槿鸢茶屋

1. 设置 oVirt 部署环境#

打开 VMware Workstation → 编辑 → 虚拟网络编辑器，确认 VMnet8（NAT） 已启用，并能看到 NAT 设置里的网关地址（一般为 192.168.100.2，就是两台虚拟机的网关和 DNS）。

验证：vmnet8 的”使用本地 DHCP 服务将 IP 地址分配给虚拟机”按需勾选；实验里两台机器建议直接配静态 IP。

2. 创建 engine 节点虚拟机#

安装介质换成 Rocky Linux 9.5 minimal：

1. 新建虚拟机：4 vCPU / 8 GB 内存 / 100 GB 硬盘，CD/DVD 挂载 Rocky-9.5-x86_64-minimal.iso，软件选择 最小安装。

   

2. 安装过程中在”网络和主机名”里把网卡连上，主机名填 engine.lab.net，设置 root 密码。

   

   到“安装目的地”这步自动分区即可（图 3-49 是老流程里手动分区的样子：/boot、swap、/ 三块）：

   

3. 装完登录，配置 IP（192.168.100.130/24）、网关和 DNS（192.168.100.2）。

4. 用 SSH（如 Xshell / MobaXterm / Windows 自带 ssh）连上去做后续操作。

1
hostnamectl set-hostname engine.lab.net
2
hostname -f                     # 必须输出 engine.lab.net
3
ip -4 a                         # 确认 IP
4
systemctl enable --now chronyd  # 时间同步，oVirt 对时间敏感

3. 部署 oVirt Engine#

1
cat > /etc/yum.repos.d/centos-ovirt45.repo <<'EOF'
2
[centos-ovirt45]
3
name=CentOS Stream 9 - oVirt 4.5
4
baseurl=https://mirrors.aliyun.com/centos-stream/SIGs/9-stream/virt/x86_64/ovirt-45/
5
enabled=1
6
gpgcheck=0
7
module_hotfixes=1
8
EOF
9

10
dnf clean all
11
dnf makecache

1
dnf -y update
2
shutdown -r now

1
dnf -y install ovirt-engine

1
systemctl stop firewalld
2
systemctl disable firewalld

1
engine-setup

1
[ INFO  ] Execution of setup completed successfully

1
hostnamectl set-hostname engine.lab.net
2
echo '192.168.100.130 engine.lab.net engine' >> /etc/hosts
3
hostname -f          # engine.lab.net

1
engine-cleanup      # 全部回答 Yes
2
engine-setup

1
rpm -qa | grep -i postgres           # 确认是不是装了 postgresql18-*
2

3
dnf -y remove postgresql18 postgresql18-server postgresql18-contrib postgresql18-libs
4
dnf -y install postgresql-server postgresql
5
postgresql-setup --initdb
6
systemctl enable --now postgresql
7

8
sudo -u postgres psql -c "select version();"    # PostgreSQL 13.23 ...

1
dnf -y install postgresql-contrib ongres-scram-client

1
Found existing PKI files, but /etc/pki/ovirt-engine/ca.pem is missing.
2
Do you want to Continue with Setup and overwrite existing PKI files? (Yes, No) [No]:

1
192.168.100.130 engine.lab.net

1
cat >> /etc/hosts <<'EOF'
2
192.168.100.130 engine.lab.net engine
3
192.168.100.42  node.lab.net   node
4
EOF

3.7 登录管理门户（以及登录不进去怎么办）#

浏览器访问 https://engine.lab.net/，点”管理门户”。

用户名必须是小写 admin，不要写 admin@internal——4.5 的登录页是 Keycloak 提供的，用户名区分大小写，老文档那种写法会直接失败。

登录成功后就是管理门户（计算 / 存储 / 网络 / 管理四个入口）：

登录页反复弹回 / 报 decrypting JWE failed#

Apache 的状态 Cookie 解不开，根因是 /etc/httpd/conf.d/internalsso-openidc.conf 里的 OIDCCryptoPassphrase 是动态随机生成的，每次重启 httpd 就换一把密钥，旧 Cookie 全作废。改成固定口令：

1
cp /etc/httpd/conf.d/internalsso-openidc.conf{,.bak.$(date +%Y%m%d%H%M)}
2
sed -i 's|^OIDCCryptoPassphrase.*|OIDCCryptoPassphrase "自己编一个32位随机串"|' \
3
    /etc/httpd/conf.d/internalsso-openidc.conf
4
httpd -t                # Syntax OK
5
systemctl restart httpd

