1. 为租户 Operator 创建命名空间，与租户的命名空间分开。您可以通过创建项目来完成此操作。
2. 为租户 Operator 创建 Operator 组，范围仅限于租户的命名空间。
3. 在租户 Operator 命名空间中安装 Operator。

流程

1. 为此流程在 Red Hat OpenShift Service on AWS Web 控制台中创建一个新项目。这个示例使用名为 my-etcd 的项目。

2. 导航至 Operators → Installed Operators 页面。由 dedicated-admin 安装到集群中且可供使用的 Operator 将显示为集群服务版本(CSV)列表。CSV 用于启动和管理由 Operator 提供的软件。

   提示

   使用以下命令从 CLI 获得该列表：

   $ oc get csv

3. 在 Installed Operators 页面中，点 etcd Operator 查看更多详情和可用操作。

   正如 Provided API 下所示，该 Operator 提供了三类新资源，包括一种用于 etcd Cluster 的资源（EtcdCluster 资源）。这些对象的工作方式与内置的原生 Kubernetes 对象（如 Deployment 或 ReplicaSet ）相似，但包含特定于管理 etcd 的逻辑。

4. 新建 etcd 集群：

   1. 在 etcd Cluster API 框中，点 Create instance。
   2. 下一页允许您对 EtcdCluster 对象的最小起始模板进行任何修改，如集群的大小。现在，点击 Create 即可完成。点击后即可触发 Operator 启动 pod、服务和新 etcd 集群的其他组件。

5. 点 示例 etcd 集群，然后点 Resources 选项卡，您可以看到您的项目现在包含很多由 Operator 自动创建和配置的资源。

   验证已创建了支持您从项目中的其他 pod 访问数据库的 Kubernetes 服务。

6. 给定项目中具有 edit 角色的所有用户均可创建、管理和删除应用程序实例（本例中为 etcd 集群），这些实例由已在项目中创建的 Operator 以自助方式管理，就像云服务一样。如果要赋予其他用户这一权利，项目管理员可使用以下命令添加角色：

   $ oc policy add-role-to-user edit <user> -n <target_project>

流程

1. 在 Web 控制台中导航至 Operators → OperatorHub 页面。

2. 找到您需要的 Operator（滚动页面会在 Filter by keyword 框中输入查找关键字）。例如，输入 advanced 来查找 Advanced Cluster Management for Kubernetes Operator。

   您还可以根据基础架构功能过滤选项。例如，如果您希望 Operator 在断开连接的环境中工作，请选择 Disconnected。

3. 选择要显示更多信息的 Operator。

   注意

   选择 Community Operator 会警告红帽没有认证社区 Operator ; 您必须确认该警告方可继续。

4. 阅读 Operator 信息并单击 Install。

5. 在 Install Operator 页面中：

   1. 任选以下一项：

      • All namespaces on the cluster (default)，选择该项会将 Operator 安装至默认 openshift-operators 命名空间，以便供集群中的所有命名空间监视和使用。该选项并非始终可用。
      • A specific namespace on the cluster，该项支持您选择单一特定命名空间来安装 Operator。该 Operator 仅限在该单一命名空间中监视和使用。

   2. 对于启用了令牌身份验证的云供应商上的集群：

      • 如果集群处于 AWS STS 模式，在 role ARN 字段中输入服务帐户的 AWS IAM 角色的 Amazon Resource Name (ARN)。

        

        要创建角色的 ARN，请按照 准备 AWS 帐户 中所述的步骤进行操作。

      • 如果集群处于 Azure AD Workload Identity 模式，请在适当的字段中添加客户端 ID、租户 ID 和订阅 ID。
   3. 如果有多个更新频道可用，请选择一个 更新频道。

   4. 如前面所述，选择自动或手动批准策略。

      重要

      如果 web 控制台显示集群处于 AWS STS 或 Azure AD Workload Identity 模式，您必须将 Update approval 设置为 Manual。

      不建议使用具有自动更新批准的订阅，因为更新前可能会有权限更改。使用手动批准的订阅可确保管理员有机会验证更新版本的权限，并在更新前采取必要的操作。

6. 点 Install 使 Operator 可供此 Red Hat OpenShift Service on AWS 集群上的所选命名空间使用。

   1. 如果选择了手动批准策略，订阅的升级状态将保持在 Upgrading 状态，直至您审核并批准安装计划。

      在 Install Plan 页面批准后，订阅的升级状态将变为 Up to date。

   2. 如果选择了 Automatic 批准策略，升级状态会在不用人工参与的情况下变为 Up to date。

7. 在订阅的升级状态成为 Up to date 后，选择 Operators → Installed Operators 来验证已安装 Operator 的 ClusterServiceVersion（CSV）是否最终出现了。状态最终会在相关命名空间中变为 InstallSucceeded。

   注意

   对于 All namespaces…​ 安装模式，状态在 openshift-operators 命名空间中解析为 InstallSucceeded，但如果检查其他命名空间，则状态为 Copied。

   如果没有：

   1. 检查 openshift-operators 项目（如果选择了 A specific namespace…​ 安装模式）中的 openshift-operators 项目中的 pod 的日志，这会在 Workloads → Pods 页面中报告问题以便进一步排除故障。

流程

1. 查看 OperatorHub 中集群可用的 Operator 列表：

   $ oc get packagemanifests -n openshift-marketplace

   输出示例

   NAME                               CATALOG               AGE
   3scale-operator                    Red Hat Operators     91m
   advanced-cluster-management        Red Hat Operators     91m
   amq7-cert-manager                  Red Hat Operators     91m
   ...
   couchbase-enterprise-certified     Certified Operators   91m
   crunchy-postgres-operator          Certified Operators   91m
   mongodb-enterprise                 Certified Operators   91m
   ...
   etcd                               Community Operators   91m
   jaeger                             Community Operators   91m
   kubefed                            Community Operators   91m
   ...

