#导入华为云 CCE 集群（公有云）

将现有的 CCE（Cloud Container Engine）集群（公有云）导入平台，以便统一管理。

#前提条件

• 集群上的 Kubernetes 版本和参数满足标准 Kubernetes 集群组件版本和参数要求。

• 确保集群类型为华为云 CCE 集群，且账号具有维护控制平面的权限。目前不支持 Turbo 集群。

• 华为云 CCE 集群创建后默认不具备访问外部网络资源的能力。在导入集群之前，请确保待导入集群能够访问平台接入地址。

#获取镜像仓库地址

• 如需使用 global 集群部署中平台部署的镜像仓库，请在global 集群的控制节点上执行以下命令以获取地址：

  if [ "$(kubectl get productbase -o jsonpath='{.items[].spec.registry.preferPlatformURL}')" = 'false' ]; then
      REGISTRY=$(kubectl get cm -n kube-public global-info -o jsonpath='{.data.registryAddress}')
  else
      REGISTRY=$(kubectl get cm -n kube-public global-info -o jsonpath='{.data.platformURL}' | awk -F \// '{print $NF}')
  fi
  echo "Image registry address is: $REGISTRY"

• 如需使用外部镜像仓库，请手动设置 REGISTRY 变量。

  REGISTRY=<external image registry address>  # Valid examples: registry.example.cn:60080 or 192.168.134.43
  echo "Image registry address is: $REGISTRY"

#判断镜像仓库是否需要额外配置

1. 执行以下命令，判断指定镜像仓库是否支持 HTTPS 访问，并使用由受信任 CA 机构签发的证书：

   REGISTRY=<image registry address obtained from the "Obtain Image Registry Address" section>
   
   if curl -s -o /dev/null --retry 3 --retry-delay 5 -- "https://${REGISTRY}/v2/"; then
       echo 'Test passed: The image registry uses certificates issued by trusted CA authorities. You do not need to execute the content in the "Trust Insecure Image Registry" section.'
   else
       echo 'Test failed: The image registry does not support HTTPS or the certificate is not trusted. Please refer to the "Trust Insecure Image Registry" section for configuration.'
   fi

2. 如果测试失败，请参考 FAQ 如何信任不安全的镜像仓库？。

#获取集群信息

1. 确保与华为云控制台网络连通。

2. 访问 Cloud Container Engine CCE 功能的集群管理页面；找到待导入的集群并单击集群名称进入详情页。

3. 如下图所示，按照导航找到下载 KubeConfig 文件按钮：集群信息 - 连接信息 - kubectl - 配置，并下载 KubeConfig 文件。

#获取导入集群令牌

公有云集群的 KubeConfig 文件不能直接用于集群导入。

请参考 FAQ 如何获取集群信息？ 获取导入集群令牌。

#导入集群

1. 在左侧导航栏中，单击 集群管理 > 集群。

2. 单击 导入集群。

3. 按照以下说明配置 镜像仓库 相关参数。

   参数	说明
   镜像仓库	用于存储集群所需平台组件镜像的仓库。 - 平台默认：global 集群部署时配置的镜像仓库。 - 私有仓库：预构建的仓库，用于存放平台所需组件。需要输入访问镜像仓库所需的私有镜像仓库地址、端口、用户名和密码。 - 公共仓库：使用位于公网的镜像仓库服务。使用前，需要先参考更新公共镜像仓库云凭据以获取仓库认证权限。
   集群信息	提示：请上传 KubeConfig 文件，由平台自动解析并填充。 集群地址：导入集群暴露的 API Server 的访问地址，用于平台访问导入集群的 API Server。 CA 证书：导入集群的 CA 证书。 认证方式：导入集群的认证方式，需要使用上一步创建的具有集群管理权限的令牌进行认证。

4. 单击 解析 KubeConfig 文件 按钮，并提交上一步下载的 KubeConfig 文件。平台会自动解析并填充 集群信息 相关参数。

5. 单击 检查连通性，检查与导入集群的网络连通性，并自动识别导入集群类型。集群类型将作为徽标显示在表单右上角。

6. 连通性检查通过后，单击 导入 并确认。

   提示：

   • 在 导入中 状态下，单击集群右侧的 图标，可在弹出的 执行进度 对话框中查看该集群的执行进度（status.conditions）。
   • 集群导入成功后，您可以在集群列表中查看集群的关键信息。集群状态会显示为正常，并且您可以执行与集群相关的操作。

#网络配置

为确保 global 集群与导入集群之间的网络连通性，您必须参考导入集群网络配置。

#后续操作

#Ingress（入站规则）和存储初始化

导入集群后，如果您需要使用 Ingress（入站规则）和存储相关功能，请参考华为云 CCE 集群 Ingress 初始化配置和华为云 CCE 集群存储初始化配置。

#FAQ

#导入集群后，添加节点按钮变灰了，如何添加节点？

平台界面不支持添加节点。请联系集群提供商添加节点。

#证书管理功能支持导入集群的哪些证书？

1. Kubernetes 证书：所有导入集群仅支持在平台证书管理界面查看 APIServer 证书信息。不支持查看其他 Kubernetes 证书，也不支持自动轮转。

2. 平台组件证书：所有导入集群都可以在平台证书管理界面查看平台组件证书信息，并支持自动轮转。

#导入的 华为云 CCE 集群 还不支持哪些其他功能？

• 不支持审计数据检索。

• 不支持 ETCD、Scheduler 和 Controller Manager 相关监控信息。支持 APIServer 部分监控图表。

• 无法检索 Kubernetes APIServer 证书之外的集群证书相关信息。