断开连接的安装镜像

流程

1. 从 OpenShift console Downloads 页下载最新版本的 mirror registry for Red Hat OpenShift 的 mirror-registry.tar.gz 软件包。

2. 使用 mirror-registry 工具，在本地主机上安装 mirror registry for Red Hat OpenShift。有关可用标志的完整列表，请参阅 "mirror registry for Red Hat OpenShift flags"。

   $ ./mirror-registry install \
     --quayHostname <host_example_com> \
     --quayRoot <example_directory_name>

   Copy to Clipboard Toggle word wrap

3. 运行以下命令，使用安装期间生成的用户名和密码登录 registry：

   $ podman login -u init \
     -p <password> \
     <host_example_com>:8443> \
     --tls-verify=false 

   1

   Copy to Clipboard Toggle word wrap

   1

   您可以通过将您的系统配置为信任生成的 rootCA 证书来避免运行 --tls-verify=false。如需更多信息，请参阅"保护 Red Hat Quay"和"将系统配置为信任证书颁发机构"。

   注意

   您还可以在安装后通过 https://<host.example.com>:8443 访问 UI 登录。

4. 您可以在登录后镜像 OpenShift Container Platform 镜像。根据您的需要，请参阅本文档的"镜像 OpenShift Container Platform 镜像存储库"或"镜像 Operator 目录"部分以用于此文档。

   注意

   如果因为存储层问题导致 Red Hat OpenShift 镜像存储了镜像 registry 存在问题，您可以在更稳定的存储上重新镜像 OpenShift Container Platform 镜像或重新安装 registry。

验证

1. 运行以下命令，确保 mirror registry for Red Hat OpenShift 已更新：

   $ podman ps

   Copy to Clipboard Toggle word wrap

   输出示例

   registry.redhat.io/quay/quay-rhel8:v3.12.10

   Copy to Clipboard Toggle word wrap

流程

1. 从 OpenShift console Downloads 页下载最新版本的 mirror registry for Red Hat OpenShift 的 mirror-registry.tar.gz 软件包。

2. 使用 mirror-registry 工具，在本地主机上安装 mirror registry for Red Hat OpenShift。有关可用标志的完整列表，请参阅 "mirror registry for Red Hat OpenShift flags"。

   $ ./mirror-registry install -v \
     --targetHostname <host_example_com> \
     --targetUsername <example_user> \
     -k ~/.ssh/my_ssh_key \
     --quayHostname <host_example_com> \
     --quayRoot <example_directory_name>

   Copy to Clipboard Toggle word wrap

3. 运行以下命令，使用安装期间生成的用户名和密码登录 到镜像的 registry：

   $ podman login -u init \
     -p <password> \
     <host_example_com>:8443> \
     --tls-verify=false 

   1

   Copy to Clipboard Toggle word wrap

   1

   您可以通过将您的系统配置为信任生成的 rootCA 证书来避免运行 --tls-verify=false。如需更多信息，请参阅"使用 SSL 保护到 Red Hat Quay 的连接"和"将系统配置为信任证书颁发机构"。

   注意

   您还可以在安装后通过 https://<host.example.com>:8443 访问 UI 登录。

4. 您可以在登录后镜像 OpenShift Container Platform 镜像。根据您的需要，请参阅本文档的"镜像 OpenShift Container Platform 镜像存储库"或"镜像 Operator 目录"部分以用于此文档。

   注意

   如果因为存储层问题导致 Red Hat OpenShift 镜像存储了镜像 registry 存在问题，您可以在更稳定的存储上重新镜像 OpenShift Container Platform 镜像或重新安装 registry。

验证

1. 运行以下命令，确保 mirror registry for Red Hat OpenShift 已更新：

   $ podman ps

   Copy to Clipboard Toggle word wrap

   输出示例

   registry.redhat.io/quay/quay-rhel8:v3.12.10

   Copy to Clipboard Toggle word wrap

流程

1. 输入以下命令安装 mirror registry for Red Hat OpenShift:

   $ ./mirror-registry install \
   --quayHostname <host_example_com> \
   --quayRoot <example_directory_name>

   Copy to Clipboard Toggle word wrap

   这会将 mirror registry for Red Hat OpenShift 安装到 $HOME/quay-install 目录中。

2. 准备一个新的证书颁发机构(CA)捆绑包，并生成新的 ssl.key 和 ssl.crt 密钥文件。如需更多信息，请参阅为 Red Hat Quay 配置 SSL 和 TLS。