   记录下所需 Operator 的目录。

2. 检查所需 Operator，以验证其支持的安装模式和可用频道：

   $ oc describe packagemanifests <operator_name> -n openshift-marketplace

3. 一个 Operator 组（由 OperatorGroup 对象定义），在其中选择目标命名空间，在其中为与 Operator 组相同的命名空间中的所有 Operator 生成所需的 RBAC 访问权限。

   订阅 Operator 的命名空间必须具有与 Operator 的安装模式相匹配的 Operator 组，可采用 AllNamespaces 模式，也可采用 SingleNamespace 模式。如果您要使用 AllNamespaces 安装 Operator，则 openshift-operators 命名空间已有适当的 Operator 组。

   如果要安装的 Operator 采用 SingleNamespace 模式，而您没有适当的 Operator 组，则必须创建一个。

   注意

   在选择 SingleNamespace 模式时，该流程的 Web 控制台版本会在后台自动为您处理 OperatorGroup 和 Subscription 对象的创建。

   1. 创建 OperatorGroup 对象 YAML 文件，如 operatorgroup.yaml：

      OperatorGroup 对象示例

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: <operatorgroup_name>
        namespace: <namespace>
      spec:
        targetNamespaces:
        - <namespace>

   2. 创建 OperatorGroup 对象：

      $ oc apply -f operatorgroup.yaml

4. 创建一个 Subscription 对象 YAML 文件，以便为 Operator 订阅一个命名空间，如 sub.yaml：

   Subscription 对象示例

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: <subscription_name>
     namespace: openshift-operators 1
   spec:
     channel: <channel_name> 2
     name: <operator_name> 3
     source: redhat-operators 4
     sourceNamespace: openshift-marketplace 5
     config:
       env: 6
       - name: ARGS
         value: "-v=10"
       envFrom: 7
       - secretRef:
           name: license-secret
       volumes: 8
       - name: <volume_name>
         configMap:
           name: <configmap_name>
       volumeMounts: 9
       - mountPath: <directory_name>
         name: <volume_name>
       tolerations: 10
       - operator: "Exists"
       resources: 11
         requests:
           memory: "64Mi"
           cpu: "250m"
         limits:
           memory: "128Mi"
           cpu: "500m"
       nodeSelector: 12
         foo: bar

   1

   对于默认的 AllNamespaces 安装模式用法，请指定 openshift-operators 命名空间。另外，如果创建了自定义全局命名空间，您可以指定一个自定义全局命名空间。否则，为 SingleNamespace 安装模式使用指定相关单一命名空间。

   2

   要订阅的频道的名称。

   3

   要订阅的 Operator 的名称。

   4

   提供 Operator 的目录源的名称。

   5

   目录源的命名空间。将 openshift-marketplace 用于默认的 OperatorHub 目录源。

   6

   env 参数定义必须存在于由 OLM 创建的 pod 中所有容器中的环境变量列表。

   7

   envFrom 参数定义要在容器中填充环境变量的源列表。

   8

   volumes 参数定义 OLM 创建的 pod 上必须存在的卷列表。

   9

   volumeMounts 参数定义由 OLM 创建的 pod 中必须存在的卷挂载列表。如果 volumeMount 引用不存在的 卷，OLM 无法部署 Operator。

   10

   tolerations 参数为 OLM 创建的 pod 定义 Tolerations 列表。

   11

   resources 参数为 OLM 创建的 pod 中所有容器定义资源限制。

   12

   nodeSelector 参数为 OLM 创建的 pod 定义 NodeSelector。

5. 对于启用了令牌身份验证的云供应商上的集群：

   1. 确保 Subscription 对象被设置为手动更新批准：

      kind: Subscription
      # ...
      spec:
        installPlanApproval: Manual 1

      1

      不建议使用具有自动更新批准的订阅，因为更新前可能会有权限更改。使用手动批准的订阅可确保管理员有机会验证更新版本的权限，并在更新前采取必要的操作。

   2. 在 Subscription 对象的 config 部分包括相关的云供应商相关字段：

      • 如果集群处于 AWS STS 模式，请包含以下字段：

        kind: Subscription
        # ...
        spec:
          config:
            env:
            - name: ROLEARN
              value: "<role_arn>" 1

        1

        包含角色 ARN 详情。

      • 如果集群处于 Azure AD Workload Identity 模式，请包括以下字段：

        kind: Subscription
        # ...
        spec:
         config:
           env:
           - name: CLIENTID
             value: "<client_id>" 1
           - name: TENANTID
             value: "<tenant_id>" 2
           - name: SUBSCRIPTIONID
             value: "<subscription_id>" 3

        1

        包含客户端 ID。

        2

        包含租户 ID。

        3

        包括订阅 ID。

6. 创建 Subscription 对象：

   $ oc apply -f sub.yaml

   此时，OLM 已了解所选的 Operator。Operator 的集群服务版本（CSV）应出现在目标命名空间中，由 Operator 提供的 API 应可用于创建。

