 AWS 控制台中启用 ROSA 服务。

   1. 登录您的 AWS 帐户。
   2. 要启用 ROSA，请转至 ROSA 服务 并选择 Enable OpenShift。

3. 安装和配置 AWS CLI。

   1. 按照 AWS 命令行界面文档为您的操作系统 安装和配置 AWS CLI。

      在 .aws/credentials 文件中指定正确的 aws_access_key_id 和 aws_secret_access_key。请参阅 AWS 文档中的 AWS 配置基础知识。

   2. 设置默认 AWS 区域。

      注意

      建议使用环境变量来设置默认的 AWS 区域。

      ROSA 服务以以下优先级顺序评估区域：

      1. 使用 --region 标志运行 rosa 命令时指定的区域。
      2. AWS_DEFAULT_REGION 环境变量中设置的区域。请参阅 AWS 文档中的配置 AWS CLI 的环境变量。
      3. AWS 配置文件中设置的默认区域。请参阅 AWS 文档中的使用 aws 配置的快速配置。

   3. 可选：使用名为 profile 的 AWS CLI 设置和凭证配置 AWS CLI 设置和凭证。ROSA 按照以下优先级顺序评估 AWS 命名配置集：

      1. 使用 --profile 标志运行 rosa 命令时指定的配置集。
      2. 在 AWS_PROFILE 环境变量中设置的配置集。请参阅 AWS 文档中的 名称配置集。

   4. 运行以下命令查询 AWS API 来验证 AWS CLI 是否已正确安装和配置：

      $ aws sts get-caller-identity --output text

      输出示例

      <aws_account_id>    arn:aws:iam::<aws_account_id>:user/<username>  <aws_user_id>

      完成这些步骤后，安装 ROSA。

流程

1. 安装 rosa，Red Hat OpenShift Service on AWS 的命令行接口 (CLI)。

   1. 为您的操作系统下载 ROSA CLI 的最新版本。
   2. 可选：命名您下载到 rosa 的可执行文件。本文档使用 rosa 参考可执行文件。

   3. 可选：在路径中添加 rosa。

      示例

      $ mv rosa /usr/local/bin/rosa

   4. 输入以下命令验证您的安装：

      $ rosa

      输出示例

      Command line tool for Red Hat OpenShift Service on AWS.
      For further documentation visit https://access.redhat.com/documentation/zh-cn/red_hat_openshift_service_on_aws
      
      Usage:
        rosa [command]
      
      Available Commands:
        completion  Generates completion scripts
        create      Create a resource from stdin
        delete      Delete a specific resource
        describe    Show details of a specific resource
        download    Download necessary tools for using your cluster
        edit        Edit a specific resource
        grant       Grant role to a specific resource
        help        Help about any command
        init        Applies templates to support Red Hat OpenShift Service on AWS
        install     Installs a resource into a cluster
        link        Link a ocm/user role from stdin
        list        List all resources of a specific type
        login       Log in to your Red Hat account
        logout      Log out
        logs        Show installation or uninstallation logs for a cluster
        revoke      Revoke role from a specific resource
        uninstall   Uninstalls a resource from a cluster
        unlink      UnLink a ocm/user role from stdin
        upgrade     Upgrade a resource
        verify      Verify resources are configured correctly for cluster install
        version     Prints the version of the tool
        whoami      Displays user account information
      
      Flags:
            --color string   Surround certain characters with escape sequences to display them in color on the terminal. Allowed options are [auto never always] (default "auto")
            --debug          Enable debug mode.
        -h, --help           help for rosa
      
      Use "rosa [command] --help" for more information about a command.

   5. 可选：为 ROSA CLI 生成命令完成脚本。以下示例为 Linux 机器生成 Bash 完成脚本：

      $ rosa completion bash | sudo tee /etc/bash_completion.d/rosa

   6. 可选：从现有终端中为 ROSA CLI 启用命令完成。以下示例在 Linux 机器上的现有终端中启用 rosa 的 Bash 完成功能：

      $ source /etc/bash_completion.d/rosa

2. 使用 rosa 登录您的红帽帐户。

   1. 输入以下命令。

      $ rosa login

   2. 将 <my_offline_access_token& gt; 替换为您的令牌。

      输出示例

      To login to your Red Hat account, get an offline access token at https://console.redhat.com/openshift/token/rosa
      ? Copy the token and paste it here: <my-offline-access-token>

      输出持续示例

      I: Logged in as 'rh-rosa-user' on 'https://api.openshift.com'

