#安装 Alauda DevOps

本指南提供安装 Alauda DevOps 的详细步骤。

#前提条件

在继续之前，请确保已上传 Alauda DevOps v3 operator。

有关上传 operator 的更多信息，请参考 Uploading Operators

#命名空间安全策略要求

• Katanomi 仅支持创建一个实例。该实例可以部署到任意命名空间，但必须满足以下条件：

  • 命名空间资源充足
  • 命名空间配置了特权安全策略

• Katanomi Operator 要求命名空间使用特权安全策略配置才能正常工作。此要求基于组件对特权容器和 hostPath 卷挂载的依赖。

  根本原因：Katanomi Operator 组件需要特权容器访问和 hostPath 卷挂载（审计日志目录）才能正常运行：

  • 特权容器：多个 Katanomi Operator 部署使用了 privileged: true 安全上下文：
    • apiserver deployment - API server 部署需要 privileged: true，用于对审计日志目录执行 chown
    • api deployment - API 部署使用 privileged: true，用于对审计日志目录执行 chown
    • devops-api deployment - DevOps API 部署需要 privileged: true，用于对审计日志目录执行 chown
    • build-image-buildkit-v1 tasks - 构建任务显式使用 privileged: true，以支持容器镜像构建能力

#安装 Operator

前往平台的 Administrator -> Marketplace -> OperatorHub 页面，搜索 Alauda DevOps v3，然后单击 operator 卡片进入 operator 详情页。

单击 Install 安装该 operator。

#部署位置

在 Global Cluster 中部署 Katanomi 实例。Business Cluster 可按需部署实例以支持 CI/CD。

#操作步骤

export NAMESPACE=cpaas-system
export EXTERNAL_URL=$(kubectl get prdb -n cpaas-system base -o jsonpath='{.spec.platformURL}')
cat <<EOF | kubectl apply -f -
apiVersion: operators.katanomi.dev/v1alpha1
kind: Katanomi
metadata:
  name: katanomi
  namespace: ${NAMESPACE}
spec:
  externalURL: ${EXTERNAL_URL}
  replicas: 1
  resources:
    limits:
      cpu: "2"
      memory: 4Gi
    requests:
      cpu: "1"
      memory: 2Gi
  service:
    ingress:
      protocol: HTTP
    type: Ingress
EOF

export NAMESPACE=katanomi-operator
export NODE_IP=$(kubectl get nodes -o jsonpath='{.items[0].status.addresses[?(@.type=="InternalIP")].address}' | awk -F" " '{print $1}')
export EXTERNAL_URL=http://${NODE_IP}:32001
cat <<EOF | kubectl apply -f -
apiVersion: operators.katanomi.dev/v1alpha1
kind: Katanomi
metadata:
  name: katanomi
  namespace: ${NAMESPACE}
spec:
  externalURL: ${EXTERNAL_URL}
  replicas: 1
  resources:
    limits:
      cpu: "2"
      memory: 4Gi
    requests:
      cpu: "1"
      memory: 2Gi
  service:
    nodePort:
      apiPort:
        httpPort: 32000
      pluginPort:
        httpPort: 32001
    type: NodePort
EOF

#Katanomi 参数说明

#常见问题

#由于只读根文件系统导致 Katanomi Pod 启动失败：/cpaas 目录不可写

Katanomi 需要对主机系统上的 /cpaas 目录具有写入权限，以存储审计日志。如果 Pod 无法向该目录写入，则会启动失败。

要解决此问题，可以配置其他审计日志存储路径。例如：

spec:
  helmValues:
    api:
      auditHostPath: /tmp/audit
    devopsApiServer:
      auditHostPath: /tmp/audit
    devopsApi:
      auditHostPath: /tmp/audit

此配置会指示 Katanomi 组件使用 /tmp/audit 作为审计日志存储路径，从而确保与强制使用只读根文件系统的环境兼容。请根据安全和运维要求调整该路径。

#如何为 Katanomi 配置自定义调度策略

要将 Katanomi 组件调度到特定节点，请在 spec.helmValues.global 下配置 nodeSelector、tolerations 或 affinity。例如：

spec:
  helmValues:
    global:
      nodeSelector:
        custom.node/role: devops
      tolerations:
        - key: custom-taint
          operator: Exists
          effect: NoSchedule
      affinity:
        nodeAffinity:
          requiredDuringSchedulingIgnoredDuringExecution:
            nodeSelectorTerms:
              - matchExpressions:
                  - key: custom.node/role
                    operator: In
                    values:
                      - devops

如果未配置这些字段，Katanomi 组件将继续使用默认调度策略。

#在部署 Katanomi 时如何配置自定义 ImagePullSecret

要为 Katanomi 实例指定自定义 ImagePullSecret，请添加以下配置：

spec:
  helmValues:
    global:
      registry:
        imagePullSecret:
          name: <imagePullSecretName>

此配置可确保 Katanomi 在从私有镜像仓库拉取容器镜像时使用指定的 ImagePullSecret。请将 imagePullSecretName 替换为预先创建的、包含所需仓库凭据的 Kubernetes secret 名称。