14.6. Élagage manuel des images

• Exécution de l'élagage des images en tant que Job ou CronJob sur le cluster.
• Exécution de la commande oc adm prune images.

Conditions préalables

• Pour élaguer les images, vous devez d'abord vous connecter à l'interface CLI en tant qu'utilisateur disposant d'un jeton d'accès. L'utilisateur doit également avoir le rôle de cluster system:image-pruner ou un rôle supérieur (par exemple, cluster-admin).
• Exposer le registre des images.

• Exécutez l'élagage des images en tant que Job ou CronJob sur le cluster en créant un fichier YAML pour le compte de service pruner, par exemple :

  $ oc create -f <filename>.yaml

  Copy to Clipboard Toggle word wrap

  Exemple de sortie

  kind: List
  apiVersion: v1
  items:
  - apiVersion: v1
    kind: ServiceAccount
    metadata:
      name: pruner
      namespace: openshift-image-registry
  - apiVersion: rbac.authorization.k8s.io/v1
    kind: ClusterRoleBinding
    metadata:
      name: openshift-image-registry-pruner
    roleRef:
      apiGroup: rbac.authorization.k8s.io
      kind: ClusterRole
      name: system:image-pruner
    subjects:
    - kind: ServiceAccount
      name: pruner
      namespace: openshift-image-registry
  - apiVersion: batch/v1
    kind: CronJob
    metadata:
      name: image-pruner
      namespace: openshift-image-registry
    spec:
      schedule: "0 0 * * *"
      concurrencyPolicy: Forbid
      successfulJobsHistoryLimit: 1
      failedJobsHistoryLimit: 3
      jobTemplate:
        spec:
          template:
            spec:
              restartPolicy: OnFailure
              containers:
              - image: "quay.io/openshift/origin-cli:4.1"
                resources:
                  requests:
                    cpu: 1
                    memory: 1Gi
                terminationMessagePolicy: FallbackToLogsOnError
                command:
                - oc
                args:
                - adm
                - prune
                - images
                - --certificate-authority=/var/run/secrets/kubernetes.io/serviceaccount/service-ca.crt
                - --keep-tag-revisions=5
                - --keep-younger-than=96h
                - --confirm=true
                name: image-pruner
              serviceAccountName: pruner

  Copy to Clipboard Toggle word wrap

• Exécutez la commande oc adm prune images [<options>]:

  $ oc adm prune images [<options>]

  Copy to Clipboard Toggle word wrap

  L'élagage des images supprime les données du registre intégré, sauf si --prune-registry=false est utilisé.

  L'élagage des images avec l'option --namespace ne supprime pas les images, mais uniquement les flux d'images. Les images sont des ressources sans espace de noms. Par conséquent, en limitant l'élagage à un espace de noms particulier, il est impossible de calculer son utilisation actuelle.

  Par défaut, le registre intégré met en cache les métadonnées des blobs afin de réduire le nombre de demandes de stockage et d'augmenter la vitesse de traitement des demandes. L'élagage ne met pas à jour le cache du registre intégré. Les images qui contiennent encore des couches élaguées après l'élagage seront cassées car les couches élaguées qui ont des métadonnées dans le cache ne seront pas poussées. Par conséquent, vous devez redéployer le registre pour effacer le cache après l'élagage :

  $ oc rollout restart deployment/image-registry -n openshift-image-registry

  Copy to Clipboard Toggle word wrap

  Si le registre intégré utilise un cache Redis, vous devez nettoyer la base de données manuellement.

  Si le redéploiement du registre après l'élagage n'est pas envisageable, vous devez désactiver le cache de façon permanente.

  oc adm prune images nécessitent une route pour votre registre. Les routes de registre ne sont pas créées par défaut.

  Le tableau Prune images CLI configuration options décrit les options que vous pouvez utiliser avec la commande oc adm prune images <options>.

  Expand

  Tableau 14.4. Options de configuration du CLI pour l'élagage des images

  Option	Description
  --all	Inclure les images qui n'ont pas été poussées dans le registre, mais qui ont été mises en miroir par pullthrough. Cette option est activée par défaut. Pour limiter l'élagage aux images qui ont été poussées dans le registre intégré, passez --all=false.
  --certificate-authority	Le chemin d'accès à un fichier d'autorité de certification à utiliser lors de la communication avec les registres gérés par OpenShift Container Platform. Par défaut, il s'agit des données de l'autorité de certification du fichier de configuration de l'utilisateur actuel. Si elle est fournie, une connexion sécurisée est initiée.
  --confirm	Indiquer que l'élagage doit avoir lieu, au lieu d'effectuer un test. Cette commande nécessite une route valide vers le registre intégré des images de conteneurs. Si cette commande est exécutée en dehors du réseau du cluster, l'itinéraire doit être fourni à l'aide de --registry-url.
  --force-insecure	Cette option doit être utilisée avec précaution. Autoriser une connexion non sécurisée au registre de conteneurs hébergé via HTTP ou dont le certificat HTTPS n'est pas valide.
  --keep-tag-revisions=<N>	Pour chaque flux d'images, conserver au maximum N révisions d'images par balise (par défaut 3).
  --keep-younger-than=<duration>	Ne pas élaguer les images plus récentes que <duration> par rapport à l'heure actuelle. Alternativement, n'élaguer aucune image référencée par un autre objet plus récent que <duration> par rapport à l'heure actuelle (par défaut 60m).
  --prune-over-size-limit	Élaguer chaque image qui dépasse la plus petite limite définie dans le même projet. Cet indicateur ne peut pas être combiné avec --keep-tag-revisions ou --keep-younger-than.
  --registry-url	Adresse à utiliser pour contacter le registre. La commande tente d'utiliser une URL interne au cluster déterminée à partir des images gérées et des flux d'images. En cas d'échec (le registre ne peut pas être résolu ou atteint), un itinéraire alternatif qui fonctionne doit être fourni à l'aide de cet indicateur. Le nom d'hôte du registre peut être préfixé par https:// ou http://, ce qui met en œuvre un protocole de connexion particulier.
  --prune-registry	En conjonction avec les conditions stipulées par les autres options, cette option contrôle si les données dans le registre correspondant à l'objet API image d'OpenShift Container Platform sont élaguées. Par défaut, l'élagage des images traite à la fois les objets API d'image et les données correspondantes dans le registre. Cette option est utile lorsque vous souhaitez uniquement supprimer le contenu d'etcd, afin de réduire le nombre d'objets image, mais que vous ne souhaitez pas nettoyer le stockage du registre, ou si vous avez l'intention de le faire séparément en élaguant le registre au cours d'une fenêtre de maintenance appropriée pour le registre.

  Show more