Criar um cluster privado do Azure Red Hat OpenShift 4

Neste artigo, você prepara seu ambiente para criar clusters privados do Azure Red Hat OpenShift executando o OpenShift 4. Você aprende a:

Se você optar por instalar e usar a CLI localmente, este tutorial exigirá que você esteja executando a CLI do Azure versão 2.30.0 ou posterior. Para localizar a versão, execute o az --version comando. Se precisar de instalar ou atualizar, consulte Install Azure CLI.

Antes de começar

Registar os fornecedores de recursos

1. Se você tiver várias assinaturas do Azure, especifique a ID de assinatura relevante:

   az account set --subscription <SUBSCRIPTION ID>
   

2. Registe o fornecedor de recursos Microsoft.RedHatOpenShift.

   az provider register -n Microsoft.RedHatOpenShift --wait
   

3. Registre o Microsoft.Compute provedor de recursos (se ainda não o fez):

   az provider register -n Microsoft.Compute --wait
   

4. Registre o Microsoft.Network provedor de recursos (se ainda não o fez):

   az provider register -n Microsoft.Network --wait
   

5. Registre o Microsoft.Storage provedor de recursos (se ainda não o fez):

   az provider register -n Microsoft.Storage --wait
   

Obtenha um segredo de pull da Red Hat (opcional)

Um segredo de pull da Red Hat permite que seu cluster acesse os registros de contêineres da Red Hat junto com outros conteúdos. Este passo é opcional, mas recomendado.

1. Acesse o portal do gerenciador de clusters do Red Hat OpenShift e faça login.

   Faça login na sua conta Red Hat ou crie uma nova conta Red Hat com seu e-mail comercial e aceite os termos e condições.

2. Clique em Download pull secret.

Mantenha o arquivo salvo pull-secret.txt em algum lugar seguro - ele é usado em cada criação de cluster.

Ao executar o comando, você pode fazer referência ao az aro create seu segredo de pull usando o --pull-secret @pull-secret.txt parâmetro. Execute az aro create a partir do diretório onde você armazenou seu pull-secret.txt arquivo. Caso contrário, substitua @pull-secret.txt por @<path-to-my-pull-secret-file.

Se você estiver copiando seu segredo de pull ou fazendo referência a ele em outros scripts, seu segredo de pull deverá ser formatado como uma cadeia de caracteres JSON válida.

Criar uma rede virtual contendo duas sub-redes vazias

Em seguida, crie uma rede virtual contendo duas sub-redes vazias.

1. Defina as seguintes variáveis.

   LOCATION=eastus                 # the ___location of your cluster
   RESOURCEGROUP="v4-$LOCATION"    # the name of the resource group where you want to create your cluster
   CLUSTER=aro-cluster             # the name of your cluster
   

2. Criar um grupo de recursos

   Um grupo de recursos do Azure é um grupo lógico, no qual os recursos do Azure são implementados e geridos. Ao criar um grupo de recursos, você especifica um local. Esse local é onde os metadados do grupo de recursos são armazenados, é também onde seus recursos são executados no Azure se você não especificar outra região durante a criação do recurso. Crie um grupo de recursos usando o comando az group create .

   az group create --name $RESOURCEGROUP --___location $LOCATION
   

   A saída de exemplo a seguir mostra o grupo de recursos criado com êxito:

   {
   "id": "/subscriptions/<guid>/resourceGroups/aro-rg",
   "___location": "eastus",
   "managedBy": null,
   "name": "aro-rg",
   "properties": {
       "provisioningState": "Succeeded"
   },
   "tags": null
   }
   

3. Crie uma rede virtual.

   Os clusters do Azure Red Hat OpenShift que executam o OpenShift 4 exigem uma rede virtual com duas sub-redes vazias, para os nós de controle e de trabalho.

   Crie uma nova rede virtual no mesmo grupo de recursos criado anteriormente.

   az network vnet create \
   --resource-group $RESOURCEGROUP \
   --name aro-vnet \
   --address-prefixes 10.0.0.0/22
   

   A saída de exemplo a seguir mostra a rede virtual criada com êxito:

   {
     "newVNet": {
       "addressSpace": {
         "addressPrefixes": [
           "10.0.0.0/22"
         ]
       },
       "id": "/subscriptions/<guid>/resourceGroups/aro-rg/providers/Microsoft.Network/virtualNetworks/aro-vnet",
       "___location": "eastus",
       "name": "aro-vnet",
       "provisioningState": "Succeeded",
       "resourceGroup": "aro-rg",
       "type": "Microsoft.Network/virtualNetworks"
     }
   }
   

4. Adicione uma sub-rede vazia para os nós mestres.

   az network vnet subnet create \
   --resource-group $RESOURCEGROUP \
   --vnet-name aro-vnet \
   --name master-subnet \
   --address-prefixes 10.0.0.0/23 \
   --service-endpoints Microsoft.ContainerRegistry
   

5. Adicione uma sub-rede vazia para os nós de trabalho.

   az network vnet subnet create \
   --resource-group $RESOURCEGROUP \
   --vnet-name aro-vnet \
   --name worker-subnet \
   --address-prefixes 10.0.2.0/23 \
   --service-endpoints Microsoft.ContainerRegistry
   