3. 输入以下命令为 /$HOME/quay-install 分配一个环境变量，如 QUAY ：

   $ export QUAY=/$HOME/quay-install

   Copy to Clipboard Toggle word wrap

4. 输入以下命令将新的 ssl.crt 文件复制到 /$HOME/quay-install 目录中：

   $ cp ~/ssl.crt $QUAY/quay-config

   Copy to Clipboard Toggle word wrap

5. 输入以下命令将新的 ssl.key 文件复制到 /$HOME/quay-install 目录中：

   $ cp ~/ssl.key $QUAY/quay-config

   Copy to Clipboard Toggle word wrap

6. 输入以下命令重启 quay-app 应用程序 pod：

   $ systemctl --user restart quay-app

   Copy to Clipboard Toggle word wrap

1. 从 Red Hat OpenShift Cluster Manager 下载 registry.redhat.io pull secret。

2. 以 JSON 格式创建您的 pull secret 副本：

   $ cat ./pull-secret | jq . > <path>/<pull_secret_file_in_json> 

   1

   Copy to Clipboard Toggle word wrap

   1

   指定到存储 pull secret 的文件夹的路径，以及您创建的 JSON 文件的名称。

   该文件类似于以下示例：

   {
     "auths": {
       "cloud.openshift.com": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "quay.io": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "registry.connect.redhat.com": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       },
       "registry.redhat.io": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       }
     }
   }

   Copy to Clipboard Toggle word wrap

3. 为您的镜像 registry 生成 base64 编码的用户名和密码或令牌：

   $ echo -n '<user_name>:<password>' | base64 -w0 

   1

   
   BGVtbYk3ZHAtqXs=

   Copy to Clipboard Toggle word wrap

   1

   通过 <user_name> 和 <password> 指定 registry 的用户名和密码。

4. 编辑 JSON 文件并添加描述 registry 的部分：

     "auths": {
       "<mirror_registry>": { 

   1

   
         "auth": "<credentials>", 

   2

   
         "email": "you@example.com"
       }
     },

   Copy to Clipboard Toggle word wrap

   1

   对于 <mirror_registry>，指定 registry 域名，以及您的镜像 registry 用来提供内容的可选端口。例如：registry.example.com 或 registry.example.com:8443

   2

   使用 <credentials> 为您的镜像 registry 指定 base64 编码的用户名和密码。

   该文件类似于以下示例：

   {
     "auths": {
       "registry.example.com": {
         "auth": "BGVtbYk3ZHAtqXs=",
         "email": "you@example.com"
       },
       "cloud.openshift.com": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "quay.io": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "registry.connect.redhat.com": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       },
       "registry.redhat.io": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       }
     }
   }

   Copy to Clipboard Toggle word wrap

1. 查看 OpenShift Container Platform 下载页面，以确定您要安装的 OpenShift Container Platform 版本，并决定 Repository Tags 页中的相应标签（tag）。

2. 设置所需的环境变量：

   1. 导出发行版本信息：

      $ OCP_RELEASE=<release_version>

      Copy to Clipboard Toggle word wrap

      对于 <release_version>，请指定与 OpenShift Container Platform 版本对应的标签，用于您的架构，如 4.5.4。

   2. 导出本地 registry 名称和主机端口：

      $ LOCAL_REGISTRY='<local_registry_host_name>:<local_registry_host_port>'

      Copy to Clipboard Toggle word wrap

      对于 <local_registry_host_name>，请指定镜像存储库的 registry 域名；对于 <local_registry_host_port>，请指定用于提供内容的端口。

   3. 导出本地存储库名称：

      $ LOCAL_REPOSITORY='<local_repository_name>'

      Copy to Clipboard Toggle word wrap

      对于 <local_repository_name>，请指定要在 registry 中创建的仓库名称，如 ocp4/openshift4。

   4. 导出要进行镜像的存储库名称：

      $ PRODUCT_REPO='openshift-release-dev'

      Copy to Clipboard Toggle word wrap

      对于生产环境版本，必须指定 openshift-release-dev。

   5. 导出 registry pull secret 的路径：

      $ LOCAL_SECRET_JSON='<path_to_pull_secret>'

      Copy to Clipboard Toggle word wrap

      对于 <path_to_pull_secret>，请指定您创建的镜像 registry 的 pull secret 的绝对路径和文件名。

   6. 导出发行版本镜像：

      $ RELEASE_NAME="ocp-release"

