5.4. En utilisant des secrets de tirage d’image

Procédure

• Créer un secret à partir d’un fichier d’authentification existant:

  • Dans le cas des clients Docker utilisant .docker/config.json, entrez la commande suivante:

    $ oc create secret generic <pull_secret_name> \
        --from-file=.dockerconfigjson=<path/to/.docker/config.json> \
        --type=kubernetes.io/dockerconfigjson

  • Dans le cas des clients Podman utilisant .config/containers/auth.json, entrez la commande suivante:

    $ oc create secret generic <pull_secret_name> \
         --from-file=<path/to/.config/containers/auth.json> \
         --type=kubernetes.io/podmanconfigjson

• Lorsque vous n’avez pas déjà un fichier d’identification Docker pour le registre sécurisé, vous pouvez créer un secret en exécutant la commande suivante:

  $ oc create secret docker-registry <pull_secret_name> \
      --docker-server=<registry_server> \
      --docker-username=<user_name> \
      --docker-password=<password> \
      --docker-email=<email>

• En liant le secret à un compte ServiceAccount, qui applique automatiquement le secret à tous les pods utilisant ce compte de service.
• En définissant imagePullSecrets directement dans les configurations de charge de travail, ce qui est utile pour des environnements comme GitOps ou ArgoCD.

Procédure

• Il est possible d’utiliser un secret pour tirer des images pour les pods en ajoutant le secret à votre compte de service. Il est à noter que le nom du compte de service doit correspondre au nom du compte de service utilisé par Pod. Le compte de service par défaut est par défaut.

  • Entrez la commande suivante pour lier le pull secret à un compte ServiceAccount:

    $ oc secrets link default <pull_secret_name> --for=pull

  • Afin de vérifier le changement, entrez la commande suivante:

    $ oc get serviceaccount default -o yaml

    Exemple de sortie

    apiVersion: v1
    imagePullSecrets:
    - name: default-dockercfg-123456
    - name: <pull_secret_name>
    kind: ServiceAccount
    metadata:
      annotations:
        openshift.io/internal-registry-pull-secret-ref: <internal_registry_pull_secret>
      creationTimestamp: "2025-03-03T20:07:52Z"
      name: default
      namespace: default
      resourceVersion: "13914"
      uid: 9f62dd88-110d-4879-9e27-1ffe269poe3
    secrets:
    - name: <pull_secret_name>

• Au lieu de lier le secret à un compte de service, vous pouvez alternativement le référencer directement dans votre pod ou la définition de votre charge de travail. Ceci est utile pour les flux de travail GitOps tels que ArgoCD. À titre d’exemple:

  Exemple de spécification de pod

  apiVersion: v1
  kind: Pod
  metadata:
    name: <secure_pod_name>
  spec:
    containers:
    - name: <container_name>
      image: quay.io/my-private-image
    imagePullSecrets:
    - name: <pull_secret_name>

  Exemple de flux de travail ArgoCD

  apiVersion: argoproj.io/v1alpha1
  kind: Workflow
  metadata:
    generateName: <example_workflow>
  spec:
    entrypoint: <main_task>
    imagePullSecrets:
    - name: <pull_secret_name>