6. Desative as políticas de ponto de extremidade privado da sub-rede na sub-rede principal. Isso é necessário para poder conectar e gerenciar o cluster.

   az network vnet subnet update \
   --name master-subnet \
   --resource-group $RESOURCEGROUP \
   --vnet-name aro-vnet \
   --private-link-service-network-policies Disabled
   

Criar o cluster

Execute o seguinte comando para criar um cluster. Opcionalmente, você pode passar seu segredo de pull da Red Hat, o que permite que seu cluster acesse os registros de contêineres da Red Hat junto com outros conteúdos.

az aro create \
  --resource-group $RESOURCEGROUP \
  --name $CLUSTER \
  --vnet aro-vnet \
  --master-subnet master-subnet \
  --worker-subnet worker-subnet \
  --apiserver-visibility Private \
  --ingress-visibility Private
  # --___domain foo.example.com # [OPTIONAL] custom ___domain
  # --pull-secret @pull-secret.txt # [OPTIONAL]

O az aro create comando normalmente leva cerca de 35 minutos para criar um cluster.

Criar um cluster privado sem um endereço IP público

Normalmente, os clusters privados são criados com um endereço IP público e um balanceador de carga, fornecendo um meio para conectividade de saída com outros serviços. No entanto, você pode criar um cluster privado sem um endereço IP público. Isso pode ser necessário em situações em que os requisitos de segurança ou de política proíbem o uso de endereços IP públicos.

Para criar um cluster privado sem um endereço IP público, siga o procedimento acima, adicionando o parâmetro --outbound-type UserDefinedRouting ao aro create comando, como no exemplo a seguir:

az aro create \
  --resource-group $RESOURCEGROUP \
  --name $CLUSTER \
  --vnet aro-vnet \
  --master-subnet master-subnet \
  --worker-subnet worker-subnet \
  --apiserver-visibility Private \
  --ingress-visibility Private \
  --outbound-type UserDefinedRouting

Essa opção de Roteamento Definido pelo Usuário impede que um endereço IP público seja provisionado. O Roteamento Definido pelo Usuário (UDR) permite que você crie rotas personalizadas no Azure para substituir as rotas padrão do sistema ou adicionar mais rotas à tabela de rotas de uma sub-rede. Consulte Roteamento de tráfego de rede virtual para saber mais.

Para saída, a opção Roteamento definido pelo usuário garante que o cluster recém-criado tenha o recurso de bloqueio de saída habilitado para permitir que você proteja o tráfego de saída do novo cluster privado. Consulte Controlar o tráfego de saída do cluster do Azure Red Hat OpenShift para saber mais.

Você pode configurar um ou mais endereços IP de saída para um namespace ou para pods específicos em um namespace de um cluster privado sem endereço IP público. Para fazer isso, siga o procedimento acima para criar um cluster privado sem um endereço IP público e, em seguida, configure o IP de saída de acordo com este documento do Red Hat OpenShift. Esses endereços IP de saída precisam ser das sub-redes associadas ao cluster.

A configuração de um IP de saída para um cluster privado só é suportada para clusters com o --outbound-type UserDefinedRouting parâmetro. Não há suporte para clusters públicos que tenham o --outbound-type LoadBalancer parâmetro.

Conectar-se ao cluster privado

Você pode fazer login no cluster usando o kubeadmin usuário. Execute o seguinte comando para localizar a senha do kubeadmin usuário.

az aro list-credentials \
  --name $CLUSTER \
  --resource-group $RESOURCEGROUP

O exemplo de saída a seguir mostra a senha em kubeadminPassword.

{
  "kubeadminPassword": "<generated password>",
  "kubeadminUsername": "kubeadmin"
}

Você pode encontrar a URL do console do cluster executando o seguinte comando, que se parece com https://console-openshift-console.apps.<random>.<region>.aroapp.io/

 az aro show \
    --name $CLUSTER \
    --resource-group $RESOURCEGROUP \
    --query "consoleProfile.url" -o tsv

Inicie o URL do console em um navegador e entre usando as kubeadmin credenciais.

Instalar a CLI do OpenShift

Depois de entrar no OpenShift Web Console, selecione o ? no canto superior direito e, em seguida, em Ferramentas de linha de comando. Faça o download da versão apropriada para a sua máquina.

Você também pode baixar a versão mais recente da CLI apropriada para sua máquina.

Conectar-se usando a CLI do OpenShift

Recupere o endereço do servidor de API.

apiServer=$(az aro show --resource-group $RESOURCEGROUP --name $CLUSTER --query apiserverProfile.url --output tsv)

Entre no servidor de API do cluster OpenShift usando o seguinte comando. Substitua <kubeadmin password> pela senha recuperada.

oc login $apiServer --username kubeadmin --password <kubeadmin password>

Próximos passos

Neste artigo, um cluster do Azure Red Hat OpenShift executando o OpenShift 4 foi implantado. Você aprendeu a:

Avance para o próximo artigo para saber como configurar o cluster para autenticação usando o Microsoft Entra ID.

• Configurar a autenticação com o ID do Microsoft Entra usando a linha de comando
• Configurar a autenticação com o Microsoft Entra ID usando o portal do Azure e o console Web OpenShift