      Copy to Clipboard Toggle word wrap

      对于生产环境版本，您必须指定 ocp-release。

   7. 为您的集群导出构架类型：

      $ ARCHITECTURE=<cluster_architecture> 

      1

      Copy to Clipboard Toggle word wrap

      1

      指定集群的构架，如 x86_64, aarch64, s390x, 获 ppc64le。

   8. 导出托管镜像的目录的路径：

      $ REMOVABLE_MEDIA_PATH=<path> 

      1

      Copy to Clipboard Toggle word wrap

      1

      指定完整路径，包括开始的前斜杠(/)字符。

3. 将版本镜像(mirror)到镜像 registry：

   • 如果您的镜像主机无法访问互联网，请执行以下操作：

     1. 将可移动介质连接到连接到互联网的系统。

     2. 查看要镜像的镜像和配置清单：

        $ oc adm release mirror -a ${LOCAL_SECRET_JSON}  \
             --from=quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE} \
             --to=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY} \
             --to-release-image=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE} --dry-run

        Copy to Clipboard Toggle word wrap
     3. 记录上一命令输出中的 imageContentSources 部分。您的镜像信息与您的镜像存储库相对应，您必须在安装过程中将 imageContentSources 部分添加到 install-config.yaml 文件中。

     4. 将镜像镜像到可移动介质的目录中：

        $ oc adm release mirror -a ${LOCAL_SECRET_JSON} --to-dir=${REMOVABLE_MEDIA_PATH}/mirror quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE}

        Copy to Clipboard Toggle word wrap

     5. 将介质上传到受限网络环境中，并将镜像上传到本地容器 registry。

        $ oc image mirror -a ${LOCAL_SECRET_JSON} --from-dir=${REMOVABLE_MEDIA_PATH}/mirror "file://openshift/release:${OCP_RELEASE}*" ${LOCAL_REGISTRY}/${LOCAL_REPOSITORY} 

        1

        Copy to Clipboard Toggle word wrap

        1

        对于 REMOVABLE_MEDIA_PATH，您必须使用与镜像镜像时指定的同一路径。

        重要

        运行 oc image mirror 可能会导致以下错误： error: unable to retrieve source image。当镜像索引包括对镜像 registry 中不再存在的镜像的引用时，会发生此错误。镜像索引可能会保留旧的引用，以便为运行这些镜像的用户在升级图表中显示新的升级路径。作为临时解决方案，您可以使用 --skip-missing 选项绕过错误并继续下载镜像索引。如需更多信息，请参阅 Service Mesh Operator 镜像失败。

   • 如果本地容器 registry 连接到镜像主机，请执行以下操作：

     1. 使用以下命令直接将发行版镜像推送到本地 registry:

        $ oc adm release mirror -a ${LOCAL_SECRET_JSON}  \
             --from=quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE} \
             --to=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY} \
             --to-release-image=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE}

        Copy to Clipboard Toggle word wrap

        该命令将发行信息提取为摘要，其输出包括安装集群时所需的 imageContentSources 数据。

     2. 记录上一命令输出中的 imageContentSources 部分。您的镜像信息与您的镜像存储库相对应，您必须在安装过程中将 imageContentSources 部分添加到 install-config.yaml 文件中。

        注意

        镜像名称在镜像过程中被修补到 Quay.io， podman 镜像将在 bootstrap 虚拟机的 registry 中显示 Quay.io。

4. 要创建基于您镜像内容的安装程序，请提取内容并将其固定到发行版中：

   • 如果您的镜像主机无法访问互联网，请运行以下命令：

     $ oc adm release extract -a ${LOCAL_SECRET_JSON} --icsp-file=<file> --command=openshift-install "${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE}" \
     --insecure=true 

     1

     Copy to Clipboard Toggle word wrap

     1

     可选：如果您不想为目标 registry 配置信任，请添加 --insecure=true 标志。

   • 如果本地容器 registry 连接到镜像主机，请运行以下命令：

     $ oc adm release extract -a ${LOCAL_SECRET_JSON} --command=openshift-install "${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE}"

     Copy to Clipboard Toggle word wrap
     重要

     要确保将正确的镜像用于您选择的 OpenShift Container Platform 版本，您必须从镜像内容中提取安装程序。

     您必须在有活跃互联网连接的机器上执行这个步骤。

5. 对于使用安装程序置备的基础架构的集群，运行以下命令：

   $ openshift-install

   Copy to Clipboard Toggle word wrap

流程

1. 使用 oc mirror init 命令为镜像设置配置创建模板，并将其保存到名为 imageset-config.yaml 的文件中：

   $ oc mirror init --registry example.com/mirror/oc-mirror-metadata > imageset-config.yaml 