流程

1. 运行以下命令，查找您要安装的 Operator 的可用版本和频道：

   命令语法

   $ oc describe packagemanifests <operator_name> -n <catalog_namespace>

   例如，以下命令从 OperatorHub 打印 Red Hat Quay Operator 可用频道和版本：

   示例命令

   $ oc describe packagemanifests quay-operator -n openshift-marketplace

   例 4.1. 输出示例

   Name:         quay-operator
   Namespace:    operator-marketplace
   Labels:       catalog=redhat-operators
                 catalog-namespace=openshift-marketplace
                 hypershift.openshift.io/managed=true
                 operatorframework.io/arch.amd64=supported
                 operatorframework.io/os.linux=supported
                 provider=Red Hat
                 provider-url=
   Annotations:  <none>
   API Version:  packages.operators.coreos.com/v1
   Kind:         PackageManifest
   ...
       Current CSV:  quay-operator.v3.7.11
   ...
       Entries:
         Name:       quay-operator.v3.7.11
         Version:    3.7.11
         Name:       quay-operator.v3.7.10
         Version:    3.7.10
         Name:       quay-operator.v3.7.9
         Version:    3.7.9
         Name:       quay-operator.v3.7.8
         Version:    3.7.8
         Name:       quay-operator.v3.7.7
         Version:    3.7.7
         Name:       quay-operator.v3.7.6
         Version:    3.7.6
         Name:       quay-operator.v3.7.5
         Version:    3.7.5
         Name:       quay-operator.v3.7.4
         Version:    3.7.4
         Name:       quay-operator.v3.7.3
         Version:    3.7.3
         Name:       quay-operator.v3.7.2
         Version:    3.7.2
         Name:       quay-operator.v3.7.1
         Version:    3.7.1
         Name:       quay-operator.v3.7.0
         Version:    3.7.0
       Name:         stable-3.7
   ...
      Current CSV:  quay-operator.v3.8.5
   ...
      Entries:
         Name:         quay-operator.v3.8.5
         Version:      3.8.5
         Name:         quay-operator.v3.8.4
         Version:      3.8.4
         Name:         quay-operator.v3.8.3
         Version:      3.8.3
         Name:         quay-operator.v3.8.2
         Version:      3.8.2
         Name:         quay-operator.v3.8.1
         Version:      3.8.1
         Name:         quay-operator.v3.8.0
         Version:      3.8.0
       Name:           stable-3.8
     Default Channel:  stable-3.8
     Package Name:     quay-operator

   提示

   您可以运行以下命令来以 YAML 格式输出 Operator 的版本和频道信息：

   $ oc get packagemanifests <operator_name> -n <catalog_namespace> -o yaml

   • 如果在命名空间中安装多个目录，请运行以下命令从特定目录中查找 Operator 的可用版本和频道：

     $ oc get packagemanifest \
        --selector=catalog=<catalogsource_name> \
        --field-selector metadata.name=<operator_name> \
        -n <catalog_namespace> -o yaml

     重要

     如果没有指定 Operator 的目录，运行 oc get packagemanifest 和 oc describe packagemanifest 命令可能会在满足以下条件时从一个意料外的目录中返回一个软件包：

     • 在同一命名空间中安装多个目录。
     • 目录包含具有相同名称的相同 Operator 或 Operator。

2. 由 OperatorGroup 对象定义的 Operator 组选择目标命名空间，在其中为与 Operator 组相同的命名空间中的所有 Operator 生成所需的基于角色的访问控制 (RBAC) 访问权限。

   订阅 Operator 的命名空间必须具有与 Operator 的安装模式相匹配的 Operator 组，可采用 AllNamespaces 模式，也可采用 SingleNamespace 模式。如果您要使用 AllNamespaces 模式安装的 Operator，则 openshift-operators 命名空间已有适当的 Operator 组。

   如果要安装的 Operator 采用 SingleNamespace 模式，而您没有适当的 Operator 组，则必须创建一个：

   1. 创建 OperatorGroup 对象 YAML 文件，如 operatorgroup.yaml：

      OperatorGroup 对象示例

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: <operatorgroup_name>
        namespace: <namespace>
      spec:
        targetNamespaces:
        - <namespace>

   2. 创建 OperatorGroup 对象：

      $ oc apply -f operatorgroup.yaml

3. 通过设置 startingCSV 字段，创建一个 Subscription 对象 YAML 文件，向带有特定版本的 Operator 订阅一个命名空间。将 installPlanApproval 字段设置为 Manual，以便在目录中存在更新的版本时防止 Operator 自动升级。

   例如，可以使用以下 sub.yaml 文件安装 Red Hat Quay Operator，专门用于版本 3.7.10：

   带有特定起始 Operator 版本的订阅

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: quay-operator
     namespace: quay
   spec:
     channel: stable-3.7
     installPlanApproval: Manual 1
     name: quay-operator
     source: redhat-operators
     sourceNamespace: openshift-marketplace
     startingCSV: quay-operator.v3.7.10 2

   1

   如果您指定的版本会被目录中的更新版本取代，则将批准策略设置为 Manual。此计划阻止自动升级到更新的版本，且需要在启动 CSV 可以完成安装前手动批准。

   2

   设置 Operator CSV 的特定版本。

4. 创建 Subscription 对象：

   $ oc apply -f sub.yaml

5. 手动批准待处理的安装计划以完成 Operator 安装。

流程

1. 在 Web 控制台中，点 Operators → OperatorHub。
2. 选择您要安装的 Operator。

3. 在所选的 Operator 中，您可以从列表中选择一个 Channel 和 Version。

   注意

   版本选择默认为所选频道的最新版本。如果选择了该频道的最新版本，则默认启用自动批准策略。如果没有为所选频道安装最新版本，则需要手动批准。

   手动批准适用于命名空间中安装的所有 Operator。

   使用手动批准安装 Operator 会导致命名空间中安装的所有 Operator 并使用 Manual 批准策略和所有 Operator 一起更新。将 Operator 安装到单独的命名空间中，以独立更新。

4. 点 Install

流程

1. 在安装 Operator 前，为租户 Operator 创建一个命名空间，该 Operator 与租户的命名空间分开。您可以通过创建项目来完成此操作。例如，如果租户的命名空间是 team1，您可以创建一个 team1-operator 项目：

   $ oc new-project team1-operator

2. 为租户 Operator 创建 Operator 组，范围到租户的命名空间，只有 spec.targetNamespaces 列表中有一个命名空间条目：

   1. 定义 OperatorGroup 资源并保存 YAML 文件，如 team1-operatorgroup.yaml ：

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: team1-operatorgroup
        namespace: team1-operator
      spec:
        targetNamespaces:
        - team1 1

