ibmcom/ibm-sls

IBM Suite Licensing Service (SLS) 镜像文档

镜像概述和主要用途

IBM Suite Licensing Service (SLS) 是一个基于RLKS（Rational License Key Server）后端技术的许可系统API服务。它提供四类API接口，用于许可系统的配置、授权管理、令牌使用统计及许可管理等功能。

注意：此为预发布的开发中软件，存在潜在缺陷，请勿用于生产环境。

核心功能和特性

核心API接口

• 直通API（Passthrough APIs）：提供与RLKS客户端接口镜像的直通API，直接对接RLKS
• 授权API（Entitlement APIs）：支持配置和上传授权文件到许可系统
• 令牌池API（Token Pool APIs）：提供令牌使用情况的基本统计报告
• 许可管理API（License Mgmt APIs）：提供许可管理能力

数据存储需求

• 令牌池API和许可管理API需要数据存储以实现持久化、缓存和RLKS心跳处理
• 直通API和授权API可无需数据存储使用

使用场景和适用范围

适用于RedHat OpenShift Container Platform 4环境中，需要通过API接口管理基于RLKS的许可系统的场景，支持许可配置、授权文件管理及令牌使用监控等需求。

详细使用方法和配置说明

前提条件

基础环境要求

• 计算架构：64位Intel/AMD x86
• 支持的云类型：rhocp4 RedHat OpenShift Container Platform 4

资源要求

最小调度容量：

安装步骤

1. 安装cert-manager

OperatorHub提供的cert-manager版本已过时，需安装1.1.0或更高版本：

bash
oc create namespace cert-manager
oc apply -f https://github.com/jetstack/cert-manager/releases/download/v1.1.0/cert-manager.yaml

更多信息请参考安装说明。

2. 配置授权

创建命名空间（如ibm-sls）并创建包含IBM Entitled Registry授权密钥的Docker密钥：

bash
oc new-project ibm-sls
oc create secret docker-registry ibm-entitlement \
  --docker-server=<你的 registry 服务器> \
  --docker-username=<你的用户名> \
  --docker-password=<你的密码> \

3. 配置MongoDB凭据

在部署SLS的命名空间中创建MongoDB凭据密钥：

yaml
apiVersion: v1
kind: Secret
type: Opaque
metadata:
  name: sls-mongo-credentials
  namespace: ibm-sls
data:
  username: "<base64编码的用户名>"
  password: "<base64编码的密码>"

4. 安装LicenseService实例

在创建的命名空间中安装操作员，然后创建LicenseService实例，指定适当的存储类和大小。可通过以下命令查看集群中可用的存储类：

bash
oc get storageclasses

创建LicenseService实例的YAML配置示例：

yaml
apiVersion: sls.ibm.com/v1
kind: LicenseService
metadata:
  name: sls
  namespace: ibm-sls
spec:
  mongo:
    configDb: admin
    nodes:
      - host: host1.domain.com
        port: 30257
      - host: host2.domain.com
        port: 30257
    secretName: sls-mongo-credentials
  rlks:
    storage:
      class: ibmc-block-bronze
      size: 5G

验证步骤

设置端口转发

将内部API暴露到集群外部：

sh
oc port-forward service/sls 7000:443

验证API运行状态

sh
curl -ik https://localhost:7000/api/entitlement/config
HTTP/1.1 200 OK
X-Powered-By: Servlet/4.0
Content-Type: application/json
Date: Mon, 12 Oct 2020 08:58:44 GMT
Content-Language: en-GB
Transfer-Encoding: chunked

{"rlks":{"configuration":"single","hosts":[{"id":"0242ac110002","hostname":"rlks-0.rlks","port":27000}]}}

上传授权文件

sh
curl -i -k -X PUT -F "file=@entitlement.lic" https://localhost:7000/api/entitlement/file
HTTP/1.1 100 Continue
Content-Length: 0
Date: Mon, 12 Oct 2020 08:56:59 GMT

