Dell APEX Cloud Platform для Red Hat OpenShift: Не удается создать отключенные кластеры, управляемые HCP, из-за ошибок проверки сертификатов

При создании отключенного кластера, управляемого HCP, следуя инструкциям администратора, процесс может завершиться сбоем. В консоли пользовательского интерфейса отобразится ошибка «Не удалось проверить сертификат: x509: сертификат, подписанный неизвестным центром».

В кластере Dell APEX Cloud Platform для Red Hat OpenShift (ACP4OCP) требуются два реестра:

1. Внутренний реестр с именем depot-manager в кластере концентратора ACP4OCP для хранения образов OCP и ACP Manager.
2. Внешний реестр на случай перебоев в подаче электроэнергии.

Кластер ACP4OCP должен доверять сертификатам обоих реестров, которые хранятся в ConfigMap с именем acp-ingress-ca. Затем эта ConfigMap устанавливается в качестве additionalTrustedCA для ресурса image.config.openshift.io.

Однако во время настройки кластера, управляемого HCP, компонент гиперсдвига ACP4OCP создает собственный доверенный CA на основе параметров ресурса image.config.openshift.io. Эта функция используется для проверки образа выпуска OpenShift Container Platform (OCP). Если конфигурация additionalTrustedCA включает два сертификата и использует "|-" в качестве разделителя, hypershift не добавляет разрыв строки после первого сертификата. В результате оба сертификата считаются недействительными.

В синтаксисе YAML "|-" и "|" являются допустимыми разделителями, которые используются для представления многострочных строковых значений. При создании или изменении конфигурации "ключ/значение" из веб-консоли OCP в качестве разделителя по умолчанию будет использоваться "|-".

Чтобы проверить, содержит ли Configmap символ «|-» в качестве разделителя, выполните следующую команду в диспетчере ACP:

• oc get configmap -n openshift-config acp-ingress-ca -o yaml

Пример.

Чтобы изменить разделитель между именем сертификата и ключом сертификата с «|-» на «|», выполните следующие действия:

1. Выполните команду «oc edit configmap -n openshift-config acp-ingress-ca» в диспетчере ACP, измените «|-» на «|» и сохраните изменения в Configmap.
2. Перезапустите модули компонентов hypershift с помощью команды «oc delete pod -n hypershift --all».
3. После того как модули Hypershift будут готовы, повторите попытку настройки кластера, управляемого HCP.