      1

      仅在 spec.targetNamespaces 列表中定义租户的命名空间。

   2. 运行以下命令来创建 Operator 组：

      $ oc create -f team1-operatorgroup.yaml

流程

1. 在安装 Operator 前，为所需 Operator 安装创建一个命名空间。您可以通过创建项目来完成此操作。此项目的命名空间将成为自定义全局命名空间：

   $ oc new-project global-operators

2. 创建自定义 全局 Operator 组，这是监视所有命名空间的 Operator 组：

   1. 定义 OperatorGroup 资源并保存 YAML 文件，如 global-operatorgroup.yaml。省略 spec.selector 和 spec.targetNamespaces 字段，使其成为一个全局 Operator 组，该组选择所有命名空间：

      apiVersion: operators.coreos.com/v1
      kind: OperatorGroup
      metadata:
        name: global-operatorgroup
        namespace: global-operators

      注意

      创建的全局 OperatorGroup 的 status.namespace 包含空字符串 ("")，而该字符串会向正在使用的 Operator 发出信号，要求其监视所有命名空间。

   2. 运行以下命令来创建 Operator 组：

      $ oc create -f global-operatorgroup.yaml

1. 根据您的要求，确定 pod 的目标节点或一组节点。如果可用，请注意现有标签，如 node-role.kubernetes.io/app，用于标识节点。否则，使用计算机器集或直接编辑节点来添加标签，如 myoperator。您将在以后的步骤中使用此标签作为项目上的节点选择器。
2. 如果要确保只有具有特定标签的 pod 才能在节点上运行，同时将不相关的工作负载加载到其他节点，通过使用一个计算机器集或直接编辑节点为节点添加污点。使用一个效果来确保与污点不匹配的新 pod 不能调度到节点上。例如，myoperator:NoSchedule 污点确保与污点不匹配的新 pod 不能调度到该节点上，但节点上现有的 pod 可以保留。
3. 创建使用默认节点选择器配置的项目，如果您添加了污点，则创建一个匹配的容限。

1. 照常安装 Operator。
2. 如果需要，请确保您的节点已标记为正确响应关联性。

3. 编辑 Operator Subscription 对象以添加关联性：

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: openshift-custom-metrics-autoscaler-operator
     namespace: openshift-keda
   spec:
     name: my-package
     source: my-operators
     sourceNamespace: operator-registries
     config:
       affinity: 1
         nodeAffinity:
           requiredDuringSchedulingIgnoredDuringExecution:
             nodeSelectorTerms:
             - matchExpressions:
               - key: kubernetes.io/hostname
                 operator: In
                 values:
                 - ip-10-0-185-229.ec2.internal
   #...

   1

   添加 nodeAffinity、podAffinity 或 podAntiAffinity。有关创建关联性的详情，请参考下面的附加资源部分。

流程

1. 在 web 控制台的 Administrator 视角中，导航到 Operators → Installed Operators。
2. 点击您要更改更新频道的 Operator 名称。
3. 点 Subscription 标签页。
4. 点 Update channel 下的更新频道名称。
5. 点要更改的更新频道，然后点 Save。

6. 对于带有 自动批准策略 的订阅，更新会自动开始。返回到 Operators → Installed Operators 页面，以监控更新的进度。完成后，状态会变为 Succeeded 和 Up to date。

   对于采用手动批准策略的订阅，您可以从 Subscription 选项卡中手动批准更新。

流程

1. 在 Red Hat OpenShift Service on AWS Web 控制台的 Administrator 视角中，进入到 Operators → Installed Operators。
2. 处于待定更新的 Operator 会显示 Upgrade available 状态。点您要更新的 Operator 的名称。
3. 点 Subscription 标签页。任何需要批准的更新都会在 Upgrade status 旁边显示。例如：它可能会显示 1 requires approval。
4. 点 1 requires approval，然后点 Preview Install Plan。
5. 检查列出可用于更新的资源。在满意后，点 Approve。
6. 返回到 Operators → Installed Operators 页面，以监控更新的进度。完成后，状态会变为 Succeeded 和 Up to date。

流程

1. 进入到 Operators → Installed Operators 页面。
2. 在 Filter by name 字段中滚动或输入关键字以查找您要删除的 Operator。然后点它。

3. 在 Operator Details 页面右侧，从 Actions 列表中选择 Uninstall Operator。

   此时会显示 Uninstall Operator? 对话框。

4. 选择 Uninstall 来删除 Operator、Operator 部署和 pod。按照此操作，Operator 将停止运行，不再接收更新。

   注意

   此操作不会删除 Operator 管理的资源，包括自定义资源定义 (CRD) 和自定义资源 (CR) 。Web 控制台和继续运行的集群资源启用的仪表板和导航项可能需要手动清理。要在卸载 Operator 后删除这些，您可能需要手动删除 Operator CRD。

流程

1. 确保在 currentCSV 字段中标识了订阅 Operator 的最新版本（如 serverless-operator）。

   $ oc get subscription.operators.coreos.com serverless-operator -n openshift-serverless -o yaml | grep currentCSV

   输出示例

     currentCSV: serverless-operator.v1.28.0

2. 删除订阅（如 serverless-operator）：

   $ oc delete subscription.operators.coreos.com serverless-operator -n openshift-serverless

   输出示例

   subscription.operators.coreos.com "serverless-operator" deleted

3. 使用上一步中的 currentCSV 值来删除目标命名空间中相应 Operator 的 CSV：

   $ oc delete clusterserviceversion serverless-operator.v1.28.0 -n openshift-serverless

   输出示例

   clusterserviceversion.operators.coreos.com "serverless-operator.v1.28.0" deleted

流程

1. 从安装 Operator 的命名空间中获取 Subscription 和 ClusterServiceVersion 对象的名称：

   $ oc get sub,csv -n <namespace>

   输出示例

   NAME                                                       PACKAGE                  SOURCE             CHANNEL
   subscription.operators.coreos.com/elasticsearch-operator   elasticsearch-operator   redhat-operators   5.0
   
   NAME                                                                         DISPLAY                            VERSION    REPLACES   PHASE
   clusterserviceversion.operators.coreos.com/elasticsearch-operator.5.0.0-65   OpenShift Elasticsearch Operator   5.0.0-65              Succeeded