HTTP/1.1 200 OK
Date: Mon, 12 Oct 2020 08:57:18 GMT
X-Powered-By: Servlet/4.0
Content-Length: 0
Content-Language: en-GB

验证产品类型查询

sh
curl -ik https://localhost:7000/api/products/MAS-Limited
HTTP/1.1 200 OK
X-Powered-By: Servlet/4.0
Content-Type: application/json
Date: Mon, 12 Oct 2020 09:01:17 GMT
Content-Language: en-GB
Transfer-Encoding: chunked

{"productId":"MAS-Limited","productVersion":"1.0","tokenId":"AppPoints","tokenCost":5,"issuedDate":"2020-04-22T00:00:00Z","expirationDate":"2023-08-30T00:00:00Z"}

验证令牌池查询

sh
curl -ik https://localhost:7000/api/tokens
HTTP/1.1 200 OK
X-Powered-By: Servlet/4.0
Content-Type: application/json
Date: Mon, 12 Oct 2020 09:02:02 GMT
Content-Language: en-GB
Transfer-Encoding: chunked

[{"tokenId":"AppPoints","entitled":100,"used":0,"concurrent":0,"reserved":0,"expirationDate":"2023-08-30T00:00:00Z","available":100,"issuedDate":"2020-04-22T00:00:00Z"}]

配置说明

存储配置

安装LicenseService实例时，需指定RLKS使用的PVC存储类和容量。存储要求：

• 无特定性能要求，仅需最小容量（小于1GB）
• 可选择集群中可用的最低成本或最低服务质量的存储类
• 存储大小设置为存储类支持的最小值

系统将自动创建名为rlks-pvc的PVC，使用ReadWriteOnce访问模式。

IBM Cloud存储

已测试支持以下IBM Cloud存储类：

• File Gold
• Block Custom

加密建议

建议使用启用被动加密的存储来保护数据，许可系统本身不对持久卷执行主动加密。

备份与恢复

备份流程

1. 备份Mongo数据库快照（所有集合）
2. 记录许可ID

恢复流程

1. 恢复Mongo数据库快照（所有集合）
2. 部署licenseservice实例，在自定义资源规范中提供licenceId属性以覆盖新ID生成（需重用现有许可文件）
3. 向恢复的服务上传相同的许可文件

限制

• 操作员仅支持单命名空间部署
• 单个集群中可部署多个操作员实例
• 同一命名空间中可部署多个LicenseServer实例，但建议每个命名空间部署一个实例

升级

参考Red Hat官方文档：使用Operator Lifecycle Manager升级操作员

安全上下文约束要求

安装前需将SecurityContextConstraints绑定到目标命名空间。已验证以下安全上下文约束可用：

• 默认预定义的restricted SCC
• 以下自定义SCC

yaml
apiVersion: security.openshift.io/v1
metadata:
  annotations:
    kubernetes.io/description: "This policy is the most restrictive for SLS, requiring pods to run with a non-root UID, and preventing pods from accessing the host. The UID and GID will be bound by ranges specified at the Namespace level."
  name: ibm-sls-custom-scc
allowHostDirVolumePlugin: false
allowHostIPC: false
allowHostNetwork: false
allowHostPID: false
allowHostPorts: false
allowPrivilegeEscalation: true
allowPrivilegedContainer: false
allowedCapabilities: null
defaultAddCapabilities: null
fsGroup:
  type: MustRunAs
kind: SecurityContextConstraint
priority: 0
readOnlyRootFilesystem: false
requiredDropCapabilities:
- KILL
- MKNOD
- SETUID
- SETGID
runAsUser:
  type: MustRunAsRange
seLinuxContext:
  type: MustRunAs
supplementalGroups:
  type: RunAsAny
users: []
volumes:
- configMap
- downwardAPI
- emptyDir
- persistentVolumeClaim
- projected
- secret