在Azure Red Hat OpenShift 4.3中创建私有集群的完整指南

前言

在现代云原生环境中，安全性是企业部署容器平台时的首要考虑因素。Azure Red Hat OpenShift (ARO) 4.3版本提供了创建私有集群的能力，这种集群将API服务器和入口控制器完全隔离在私有网络中，为敏感工作负载提供了额外的安全层。

本文将详细介绍如何在Azure环境中创建一个完全私有的OpenShift 4.3集群，从环境准备到最终连接的全过程。

环境准备

1. 安装必要的CLI工具

首先需要确保已安装最新版的Azure CLI（2.0.75或更高版本）。验证版本：

az --version

然后安装ARO扩展（目前处于预览阶段）：

az extension add -n aro --index https://az.aroapp.io/preview

如果已安装，可以更新：

az extension update -n aro --index https://az.aroapp.io/preview

2. 注册预览资源提供者

私有集群功能目前处于预览阶段，需要注册资源提供者：

az provider register -n Microsoft.RedHatOpenShift --wait

网络架构设计

私有OpenShift集群需要特定的网络配置，主要包括：

1. 虚拟网络(VNet)：为集群提供网络隔离
2. 两个专用子网：
   • 主节点子网（master-subnet）
   • 工作节点子网（worker-subnet）

创建资源组

az group create --name aro-rg --location eastus

创建虚拟网络和子网

# 创建VNet
az network vnet create \
  --resource-group aro-rg \
  --name aro-vnet \
  --address-prefixes 10.0.0.0/8

# 创建主节点子网
az network vnet subnet create \
  --resource-group aro-rg \
  --vnet-name aro-vnet \
  --name master-subnet \
  --address-prefixes 10.0.1.0/24 \
  --service-endpoints Microsoft.ContainerRegistry

# 创建工作节点子网
az network vnet subnet create \
  --resource-group aro-rg \
  --vnet-name aro-vnet \
  --name worker-subnet \
  --address-prefixes 10.1.0.0/20 \
  --service-endpoints Microsoft.ContainerRegistry

# 禁用主节点子网的私有端点策略
az network vnet subnet update \
  --name master-subnet \
  --resource-group aro-rg \
  --vnet-name aro-vnet \
  --disable-private-link-service-network-policies true

部署私有集群

关键参数说明：

• apiserver-visibility Private：将API服务器设为私有
• ingress-visibility Private：将入口控制器设为私有

az aro create \
  --resource-group aro-rg \
  --name aro-cluster \
  --vnet aro-vnet \
  --master-subnet master-subnet \
  --worker-subnet worker-subnet \
  --apiserver-visibility Private \
  --ingress-visibility Private

部署过程通常需要约35分钟完成。

可选参数

1. 自定义域名：可以使用--domain参数指定
2. Pull Secret：从Red Hat OpenShift Cluster Manager获取，用于访问Red Hat容器镜像仓库

连接私有集群

获取管理员凭据

az aro list-credentials \
  --name aro-cluster \
  --resource-group aro-rg

访问Web控制台

获取控制台URL：

az aro show \
  --name aro-cluster \
  --resource-group aro-rg \
  --query "consoleProfile.url" -o tsv

重要提示：要连接私有集群，必须从以下位置之一操作：

1. 创建集群时使用的虚拟网络内
2. 与集群虚拟网络建立对等互连的虚拟网络内

安装OpenShift CLI(oc)

可以从Web控制台的"Command Line Tools"部分下载，或直接从官方镜像站点获取最新版本。

通过CLI连接

获取API服务器地址：

apiServer=$(az aro show -g aro-rg -n aro-cluster --query apiserverProfile.url -o tsv)

使用kubeadmin登录：

oc login $apiServer -u kubeadmin -p <kubeadmin密码>

安全最佳实践

1. 网络隔离：确保集群部署在专用VNet中
2. 访问控制：仅允许受信任的网络访问集群
3. 证书管理：如果使用自定义域名，需配置适当的CA证书
4. 定期轮换凭据：包括kubeadmin密码

常见问题排查

1. 部署失败：检查子网是否正确配置，特别是私有端点策略
2. 连接问题：确认从正确的网络位置连接
3. 证书错误：使用自定义域名时确保证书配置正确

后续步骤

成功部署私有集群后，建议：

1. 配置Azure Active Directory集成以实现更安全的身份验证
2. 设置集群监控和日志记录
3. 实施网络策略以控制Pod间通信

私有集群为企业级工作负载提供了更高的安全性，通过遵循本文指南，您可以在Azure环境中成功部署和管理安全的OpenShift 4.3私有集群。