2. 删除订阅：

   $ oc delete subscription <subscription_name> -n <namespace>

3. 删除集群服务版本：

   $ oc delete csv <csv_name> -n <namespace>

4. 在 openshift-marketplace 命名空间中获取所有失败的作业的名称和相关配置映射：

   $ oc get job,configmap -n openshift-marketplace

   输出示例

   NAME                                                                        COMPLETIONS   DURATION   AGE
   job.batch/1de9443b6324e629ddf31fed0a853a121275806170e34c926d69e53a7fcbccb   1/1           26s        9m30s
   
   NAME                                                                        DATA   AGE
   configmap/1de9443b6324e629ddf31fed0a853a121275806170e34c926d69e53a7fcbccb   3      9m30s

5. 删除作业：

   $ oc delete job <job_name> -n openshift-marketplace

   这样可确保尝试拉取无法访问的镜像的 Pod 不会被重新创建。

6. 删除配置映射：

   $ oc delete configmap <configmap_name> -n openshift-marketplace

7. 在 Web 控制台中使用 OperatorHub 重新安装 Operator。

流程

1. 在 Web 控制台中导航至 Operators → OperatorHub 页面。
2. 选择 Operator 并点 Install。

3. 在 Install Operator 页面中，修改 Subscription 对象，使其在 spec 部分中包含一个或多个以下环境变量：

   • HTTP_PROXY
   • HTTPS_PROXY
   • NO_PROXY

   例如：

   带有代理设置的Subscription 对象覆盖

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: etcd-config-test
     namespace: openshift-operators
   spec:
     config:
       env:
       - name: HTTP_PROXY
         value: test_http
       - name: HTTPS_PROXY
         value: test_https
       - name: NO_PROXY
         value: test
     channel: clusterwide-alpha
     installPlanApproval: Automatic
     name: etcd
     source: community-operators
     sourceNamespace: openshift-marketplace
     startingCSV: etcdoperator.v0.9.4-clusterwide

   注意

   这些环境变量也可以使用空值取消设置，以删除所有之前设定的集群范围或自定义代理设置。

   OLM 将这些环境变量作为一个单元处理; 如果至少设置了一个环境变量，则所有三个变量都将被视为覆盖，并且集群范围的默认值不会用于订阅的 Operator 部署。

4. 点击 Install 使 Operator 可供所选命名空间使用。

5. 当 Operator 的 CSV 出现在相关命名空间中后，您可以验证部署中是否设置了自定义代理环境变量。例如，使用 CLI：

   $ oc get deployment -n openshift-operators \
       etcd-operator -o yaml \
       | grep -i "PROXY" -A 2

   输出示例

           - name: HTTP_PROXY
             value: test_http
           - name: HTTPS_PROXY
             value: test_https
           - name: NO_PROXY
             value: test
           image: quay.io/coreos/etcd-operator@sha256:66a37fd61a06a43969854ee6d3e21088a98b93838e284a6086b13917f96b0d9c
   ...

流程

1. 在存在 Operator 订阅的命名空间中创建一个空配置映射，并包括以下标签：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: trusted-ca 1
     labels:
       config.openshift.io/inject-trusted-cabundle: "true" 2

   1

   配置映射的名称。

   2

   请求 Cluster Network Operator 注入合并的捆绑包。

   创建此配置映射后，它会立即使用合并捆绑包的证书内容填充。

2. 更新 Subscription 对象，使其包含 spec.config 部分，该部分将 trusted-ca 配置映射作为卷挂载到需要自定义 CA 的 pod 中的每个容器：

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: my-operator
   spec:
     package: etcd
     channel: alpha
     config: 1
       selector:
         matchLabels:
           <labels_for_pods> 2
       volumes: 3
       - name: trusted-ca
         configMap:
           name: trusted-ca
           items:
             - key: ca-bundle.crt 4
               path: tls-ca-bundle.pem 5
       volumeMounts: 6
       - name: trusted-ca
         mountPath: /etc/pki/ca-trust/extracted/pem
         readOnly: true

   1

   如果不存在，请添加 config 部分。

   2

   指定标签以匹配 Operator 拥有的 pod。

   3

   创建一个 trusted-ca 卷。

   4

   ca-bundle.crt 需要作为配置映射键。

   5

   tls-ca-bundle.pem 需要作为配置映射路径。

   6

   创建一个 trusted-ca 卷挂载。

   注意

   Operator 的部署可能无法验证颁发机构，并显示 x509 certificate signed by unknown authority 错误。即使在使用 Operator 订阅时注入自定义 CA，也会发生这个错误。在这种情况下，您可以使用 Operator 的订阅将 mountPath 设置为 trusted-ca 的 /etc/ssl/certs。

流程

1. 列出 Operator 订阅：

   $ oc get subs -n <operator_namespace>

2. 使用 oc describe 命令检查 Subscription 资源：

   $ oc describe sub <subscription_name> -n <operator_namespace>

3. 在命令输出中，找到 Operator 订阅状况类型的 Conditions 部分。在以下示例中，CatalogSourcesUnhealthy 条件类型具有 false 状态，因为所有可用目录源都健康：

   输出示例

   Name:         cluster-logging
   Namespace:    openshift-logging
   Labels:       operators.coreos.com/cluster-logging.openshift-logging=
   Annotations:  <none>
   API Version:  operators.coreos.com/v1alpha1
   Kind:         Subscription
   # ...
   Conditions:
      Last Transition Time:  2019-07-29T13:42:57Z
      Message:               all available catalogsources are healthy
      Reason:                AllCatalogSourcesHealthy
      Status:                False
      Type:                  CatalogSourcesUnhealthy
   # ...