   1

   Copy to Clipboard Toggle word wrap

   1

   将 example.com/mirror/oc-mirror-metadata 替换为存储后端的 registry 的位置。

2. 编辑该文件并根据需要调整设置：

   kind: ImageSetConfiguration
   apiVersion: mirror.openshift.io/v1alpha2
   archiveSize: 4                                                      

   1

   
   storageConfig:                                                      

   2

   
     registry:
       imageURL: example.com/mirror/oc-mirror-metadata                 

   3

   
       skipTLS: false
   mirror:
     platform:
       channels:
       - name: stable-4.15                                             

   4

   
         type: ocp
       graph: true                                                     

   5

   
     operators:
     - catalog: registry.redhat.io/redhat/redhat-operator-index:v4.15  

   6

   
       packages:
       - name: serverless-operator                                     

   7

   
         channels:
         - name: stable                                                

   8

   
     additionalImages:
     - name: registry.redhat.io/ubi9/ubi:latest                        

   9

   
     helm: {}

   Copy to Clipboard Toggle word wrap

   1

   添加 archiveSize 以设置镜像集合中的每个文件的最大大小（以 GiB 为单位）。

   2

   设置后端位置，以将镜像设置元数据保存到。此位置可以是 registry 或本地目录。必须指定 storageConfig 值。

   3

   设置存储后端的 registry URL。

   4

   将频道设置为从中检索 OpenShift Container Platform 镜像。

   5

   添加 graph: true 以构建并推送 graph-data 镜像推送到镜像 registry。创建 OpenShift Update Service (OSUS) 需要 graph-data 镜像。graph: true 字段还会生成 UpdateService 自定义资源清单。oc 命令行界面 (CLI) 可以使用 UpdateService 自定义资源清单来创建 OSUS。如需更多信息，请参阅关于 OpenShift Update Service。

   6

   将 Operator 目录设置为从中检索 OpenShift Container Platform 镜像。

   7

   仅指定要包含在镜像集中的某些 Operator 软件包。删除此字段以检索目录中的所有软件包。

   8

   仅指定要包含在镜像集中的 Operator 软件包的某些频道。即使您没有使用该频道中的捆绑包，还必须始终包含 Operator 软件包的默认频道。您可以运行以下命令来找到默认频道：oc mirror list operators --catalog=<catalog_name> --package=<package_name>。

   9

   指定要在镜像集中包含的任何其他镜像。

   注意

   graph: true 字段还会镜像 ubi-micro 镜像，以及其他镜像的镜像。

   当升级 OpenShift Container Platform 延长更新支持 (EUS) 版本时，在当前和目标版本之间可能需要一个中间版本。例如，如果当前版本是 4.14，目标版本为 4.16，您可能需要在使用 oc-mirror 插件 v1 时在 ImageSetConfiguration 中包含版本，如 4.15.8。

   oc-mirror 插件 v1 可能并不总是自动检测，因此请检查 Cincinnati 图形网页以确认任何所需的中间版本并手动添加到您的配置中。

   如需完整的参数列表，请参阅 Image set configuration parameters；对于不同的镜像用例，请参阅 Image set configuration examples。

3. 保存更新的文件。

   在镜像内容时，oc mirror 命令需要此镜像设置配置文件。

流程

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift CLI。

2. 运行以下命令，将结果目录中的 YAML 文件应用到集群：

   $ oc apply -f ./oc-mirror-workspace/results-1639608409/

   Copy to Clipboard Toggle word wrap

3. 如果镜像(mirror)镜像，请运行以下命令将发行版本镜像签名应用到集群：

   $ oc apply -f ./oc-mirror-workspace/results-1639608409/release-signatures/

   Copy to Clipboard Toggle word wrap
   注意

   如果要镜像 Operator 而不是集群，则不需要运行 $ oc apply -f ./oc-mirror-workspace/results-1639608409/release-signatures/。运行该命令将返回错误，因为没有要应用的发行版本镜像签名。