3. 输入以下命令验证您的 AWS 帐户是否有必要权限。

   $ rosa verify permissions

   输出示例

   I: Validating SCP policies...
   I: AWS SCP policies ok

   注意

   此命令只验证没有使用 AWS 安全令牌服务(STS)的 ROSA 集群的权限。

4. 验证您的 AWS 帐户是否具有在 AWS 集群上部署 Red Hat OpenShift Service 所需的配额。

   $ rosa verify quota --region=us-west-2

   输出示例

   I: Validating AWS quota...
   I: AWS quota ok

   注意

   有时，AWS 配额因区域而异。如果您收到任何错误，请尝试不同的区域。

   如果需要提高配额，进入 AWS 控制台，并为失败的服务请求配额增加。

   权限和配额检查通过后，继续下一步。

5. 为集群部署准备 AWS 帐户：

   1. 运行以下命令，以验证您的红帽和 AWS 凭证是否已正确设置。检查 AWS 帐户 ID、默认区域和 ARN 是否与您所期望的内容匹配。您可以安全地忽略以 OCM 开头的行。

      $ rosa whoami

      输出示例

      AWS Account ID:               000000000000
      AWS Default Region:           us-east-2
      AWS ARN:                      arn:aws:iam::000000000000:user/hello
      OCM API:                      https://api.openshift.com
      OCM Account ID:               1DzGIdIhqEWyt8UUXQhSoWaaaaa
      OCM Account Name:             Your Name
      OCM Account Username:         you@domain.com
      OCM Account Email:            you@domain.com
      OCM Organization ID:          1HopHfA2hcmhup5gCr2uH5aaaaa
      OCM Organization Name:        Red Hat
      OCM Organization External ID: 0000000

   2. 初始化 AWS 帐户。此步骤运行一个 CloudFormation 模板，用于准备 AWS 帐户以进行集群部署和管理。此步骤通常需要 1-2 分钟才能完成。

      $ rosa init

      输出示例

      I: Logged in as 'rh-rosa-user' on 'https://api.openshift.com'
      I: Validating AWS credentials...
      I: AWS credentials are valid!
      I: Validating SCP policies...
      I: AWS SCP policies ok
      I: Validating AWS quota...
      I: AWS quota ok
      I: Ensuring cluster administrator user 'osdCcsAdmin'...
      I: Admin user 'osdCcsAdmin' created successfully!
      I: Verifying whether OpenShift command-line tool is available...
      E: OpenShift command-line tool is not installed.
      Run 'rosa download oc' to download the latest version, then add it to your PATH.

6. 从 ROSA CLI 安装 OpenShift CLI (oc)。

   1. 输入这个命令下载 oc CLI 的最新版本：

      $ rosa download oc

   2. 下载 oc CLI 后，解压它并将其添加到您的路径中。

   3. 输入这个命令来验证 oc CLI 是否已正确安装：

      $ rosa verify oc

流程

1. 您可以使用默认设置或使用互动模式指定自定义设置来创建集群。要在创建集群时查看其他选项，请输入 rosa create cluster --help 命令。

   创建集群最多可能需要 40 分钟。

   注意

   对于生产环境工作负载，建议使用多个可用区(AZ)。默认为单个可用区。使用 --help 来手动设置这个选项，或使用互动模式进行此设置。

   • 使用默认集群设置创建集群：

     $ rosa create cluster --cluster-name=<cluster_name>

     输出示例

     I: Creating cluster with identifier '1de87g7c30g75qechgh7l5b2bha6r04e' and name 'rh-rosa-test-cluster1'
     I: To view list of clusters and their status, run `rosa list clusters`
     I: Cluster 'rh-rosa-test-cluster1' has been created.
     I: Once the cluster is 'Ready' you will need to add an Identity Provider and define the list of cluster administrators. See `rosa create idp --help` and `rosa create user --help` for more information.
     I: To determine when your cluster is Ready, run `rosa describe cluster rh-rosa-test-cluster1`.

   • 使用交互式提示创建集群：

     $ rosa create cluster --interactive

   • 要配置网络 IP 范围，您可以使用以下默认范围。有关使用手动模式时的更多信息，请使用 rosa create cluster --help | grep cidr 命令。在交互模式中，会提示您输入设置。

     • 节点 CIDR: 10.0.0.0/16
     • Service CIDR: 172.30.0.0/16
     • Pod CIDR: 10.128.0.0/14