流程

1. 列出命名空间中的目录源。例如，您可以检查 openshift-marketplace 命名空间，该命名空间用于集群范围的目录源：

   $ oc get catalogsources -n openshift-marketplace

   输出示例

   NAME                  DISPLAY               TYPE   PUBLISHER   AGE
   certified-operators   Certified Operators   grpc   Red Hat     55m
   community-operators   Community Operators   grpc   Red Hat     55m
   example-catalog       Example Catalog       grpc   Example Org 2m25s
   redhat-marketplace    Red Hat Marketplace   grpc   Red Hat     55m
   redhat-operators      Red Hat Operators     grpc   Red Hat     55m

2. 使用 oc describe 命令获取有关目录源的详情和状态：

   $ oc describe catalogsource example-catalog -n openshift-marketplace

   输出示例

   Name:         example-catalog
   Namespace:    openshift-marketplace
   Labels:       <none>
   Annotations:  operatorframework.io/managed-by: marketplace-operator
                 target.workload.openshift.io/management: {"effect": "PreferredDuringScheduling"}
   API Version:  operators.coreos.com/v1alpha1
   Kind:         CatalogSource
   # ...
   Status:
     Connection State:
       Address:              example-catalog.openshift-marketplace.svc:50051
       Last Connect:         2021-09-09T17:07:35Z
       Last Observed State:  TRANSIENT_FAILURE
     Registry Service:
       Created At:         2021-09-09T17:05:45Z
       Port:               50051
       Protocol:           grpc
       Service Name:       example-catalog
       Service Namespace:  openshift-marketplace
   # ...

   在上例的输出中，最后观察到的状态是 TRANSIENT_FAILURE。此状态表示目录源建立连接时出现问题。

3. 列出创建目录源的命名空间中的 pod：

   $ oc get pods -n openshift-marketplace

   输出示例

   NAME                                    READY   STATUS             RESTARTS   AGE
   certified-operators-cv9nn               1/1     Running            0          36m
   community-operators-6v8lp               1/1     Running            0          36m
   marketplace-operator-86bfc75f9b-jkgbc   1/1     Running            0          42m
   example-catalog-bwt8z                   0/1     ImagePullBackOff   0          3m55s
   redhat-marketplace-57p8c                1/1     Running            0          36m
   redhat-operators-smxx8                  1/1     Running            0          36m

   在命名空间中创建目录源时，会在该命名空间中为目录源创建一个 pod。在前面的示例中，example-catalog-bwt8z pod 的状态是 ImagePullBackOff。此状态表示拉取目录源的索引镜像存在问题。

4. 使用 oc describe 命令检查 pod 以获取更多详细信息：

   $ oc describe pod example-catalog-bwt8z -n openshift-marketplace

   输出示例

   Name:         example-catalog-bwt8z
   Namespace:    openshift-marketplace
   Priority:     0
   Node:         ci-ln-jyryyg2-f76d1-ggdbq-worker-b-vsxjd/10.0.128.2
   ...
   Events:
     Type     Reason          Age                From               Message
     ----     ------          ----               ----               -------
     Normal   Scheduled       48s                default-scheduler  Successfully assigned openshift-marketplace/example-catalog-bwt8z to ci-ln-jyryyf2-f76d1-fgdbq-worker-b-vsxjd
     Normal   AddedInterface  47s                multus             Add eth0 [10.131.0.40/23] from openshift-sdn
     Normal   BackOff         20s (x2 over 46s)  kubelet            Back-off pulling image "quay.io/example-org/example-catalog:v1"
     Warning  Failed          20s (x2 over 46s)  kubelet            Error: ImagePullBackOff
     Normal   Pulling         8s (x3 over 47s)   kubelet            Pulling image "quay.io/example-org/example-catalog:v1"
     Warning  Failed          8s (x3 over 47s)   kubelet            Failed to pull image "quay.io/example-org/example-catalog:v1": rpc error: code = Unknown desc = reading manifest v1 in quay.io/example-org/example-catalog: unauthorized: access to the requested resource is not authorized
     Warning  Failed          8s (x3 over 47s)   kubelet            Error: ErrImagePull

   在前面的示例输出中，错误消息表示目录源的索引镜像因为授权问题而无法成功拉取。例如，索引镜像可能存储在需要登录凭证的 registry 中。

流程

1. 编辑 Operator 的 OperatorCondition 对象：

   $ oc edit operatorcondition <name>

2. 在对象中添加 Spec.Overrides 数组：

   Operator 条件覆盖示例

   apiVersion: operators.coreos.com/v1
   kind: OperatorCondition
   metadata:
     name: my-operator
     namespace: operators
   spec:
     overrides:
     - type: Upgradeable 1
       status: "True"
       reason: "upgradeIsSafe"
       message: "This is a known issue with the Operator where it always reports that it cannot be upgraded."
     conditions:
     - type: Upgradeable
       status: "False"
       reason: "migration"
       message: "The operator is performing a migration."
       lastTransitionTime: "2020-08-24T23:15:55Z"

   1

   允许 dedicated-admin 用户将升级就绪状态更改为 True。

流程

1. 创建一个 CatalogSource 对象来引用索引镜像。

   1. 根据您的规格修改以下内容，并将它保存为 catalogSource.yaml 文件：

      apiVersion: operators.coreos.com/v1alpha1
      kind: CatalogSource
      metadata:
        name: my-operator-catalog
        namespace: openshift-marketplace 1
        annotations:
          olm.catalogImageTemplate: 2
            "<registry>/<namespace>/<index_image_name>:v{kube_major_version}.{kube_minor_version}.{kube_patch_version}"
      spec:
        sourceType: grpc
        grpcPodConfig:
          securityContextConfig: <security_mode> 3
        image: <registry>/<namespace>/<index_image_name>:<tag> 4
        displayName: My Operator Catalog
        publisher: <publisher_name> 5
        updateStrategy:
          registryPoll: 6
            interval: 30m

      1

      如果您希望目录源对所有命名空间中的用户全局可用，请指定 openshift-marketplace 命名空间。否则，您可以指定一个不同的命名空间来对目录进行作用域并只对该命名空间可用。