改完请用无痕窗口重新登录（浏览器里残留的旧 Cookie 会继续捣乱）。

忘记 admin 密码：进 Keycloak 管理控制台重置#

1. 浏览器打开 https://engine.lab.net/ovirt-engine-auth/admin/
2. 用 admin 登录（master realm 管理员，密码就是 engine-setup 时设的那个）
3. 左上角 realm 切到 ovirt-internal
4. Users → 选 admin → Credentials → Reset password → 输入新密码，Temporary 关掉 → Save

等价的命令行方式（实测可用）：

1
TOKEN=$(curl -sk -X POST \
2
  https://engine.lab.net/ovirt-engine-auth/realms/master/protocol/openid-connect/token \
3
  -d client_id=admin-cli -d grant_type=password \
4
  -d username=admin -d password='<master管理员密码>' \
5
  | sed -n 's/.*"access_token":"\([^"]*\)".*/\1/p')
6

7
# 查用户 id
8
curl -sk -H "Authorization: Bearer $TOKEN" \
9
  "https://engine.lab.net/ovirt-engine-auth/admin/realms/ovirt-internal/users?username=admin"
10

11
# 重置密码
12
curl -sk -X PUT -H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" \
13
  "https://engine.lab.net/ovirt-engine-auth/admin/realms/ovirt-internal/users/<用户id>/reset-password" \
14
  -d '{"type":"password","value":"新密码","temporary":false}'

1
Host node is compatible with versions (4.2,4.3,4.4,4.5,4.6,4.7)
2
and cannot join Cluster Default which is set to version 4.8.

1
export PGPASSWORD=<引擎库口令>       # 见 /etc/ovirt-engine/engine.conf.d/ 下 engine-setup 生成的配置
2
psql -h 127.0.0.1 -U engine -d engine <<'SQL'
3
begin;
4
update storage_pool set compatibility_version='4.5' where name='Default';
5
update cluster      set compatibility_version='4.5' where name='Default';
6
commit;
7
SQL
8

9
systemctl restart ovirt-engine      # 引擎把兼容版本缓存在内存里，必须重启才生效

1
Data Center Default compatibility version is 4.5, which is lower than latest available version 4.8.
2
Please upgrade your Data Center to latest version ...

1
select name, compatibility_version from storage_pool;   -- 4.5
2
select name, compatibility_version from cluster;        -- 4.5

4. 部署 oVirt Node#

1
可用空间 50 GiB / 总空间 50 GiB
2
自动分区失败：not enough free space in volume group

4.3 安装与网络配置#

oVirt Node NG 用的就是 CentOS 的 Anaconda 安装器，步骤和老流程一样，一步步往下走：

① 语言：

② 软件选择——保持默认的“最小安装”：

③ 安装目的地——点 “Click here to create them automatically”（自动创建分区）。图 3-57 是还没分区时的样子，图 3-58 是自动创建的入口，图 3-59 是自动分好的结果：

④ 网络和主机名——网卡连上，主机名填 node.lab.net，IP 192.168.100.42/24、网关和 DNS 192.168.100.2：

1
cat >> /etc/hosts <<'EOF'
2
192.168.100.130 engine.lab.net engine
3
192.168.100.42  node.lab.net   node
4
EOF
5
hostname -f

1
cat /etc/yum.repos.d/node-optional.repo          # 看一眼，[onn-sap] 那段的 baseurl 是死的
2

3
dnf config-manager --set-disabled onn-sap
4
# 更保险：全局禁掉，防止 oVirt Node 重启后被重新启用
5
grep -q '^disablerepo=onn-sap' /etc/dnf/dnf.conf || \
6
  sed -i '/^\[main\]/a disablerepo=onn-sap' /etc/dnf/dnf.conf
7

8
dnf makecache                                    # 无报错
9
dnf -y install python3 && python3 --version      # 3.9.18

5. 添加主机#

计算 → 主机 → 新建：

提示“没有配置电源管理”点确定（实验环境不需要 fencing）：

之后引擎会自动跑 host-deploy，状态先变成“安装中”（图 3-64），跑完就是绿色 Up：

1
ls -lt /var/log/ovirt-engine/host-deploy/
2
grep -nE "fatal:|FAILED" /var/log/ovirt-engine/host-deploy/ovirt-host-deploy-ansible-*.log | tail