验证

1. 运行以下命令验证 ImageContentSourcePolicy 资源是否已成功安装：

   $ oc get imagecontentsourcepolicy

   Copy to Clipboard Toggle word wrap

2. 运行以下命令验证 CatalogSource 资源是否已成功安装：

   $ oc get catalogsource -n openshift-marketplace

   Copy to Clipboard Toggle word wrap

流程

1. 使用 --dry-run 标志运行 oc mirror 命令来执行空运行：

   $ oc mirror --config=./imageset-config.yaml \

   1

   
     docker://registry.example:5000            \

   2

   
     --dry-run                                  

   3

   Copy to Clipboard Toggle word wrap

   1

   传递创建的镜像设置配置文件。此流程假设它名为 imageset-config.yaml。

   2

   指定镜像 registry。在使用 --dry-run 标志时，不会镜像这个 registry。

   3

   使用 --dry-run 标志来生成空运行工件，而不是实际的镜像设置文件。

   输出示例

   Checking push permissions for registry.example:5000
   Creating directory: oc-mirror-workspace/src/publish
   Creating directory: oc-mirror-workspace/src/v2
   Creating directory: oc-mirror-workspace/src/charts
   Creating directory: oc-mirror-workspace/src/release-signatures
   No metadata detected, creating new workspace
   wrote mirroring manifests to oc-mirror-workspace/operators.1658342351/manifests-redhat-operator-index
   
   ...
   
   info: Planning completed in 31.48s
   info: Dry run complete
   Writing image mapping to oc-mirror-workspace/mapping.txt

   Copy to Clipboard Toggle word wrap

2. 进入生成的工作区目录：

   $ cd oc-mirror-workspace/

   Copy to Clipboard Toggle word wrap

3. 查看生成的 mapping.txt 文件。

   此文件包含将要镜像的所有镜像的列表。

4. 查看生成的 prune-plan.json 文件。

   此文件包含在发布镜像集时从镜像 registry 中修剪的所有镜像的列表。

   注意

   只有在 oc-mirror 命令指向您的镜像 registry 且需要修剪的镜像时，才会生成 prune-plan.json 文件。

流程

1. 创建镜像设置配置文件，并根据需要调整设置。

   以下示例镜像设置配置在磁盘上 mirror 一个 OCI 目录，以及来自 registry.redhat.io 的 OpenShift Container Platform 发行版本和 UBI 镜像。

   kind: ImageSetConfiguration
   apiVersion: mirror.openshift.io/v1alpha2
   storageConfig:
     local:
       path: /home/user/metadata                                                

   1

   
   mirror:
     platform:
       channels:
       - name: stable-4.15                                                      

   2

   
         type: ocp
       graph: false
     operators:
     - catalog: oci:///home/user/oc-mirror/my-oci-catalog                       

   3

   
       targetCatalog: my-namespace/redhat-operator-index                        

   4

   
       packages:
       - name: aws-load-balancer-operator
     - catalog: registry.redhat.io/redhat/redhat-operator-index:v4.15           

   5

   
       packages:
       - name: rhacs-operator
     additionalImages:
     - name: registry.redhat.io/ubi9/ubi:latest                                 

   6

   Copy to Clipboard Toggle word wrap

   1

   设置后端位置，以将镜像设置元数据保存到。此位置可以是 registry 或本地目录。必须指定 storageConfig 值。

   2

   （可选）包括一个 OpenShift Container Platform 发行版本，以便从 registry.redhat.io mirror。

   3

   指定磁盘上 OCI 目录位置的绝对路径。使用 OCI 功能时，路径必须以 oci:// 开头。

   4

   另外，还可指定替代命名空间和名称来镜像目录。

   5

   （可选）指定要从 registry 中拉取的额外 Operator 目录。

   6

   （可选）指定要从 registry 中拉取的额外镜像。

2. 运行 oc mirror 命令将 OCI 目录 mirror 到目标 mirror registry：

   $ oc mirror --config=./imageset-config.yaml \ 

   1

   
     docker://registry.example:5000              

   2

   Copy to Clipboard Toggle word wrap

   1

   传递镜像设置配置文件。此流程假设它名为 imageset-config.yaml。

   2

   指定要将内容 mirror 到的 registry。registry 必须以 docker:// 开头。如果为镜像 registry 指定顶层命名空间，则必须在后续执行时使用此命名空间。

   另外，您可以指定其他标记来调整 OCI 功能的行为：

   --oci-insecure-signature-policy

   不要将签名推送到目标 mirror registry。

   --oci-registries-config

   指定 TOML 格式的 registry.conf 文件的路径。您可以使用它来从不同的 registry 中镜像，如用于测试的预生产位置，而无需更改镜像设置配置文件。这个标志只会影响本地 OCI 目录，而不会影响任何其他被镜像的内容。

   registry.conf 文件示例

   [[registry]]
    location = "registry.redhat.io:5000"
    insecure = false
    blocked = false
    mirror-by-digest-only = true
    prefix = ""
    [[registry.mirror]]
       location = "preprod-registry.example.com"
       insecure = false

   Copy to Clipboard Toggle word wrap