#Установка Alauda DevOps

В этом руководстве приведены подробные шаги по установке Alauda DevOps.

#Предварительные требования

Убедитесь, что оператор Alauda DevOps v3 загружен перед продолжением.

Для получения дополнительной информации о загрузке оператора обратитесь к

#Требования к политике безопасности пространства имён

• Katanomi поддерживает создание только одного экземпляра. Экземпляр может быть развернут в любом namespace, но должны быть выполнены следующие условия:

  • Достаточно ресурсов в namespace
  • Namespace настроен с привилегированной политикой безопасности

• Оператор Katanomi требует, чтобы namespace использовал конфигурацию привилегированной политики безопасности для корректной работы. Это требование связано с зависимостью компонентов от привилегированных контейнеров и монтирования томов hostPath.

  Коренная причина: Компоненты оператора Katanomi требуют доступа к привилегированным контейнерам и монтированиям hostPath (каталог журнала аудита) для правильной работы:

  • Привилегированные контейнеры: Несколько развертываний оператора Katanomi используют security context с privileged: true:
    • apiserver deployment — развертывание API сервера требует privileged: true для выполнения chown каталога журнала аудита
    • api deployment — развертывание API использует privileged: true для выполнения chown каталога журнала аудита
    • devops-api deployment — развертывание DevOps API требует privileged: true для выполнения chown каталога журнала аудита
    • задачи build-image-buildkit-v1 — задачи сборки явно используют privileged: true для возможностей сборки контейнерных образов

#Установка оператора

Перейдите на страницу Administrator -> Marketplace -> OperatorHub платформы, найдите Alauda DevOps v3 и нажмите на карточку оператора для перехода на страницу с деталями оператора.

Нажмите Install для установки оператора.

#Место развертывания

Разворачивайте экземпляры Katanomi в Global Cluster. В Business Cluster экземпляры могут разворачиваться по необходимости для CI/CD.

#Процедура

export NAMESPACE=cpaas-system
export EXTERNAL_URL=$(kubectl get prdb -n cpaas-system base -o jsonpath='{.spec.platformURL}')
cat <<EOF | kubectl apply -f -
apiVersion: operators.katanomi.dev/v1alpha1
kind: Katanomi
metadata:
  name: katanomi
  namespace: ${NAMESPACE}
spec:
  externalURL: ${EXTERNAL_URL}
  replicas: 1
  resources:
    limits:
      cpu: "2"
      memory: 4Gi
    requests:
      cpu: "1"
      memory: 2Gi
  service:
    ingress:
      protocol: HTTP
    type: Ingress
EOF

export NAMESPACE=katanomi-operator
export NODE_IP=$(kubectl get nodes -o jsonpath='{.items[0].status.addresses[?(@.type=="InternalIP")].address}' | awk -F" " '{print $1}')
export EXTERNAL_URL=http://${NODE_IP}:32001
cat <<EOF | kubectl apply -f -
apiVersion: operators.katanomi.dev/v1alpha1
kind: Katanomi
metadata:
  name: katanomi
  namespace: ${NAMESPACE}
spec:
  externalURL: ${EXTERNAL_URL}
  replicas: 1
  resources:
    limits:
      cpu: "2"
      memory: 4Gi
    requests:
      cpu: "1"
      memory: 2Gi
  service:
    nodePort:
      apiPort:
        httpPort: 32000
      pluginPort:
        httpPort: 32001
    type: NodePort
EOF

#Описание параметров Katanomi

#FAQ

#Под неудачным запуском Pod Katanomi из-за файловой системы root только для чтения: каталог /cpaas недоступен для записи

Katanomi требует права записи в каталог /cpaas на хост-системе для хранения журналов аудита. Если pod не может записывать в этот каталог, он не запустится.

Для решения этой проблемы можно настроить альтернативный путь хранения журнала аудита. Например:

spec:
  helmValues:
    api:
      auditHostPath: /tmp/audit
    devopsApiServer:
      auditHostPath: /tmp/audit
    devopsApi:
      auditHostPath: /tmp/audit

Эта конфигурация направляет компоненты Katanomi использовать /tmp/audit как путь хранения журнала аудита, обеспечивая совместимость с окружениями, где корневая файловая система доступна только для чтения. Настройте путь в соответствии с требованиями безопасности и эксплуатации.

#Как настроить пользовательский ImagePullSecret при развертывании Katanomi

Чтобы указать пользовательский ImagePullSecret для экземпляра Katanomi, добавьте следующую конфигурацию:

spec:
  helmValues:
    global:
      registry:
        imagePullSecret:
          name: <imagePullSecretName>

Эта конфигурация гарантирует, что Katanomi будет использовать указанный ImagePullSecret для загрузки контейнерных образов из приватных реестров. Замените imagePullSecretName на имя вашего заранее созданного секрета Kubernetes, содержащего необходимые учетные данные реестра.