1
Failed to download metadata for repo 'onn-sap':
2
Cannot download repodata/repomd.xml: All mirrors were tried

6. 配置存储（NFS 建在 node 节点上）#

存储用 NFS，全部在 node 上操作：

1
# 1) 在 node 节点创建 NFS 共享目录
2
mkdir -p /data/ISO /data/vm          # /data 不存在就新建；空间不足可换到有空间的目录
3

4
# 2) 配置目录权限（36:36 是 vdsm/kvm 用户）
5
chown 36:36 /data/ISO && chmod 755 /data/ISO
6
chown 36:36 /data/vm  && chmod 755 /data/vm
7

8
# 3) 编辑 NFS 服务器配置文件
9
cat >> /etc/exports <<'EOF'
10
/data/ISO 192.168.100.0/24(rw,sync,no_subtree_check,all_squash,anonuid=36,anongid=36)
11
/data/vm  192.168.100.0/24(rw,sync,no_subtree_check,all_squash,anonuid=36,anongid=36)
12
EOF
13

14
# 4) 启动 NFS 服务
15
systemctl enable --now rpcbind nfs-server
16
setsebool -P virt_use_nfs 1
17

18
# 5) 查看 NFS 输出
19
showmount -e
20
# Export list for node.lab.net:
21
# /data/vm   192.168.100.0/24
22
# /data/ISO  192.168.100.0/24

若 engine 与 node 之间被防火墙隔开，记得放行 NFS： firewall-cmd --permanent --add-service=nfs --add-service=rpc-bind --add-service=mountd && firewall-cmd --reload

在门户里建两个存储域（存储 → 域 → 新建域）：

两个域的导出路径分别填成刚才 NFS 输出的两个目录：

数据域会自动挂到数据中心；ISO 域建好后要右键”附加”到数据中心。等两个域状态都变成 “活跃的”。

7. 上传 ISO#

把系统 ISO 拷进 ISO 域里以”数据中心 ID”命名的目录：

1
# 在 node 上先查数据中心 ID（在 engine 上执行也可以）
2
DC_ID=$(PGPASSWORD=<引擎库口令> psql -h 127.0.0.1 -U engine -d engine -t -A \
3
        -c "select id from storage_pool where name='Default';")
4

5
ISO_DIR=/data/ISO/$DC_ID/images/11111111-1111-1111-1111-111111111111
6
mkdir -p $ISO_DIR
7
cp /root/CentOS-7-x86_64-Minimal-2009.iso $ISO_DIR/
8
chown 36:36 $ISO_DIR/*.iso && chmod 644 $ISO_DIR/*.iso
9
ls -lh $ISO_DIR

引擎会周期性扫描 ISO 域，等 1~2 分钟（或选中 ISO 域点一下”刷新”）。

验证：新建虚拟机时，在”运行一次”窗口的 CD 下拉框里能看到这个 ISO。

8. 安装 spice 客户端#

下载并安装 virt-viewer-x64-11.0-1.0.msi（oVirt 官方的 Windows 控制台客户端），装完用它打开门户里下载的 console.vv。

不想装也行：门户里的虚拟机控制台可以直接用 noVNC（浏览器打开），前提是 engine-setup 时 Configure WebSocket Proxy 选了 Yes。 另外 TigerVNC 也能连（在虚拟机”控制台选项”里看 VNC 端口）。

9. 创建虚拟机#

1. 计算 → 虚拟机 → 新建：操作系统 Red Hat Enterprise Linux 7.x x64 / CentOS 7，优化目标“服务器”，名称 CentOS7。

   

2. 实例镜像“创建”一块 10 GB 虚拟磁盘。

   

3. 网络接口选 ovirtmgmt。

   

4. 用 VMware Workstation 做实验时必做：勾选“显示高级选项 → 系统 → 高级参数 → 自定义仿真机”，选择 pc-i440fx-rhel7.2.0（或 pc-i440fx-rhel7.1.0），否则虚机装完系统起不来。

   

5. 选中虚拟机 → “只运行一次” → 勾选附加 CD、选刚上传的系统 ISO、引导顺序把 CD-ROM 放最前。

   

6. 启动后点 控制台，双击下载的 console.vv 打开 Remote Viewer（释放鼠标：Shift+F12）完成系统安装。

   

7. 装完把引导顺序改回硬盘；在虚机里 ip a 看到 IP 后，宿主机能 ping 通、能 SSH 上去，实验完成。

   

