#Установка Alauda DevOps

В этом руководстве приведены подробные шаги по установке Alauda DevOps.

#Предварительные требования

Перед продолжением убедитесь, что оператор Alauda DevOps v3 загружен.

Дополнительные сведения о загрузке оператора см. в Загрузка операторов

#Требования к политике безопасности Namespace

• Katanomi поддерживает только создание одного экземпляра. Экземпляр можно развернуть в любом namespace, но должны выполняться следующие условия:

  • Достаточно ресурсов namespace
  • namespace настроен с привилегированной политикой безопасности

• Для корректной работы Katanomi Operator требуется, чтобы namespace использовал конфигурацию с привилегированной политикой безопасности. Это требование обусловлено зависимостью компонента от привилегированных контейнеров и монтирований томов hostPath.

  Корневая причина: компоненты Katanomi Operator требуют доступа к привилегированным контейнерам и монтирований томов hostPath (каталог audit log) для корректной работы:

  • Привилегированные контейнеры: несколько развертываний Katanomi Operator используют контекст безопасности privileged: true:
    • apiserver deployment - развертывание API server требует privileged: true для выполнения chown в каталоге audit log
    • api deployment - развертывание API использует privileged: true для выполнения chown в каталоге audit log
    • devops-api deployment - развертывание DevOps API требует privileged: true для выполнения chown в каталоге audit log
    • задачи build-image-buildkit-v1 - задачи сборки явно используют privileged: true для возможностей сборки образов контейнеров

#Установка оператора

Перейдите на странице платформы в Administrator -> Marketplace -> OperatorHub, найдите Alauda DevOps v3, а затем нажмите на карточку оператора, чтобы перейти на страницу сведений об операторе.

Нажмите Install, чтобы установить оператор.

#Место развертывания

Развертывайте экземпляры Katanomi в Global Cluster. Business Cluster может развертывать экземпляры по мере необходимости для CI/CD.

#Процедура

export NAMESPACE=cpaas-system
export EXTERNAL_URL=$(kubectl get prdb -n cpaas-system base -o jsonpath='{.spec.platformURL}')
cat <<EOF | kubectl apply -f -
apiVersion: operators.katanomi.dev/v1alpha1
kind: Katanomi
metadata:
  name: katanomi
  namespace: ${NAMESPACE}
spec:
  externalURL: ${EXTERNAL_URL}
  replicas: 1
  resources:
    limits:
      cpu: "2"
      memory: 4Gi
    requests:
      cpu: "1"
      memory: 2Gi
  service:
    ingress:
      protocol: HTTP
    type: Ingress
EOF

export NAMESPACE=katanomi-operator
export NODE_IP=$(kubectl get nodes -o jsonpath='{.items[0].status.addresses[?(@.type=="InternalIP")].address}' | awk -F" " '{print $1}')
export EXTERNAL_URL=http://${NODE_IP}:32001
cat <<EOF | kubectl apply -f -
apiVersion: operators.katanomi.dev/v1alpha1
kind: Katanomi
metadata:
  name: katanomi
  namespace: ${NAMESPACE}
spec:
  externalURL: ${EXTERNAL_URL}
  replicas: 1
  resources:
    limits:
      cpu: "2"
      memory: 4Gi
    requests:
      cpu: "1"
      memory: 2Gi
  service:
    nodePort:
      apiPort:
        httpPort: 32000
      pluginPort:
        httpPort: 32001
    type: NodePort
EOF

#Описание параметров Katanomi

#FAQ

#Katanomi Pod не запускается из-за read-only root filesystem: каталог /cpaas недоступен для записи

Katanomi требует доступа на запись к каталогу /cpaas в хостовой системе для хранения audit log. Если pod не может записывать в этот каталог, он не сможет запуститься.

Чтобы решить эту проблему, можно настроить альтернативный путь хранения audit log. Например:

spec:
  helmValues:
    api:
      auditHostPath: /tmp/audit
    devopsApiServer:
      auditHostPath: /tmp/audit
    devopsApi:
      auditHostPath: /tmp/audit

Эта конфигурация указывает компонентам Katanomi использовать /tmp/audit в качестве пути хранения audit log, обеспечивая совместимость с окружениями, где enforced read-only root filesystem. При необходимости скорректируйте путь с учетом ваших требований к безопасности и эксплуатации.

#Как настроить пользовательские политики планирования для Katanomi

Чтобы размещать компоненты Katanomi на определенных узлах, настройте nodeSelector, tolerations или affinity в spec.helmValues.global. Например:

spec:
  helmValues:
    global:
      nodeSelector:
        custom.node/role: devops
      tolerations:
        - key: custom-taint
          operator: Exists
          effect: NoSchedule
      affinity:
        nodeAffinity:
          requiredDuringSchedulingIgnoredDuringExecution:
            nodeSelectorTerms:
              - matchExpressions:
                  - key: custom.node/role
                    operator: In
                    values:
                      - devops

Если эти поля не настроены, компоненты Katanomi продолжают использовать политику планирования по умолчанию.

#Как настроить пользовательский ImagePullSecret при развертывании Katanomi

Чтобы указать пользовательский ImagePullSecret для экземпляра Katanomi, добавьте следующую конфигурацию:

spec:
  helmValues:
    global:
      registry:
        imagePullSecret:
          name: <imagePullSecretName>

Эта конфигурация гарантирует, что Katanomi будет использовать указанный ImagePullSecret для загрузки образов контейнеров из private registries. Замените imagePullSecretName на имя заранее созданного Kubernetes secret, содержащего необходимые учетные данные registry.