      2

      可选：将 olm.catalogImageTemplate 注解设置为索引镜像名称，并使用一个或多个 Kubernetes 集群版本变量，如为镜像标签构建模板时所示。

      3

      指定 legacy 或 restricted 的值。如果没有设置该字段，则默认值为 legacy。在以后的 Red Hat OpenShift Service on AWS 发行版本中，计划默认值 受到限制。如果您的目录无法使用 restricted 权限运行，建议您手动将此字段设置为 legacy。

      4

      指定索引镜像。如果您在镜像名称后指定了标签，如 :v4，则目录源 Pod 会使用镜像 pull 策略 Always，这意味着 pod 始终在启动容器前拉取镜像。如果您指定了摘要，如 @sha256:<id>，则镜像拉取策略为 IfNotPresent，这意味着仅在节点上不存在的镜像时才拉取镜像。

      5

      指定发布目录的名称或机构名称。

      6

      目录源可以自动检查新版本以保持最新。

   2. 使用该文件创建 CatalogSource 对象：

      $ oc apply -f catalogSource.yaml

2. 确定成功创建以下资源。

   1. 检查 pod:

      $ oc get pods -n openshift-marketplace

      输出示例

      NAME                                    READY   STATUS    RESTARTS  AGE
      my-operator-catalog-6njx6               1/1     Running   0         28s
      marketplace-operator-d9f549946-96sgr    1/1     Running   0         26h

   2. 检查目录源：

      $ oc get catalogsource -n openshift-marketplace

      输出示例

      NAME                  DISPLAY               TYPE PUBLISHER  AGE
      my-operator-catalog   My Operator Catalog   grpc            5s

   3. 检查软件包清单：

      $ oc get packagemanifest -n openshift-marketplace

      输出示例

      NAME                          CATALOG               AGE
      jaeger-product                My Operator Catalog   93s

流程

1. 在 Web 控制台的 Administrator 视角中，导航到 Home → Search。
2. 从 Project: 列表中选择一个项目。
3. 从 Resources 列表中选择 CatalogSource。
4. 选择您要删除的目录的 Options 菜单 ，然后点 Delete CatalogSource。

流程

1. 列出 Operator 订阅：

   $ oc get subs -n <operator_namespace>

2. 使用 oc describe 命令检查 Subscription 资源：

   $ oc describe sub <subscription_name> -n <operator_namespace>

3. 在命令输出中，找到 Operator 订阅状况类型的 Conditions 部分。在以下示例中，CatalogSourcesUnhealthy 条件类型具有 false 状态，因为所有可用目录源都健康：

   输出示例

   Name:         cluster-logging
   Namespace:    openshift-logging
   Labels:       operators.coreos.com/cluster-logging.openshift-logging=
   Annotations:  <none>
   API Version:  operators.coreos.com/v1alpha1
   Kind:         Subscription
   # ...
   Conditions:
      Last Transition Time:  2019-07-29T13:42:57Z
      Message:               all available catalogsources are healthy
      Reason:                AllCatalogSourcesHealthy
      Status:                False
      Type:                  CatalogSourcesUnhealthy
   # ...

流程

1. 列出命名空间中的目录源。例如，您可以检查 openshift-marketplace 命名空间，该命名空间用于集群范围的目录源：

   $ oc get catalogsources -n openshift-marketplace

   输出示例

   NAME                  DISPLAY               TYPE   PUBLISHER   AGE
   certified-operators   Certified Operators   grpc   Red Hat     55m
   community-operators   Community Operators   grpc   Red Hat     55m
   example-catalog       Example Catalog       grpc   Example Org 2m25s
   redhat-marketplace    Red Hat Marketplace   grpc   Red Hat     55m
   redhat-operators      Red Hat Operators     grpc   Red Hat     55m

2. 使用 oc describe 命令获取有关目录源的详情和状态：

   $ oc describe catalogsource example-catalog -n openshift-marketplace

   输出示例

   Name:         example-catalog
   Namespace:    openshift-marketplace
   Labels:       <none>
   Annotations:  operatorframework.io/managed-by: marketplace-operator
                 target.workload.openshift.io/management: {"effect": "PreferredDuringScheduling"}
   API Version:  operators.coreos.com/v1alpha1
   Kind:         CatalogSource
   # ...
   Status:
     Connection State:
       Address:              example-catalog.openshift-marketplace.svc:50051
       Last Connect:         2021-09-09T17:07:35Z
       Last Observed State:  TRANSIENT_FAILURE
     Registry Service:
       Created At:         2021-09-09T17:05:45Z
       Port:               50051
       Protocol:           grpc
       Service Name:       example-catalog
       Service Namespace:  openshift-marketplace
   # ...

   在上例的输出中，最后观察到的状态是 TRANSIENT_FAILURE。此状态表示目录源建立连接时出现问题。

3. 列出创建目录源的命名空间中的 pod：

   $ oc get pods -n openshift-marketplace

   输出示例

   NAME                                    READY   STATUS             RESTARTS   AGE
   certified-operators-cv9nn               1/1     Running            0          36m
   community-operators-6v8lp               1/1     Running            0          36m
   marketplace-operator-86bfc75f9b-jkgbc   1/1     Running            0          42m
   example-catalog-bwt8z                   0/1     ImagePullBackOff   0          3m55s
   redhat-marketplace-57p8c                1/1     Running            0          36m
   redhat-operators-smxx8                  1/1     Running            0          36m

   在命名空间中创建目录源时，会在该命名空间中为目录源创建一个 pod。在前面的示例中，example-catalog-bwt8z pod 的状态是 ImagePullBackOff。此状态表示拉取目录源的索引镜像存在问题。