界面刷新不下来时，systemctl restart ovirt-engine 是最省事的”重启大法”。

附录 A：踩坑速查表（按报错信息检索）#

附录 B：常用命令速查#

1
# ---- engine 节点 ----
2
systemctl status ovirt-engine        # 引擎状态（Keycloak 是引擎内嵌子系统，没有独立的 keycloak.service）
3
engine-setup / engine-cleanup        # 配置 / 清理
4
engine-backup --mode=backup --file=/root/all.bk --log=/root/all.log
5

6
export PGPASSWORD=<引擎库口令>
7
psql -h 127.0.0.1 -U engine -d engine
8

9
select name, compatibility_version from storage_pool;      # 数据中心版本
10
select name, compatibility_version from cluster;           # 集群版本
11
select vds_name, status, non_operational_reason from vds;  # 主机状态（原因码在这里，比翻界面快）
12
select to_char(log_time,'MM-DD HH24:MI'), message
13
  from audit_log order by log_time desc limit 30;          # 最近事件
14

15
# ---- node 节点 ----
16
systemctl status vdsmd
17
tail -f /var/log/vdsm/vdsm.log
18
journalctl -u vdsmd -n 50
19
showmount -e
20

21
# ---- 主机部署排障（engine 上）----
22
ls -lt /var/log/ovirt-engine/host-deploy/
23
grep -nE "fatal:|FAILED" /var/log/ovirt-engine/host-deploy/ovirt-host-deploy-ansible-*.log

附录 C：特殊情况——Keycloak 过了仍提示 “not authorized to perform login”#

1
The user admin@internalkeycloak-authz with profile [internalsso] is not authorized to perform login

说明认证成功、授权失败。链路是：

1
Keycloak 登录 → 引擎 SSO → internalkeycloak-authz 授权域 → 引擎按用户名找用户 → 查 permissions 表里的 SuperUser 授权

① Keycloak 的 ovirt-internal realm 里有没有 admin 这个用户？ 没有就在 Keycloak 管理控制台（realm 切到 ovirt-internal）→ Users → Add user 建一个 admin，再 Reset password（Temporary 关掉）。

② 引擎 permissions 表里有没有对该用户的 SuperUser 授权？

admin@internal、admin@ovirt、admin@internalkeycloak-authz 在引擎里是三条不同的用户记录，授权不能互相顶替：

1
select u.username, u.domain, p.role_id, p.ad_element_id
2
  from permissions p join users u on u.user_id = p.ad_element_id;

缺 internalkeycloak-authz 域下 admin 的 SuperUser 授权时补一条（SuperUser 角色 ID 固定为 00000000-0000-0000-0000-000000000001，系统级对象 ID aaa00000-0000-0000-0000-123456789aaa）：

1
insert into permissions (id, role_id, ad_element_id, object_id, object_type_id, creation_date)
2
select uuid_generate_v4(), '00000000-0000-0000-0000-000000000001', user_id,
3
       'aaa00000-0000-0000-0000-123456789aaa', 1,
4
       (extract(epoch from now())*1000)::bigint
5
  from users
6
 where domain = 'internalkeycloak-authz' and username = 'admin'
7
   and not exists (select 1 from permissions p
8
                    where p.ad_element_id = users.user_id
9
                      and p.role_id = '00000000-0000-0000-0000-000000000001');

权限是实时读取的，补完直接重登，不用重启引擎。 注意 users.user_and_domain 是生成列（不能直接 UPDATE），creation_date 是 bigint 毫秒。

附录 D：与老流程（CentOS 7 + oVirt 4.3.8）的对照#

结语#

按 1 → 9 走完，最终会得到：

• 一台 engine.lab.net（Rocky 9.5）跑着 oVirt Engine 4.5，浏览器打开 https://engine.lab.net/ 能进管理门户；
• 一台 node.lab.net（oVirt Node NG 4.5）作为虚拟化主机，状态是绿色的 Up；
• 数据中心 Default 里挂好 Data 和 ISO 两个 NFS 存储域，都显示”活跃的”；
• 一台 CentOS 7 虚拟机，从门户创建、装完系统，宿主机能 SSH 连上。

整个过程真正容易栽的其实只有三处：PostgreSQL 装成了 18（坑 3）、数据中心/集群的兼容版本被设成 4.8（3.8 节）、Node 自带的 onn-sap 死源（坑 8）。把这三个记住，剩下的照着点就行。

遇到报错建议直接翻 附录 A：那张表按”报错信息 → 真实原因 → 解决”排好了，可以直接按报错关键字搜。