2. 输入以下命令检查集群的状态。在集群创建过程中，输出中的 State 字段将从 pending 过渡到 installing，最后变为 ready。

   $ rosa describe cluster --cluster=<cluster_name>

   输出示例

   Name: rh-rosa-test-cluster1
   OpenShift Version: 4.6.8
   DNS: *.example.com
   ID: uniqueidnumber
   External ID: uniqueexternalidnumber
   AWS Account: 123456789101
   API URL: https://api.rh-rosa-test-cluster1.example.org:6443
   Console URL: https://console-openshift-console.apps.rh-rosa-test-cluster1.example.or
   Nodes: Master: 3, Infra: 2, Compute: 2
   Region: us-west-2
   Multi-AZ: false
   State: ready
   Channel Group: stable
   Private: No
   Created: Jan 15 2021 16:30:55 UTC
   Details Page: https://console.redhat.com/examplename/details/idnumber

   注意

   如果安装失败，或者 State 字段在 40 分钟后没有变为 ready，请检查安装故障排除文档以了解更多详细信息。

3. 通过观察 OpenShift 安装程序日志来跟踪集群创建的进度：

   $ rosa logs install --cluster=<cluster_name> --watch

流程

1. 输入以下命令撤销用户的 dedicated-admin 访问权限：

   $ rosa revoke user dedicated-admin --user=<idp_user_name> --cluster=<cluster_name>

2. 输入以下命令验证您的用户是否不再具有 dedicated-admin 访问权限。输出不会列出撤销的用户。

   $ oc get groups dedicated-admins

流程

1. 输入以下命令撤销用户的 cluster-admin 访问权限：

   $ rosa revoke user cluster-admins --user=myusername --cluster=mycluster

2. 输入以下命令验证用户是否不再具有 cluster-admin 访问权限。输出不会列出撤销的用户。

   $ oc get groups cluster-admins

流程

1. 获取集群 ID、特定于集群 Operator 角色的 Amazon 资源名称 (ARN) 和 OIDC 供应商的端点 URL：

   $ rosa describe cluster --cluster=<cluster_name> 1

   1

   将 <cluster_name> 替换为集群的名称。

   输出示例

   Name:                       mycluster
   ID:                         1s3v4x39lhs8sm49m90mi0822o34544a 1
   ...
   Operator IAM Roles: 2
    - arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-machine-api-aws-cloud-credentials
    - arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-cloud-credential-operator-cloud-crede
    - arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-image-registry-installer-cloud-creden
    - arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-ingress-operator-cloud-credentials
    - arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-cluster-csi-drivers-ebs-cloud-credent
    - arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-cloud-network-config-controller-cloud
   State:                      ready
   Private:                    No
   Created:                    May 13 2022 11:26:15 UTC
   Details Page:               https://console.redhat.com/openshift/details/s/296kyEFwzoy1CREQicFRdZybrc0
   OIDC Endpoint URL:          https://oidc.op1.openshiftapps.com/<oidc_config_id> 3

   1

   列出集群 ID。

   2

   指定特定于集群 Operator 角色的 ARN。例如，在示例输出中，Machine Config Operator 所需的角色的 ARN 是 arn:aws:iam::<aws_account_id>:role/mycluster-x4q9-openshift-machine-api-aws-cloud-credentials。

   3

   显示特定于集群的 OIDC 供应商的端点 URL。

   重要

   在删除集群后，您需要集群 ID 来使用 ROSA CLI (rosa)删除特定于集群的 STS 资源。

2. 删除集群：

   • 使用 Red Hat OpenShift Cluster Manager 删除集群：

     1. 导航到 OpenShift Cluster Manager。
     2. 点集群 旁边的 Options 菜单并选择 Delete cluster。
     3. 在提示符处键入集群名称并点 Delete。

   • 使用 ROSA CLI (rosa)删除集群：

     1. 输入以下命令删除集群并观察日志，将 < cluster_name& gt; 替换为集群的名称或 ID：

        $ rosa delete cluster --cluster=<cluster_name> --watch

        重要

        在删除 Operator 角色和 OIDC 供应商前，您必须等待集群删除完成。需要特定于集群的 Operator 角色来清理 OpenShift Operator 创建的资源。Operator 使用 OIDC 供应商进行身份验证。

3. 删除集群 Operator 用于身份验证的 OIDC 供应商：

   $ rosa delete oidc-provider -c <cluster_id> --mode auto 1

   1

   将 <cluster_id> 替换为集群的 ID。

   注意

   您可以使用 -y 选项，在提示符处自动回答 yes。

4. 可选。删除特定于集群的 Operator IAM 角色：

   重要

   帐户范围的 IAM 角色可供同一 AWS 帐户中的其他 ROSA 集群使用。只有角色不再被其他集群需要时，才删除这些资源。

   $ rosa delete operator-roles -c <cluster_id> --mode auto 1

   1

   将 <cluster_id> 替换为集群的 ID。