4. 使用 oc describe 命令检查 pod 以获取更多详细信息：

   $ oc describe pod example-catalog-bwt8z -n openshift-marketplace

   输出示例

   Name:         example-catalog-bwt8z
   Namespace:    openshift-marketplace
   Priority:     0
   Node:         ci-ln-jyryyg2-f76d1-ggdbq-worker-b-vsxjd/10.0.128.2
   ...
   Events:
     Type     Reason          Age                From               Message
     ----     ------          ----               ----               -------
     Normal   Scheduled       48s                default-scheduler  Successfully assigned openshift-marketplace/example-catalog-bwt8z to ci-ln-jyryyf2-f76d1-fgdbq-worker-b-vsxjd
     Normal   AddedInterface  47s                multus             Add eth0 [10.131.0.40/23] from openshift-sdn
     Normal   BackOff         20s (x2 over 46s)  kubelet            Back-off pulling image "quay.io/example-org/example-catalog:v1"
     Warning  Failed          20s (x2 over 46s)  kubelet            Error: ImagePullBackOff
     Normal   Pulling         8s (x3 over 47s)   kubelet            Pulling image "quay.io/example-org/example-catalog:v1"
     Warning  Failed          8s (x3 over 47s)   kubelet            Failed to pull image "quay.io/example-org/example-catalog:v1": rpc error: code = Unknown desc = reading manifest v1 in quay.io/example-org/example-catalog: unauthorized: access to the requested resource is not authorized
     Warning  Failed          8s (x3 over 47s)   kubelet            Error: ErrImagePull

   在前面的示例输出中，错误消息表示目录源的索引镜像因为授权问题而无法成功拉取。例如，索引镜像可能存储在需要登录凭证的 registry 中。

流程

1. 列出集群中运行的 Operator。输出包括 Operator 版本、可用性和运行时间信息：

   $ oc get clusteroperators

2. 列出在 Operator 命名空间中运行的 Operator pod，以及 pod 状态、重启和年龄：

   $ oc get pod -n <operator_namespace>

3. 输出详细的 Operator pod 概述：

   $ oc describe pod <operator_pod_name> -n <operator_namespace>

流程

1. 列出在 Operator 命名空间中运行的 Operator pod，以及 pod 状态、重启和年龄：

   $ oc get pods -n <operator_namespace>

2. 检查 Operator pod 的日志：

   $ oc logs pod/<pod_name> -n <operator_namespace>

   如果 Operator pod 具有多个容器，则上述命令将会产生一个错误，其中包含每个容器的名称。从独立容器查询日志：

   $ oc logs pod/<operator_pod_name> -c <container_name> -n <operator_namespace>

3. 如果 API 无法正常工作，请使用 SSH 来查看每个 control plane 节点上的 Operator pod 和容器日志。将 <master-node>.<cluster_name>.<base_domain> 替换为适当的值。

   1. 列出每个 control plane 节点上的 pod：

      $ ssh core@<master-node>.<cluster_name>.<base_domain> sudo crictl pods

   2. 对于任何未显示 Ready 状态的 Operator pod，详细检查 Pod 的状态。将 <operator_pod_id> 替换为上一命令输出中列出的 Operator pod ID:

      $ ssh core@<master-node>.<cluster_name>.<base_domain> sudo crictl inspectp <operator_pod_id>

   3. 列出与 Operator pod 相关的容器：

      $ ssh core@<master-node>.<cluster_name>.<base_domain> sudo crictl ps --pod=<operator_pod_id>

   4. 对于任何未显示 Ready 状态的 Operator 容器，请详细检查容器的状态。将 <container_id> 替换为上一命令输出中列出的容器 ID:

      $ ssh core@<master-node>.<cluster_name>.<base_domain> sudo crictl inspect <container_id>

   5. 检查任何未显示 Ready 状态的 Operator 容器的日志。将 <container_id> 替换为上一命令输出中列出的容器 ID:

      $ ssh core@<master-node>.<cluster_name>.<base_domain> sudo crictl logs -f <container_id>

      注意

      运行 Red Hat Enterprise Linux CoreOS (RHCOS)的 Red Hat OpenShift Service on AWS 4 集群节点不可变，它依赖于 Operator 来应用集群更改。不建议使用 SSH 访问集群节点。在尝试通过 SSH 收集诊断数据前，请运行 oc adm must gather 和其他 oc 命令看它们是否可以提供足够的数据。但是，如果 Red Hat OpenShift Service on AWS API 不可用，或者 kubelet 在目标节点上无法正常工作，oc 操作将会受到影响。在这种情况下,可以使用 ssh core@<node>.<cluster_name>.<base_domain> 来访问节点。

1. 使用 Operator SDK 命令行界面（CLI）创建 Operator 项目。
2. 通过添加自定义资源定义 (CRD) 来定义新的资源 API。
3. 使用 Operator SDK API 指定要监视的资源。
4. 在指定的处理程序中定义 Operator 协调逻辑，并使用 Operator SDK API 与资源交互。
5. 使用 Operator SDK CLI 来构建和生成 Operator 部署清单。

流程

1. 进入到 OpenShift 镜像站点。
2. 从最新的 4 目录中，下载适用于 Linux 的 tarball 的最新版本。

3. 解包存档：

   $ tar xvf operator-sdk-v1.31.0-ocp-linux-x86_64.tar.gz

4. 使文件可执行：

   $ chmod +x operator-sdk

5. 将提取的 operator-sdk 二进制文件移到 PATH 中的一个目录中。

   提示

   检查 PATH：

   $ echo $PATH

   $ sudo mv ./operator-sdk /usr/local/bin/operator-sdk

流程

1. 对于 amd64 架构，进入到 amd64 架构的 OpenShift 镜像站点。
2. 从最新的 4 目录中，下载 macOS 的 tarball 的最新版本。

3. 运行以下命令，为 amd64 架构解包 Operator SDK 归档：

   $ tar xvf operator-sdk-v1.31.0-ocp-darwin-x86_64.tar.gz

4. 运行以下命令使文件可执行：

   $ chmod +x operator-sdk

5. 运行以下命令，将提取的 operator-sdk 二进制文件移到 PATH 上的目录中：

   提示

   运行以下命令检查 PATH ：

   $ echo $PATH

   $ sudo mv ./operator-sdk /usr/local/bin/operator-sdk