1.3. RHEL エンタイトルメントを使用したイメージのビルド

手順

1. 次のコマンドを実行して、クラスターのエンタイトルメントシークレットを含む SharedSecret オブジェクトインスタンスを作成します。

   $ oc apply -f -<<EOF
   apiVersion: sharedresource.openshift.io/v1alpha1
   kind: SharedSecret
   metadata:
     name: etc-pki-entitlement
   spec:
     secretRef:
       name: etc-pki-entitlement
       namespace: openshift-config-managed
   EOF

2. 次の設定例を使用して、SharedSecret オブジェクトにアクセスする権限を付与する ClusterRole オブジェクトを作成します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: use-share-etc-pki-entitlement 

   1

   
   rules:
     - apiGroups:
         - sharedresource.openshift.io
       resources:
         - sharedsecrets
       resourceNames:
         - etc-pki-entitlement
       verbs:
         - use

   1

   ClusterRole CR の名前。

3. Shared Resources CSI Driver に SharedSecret オブジェクトにアクセスする権限を付与する Role および RoleBinding オブジェクトを作成します。

   Role オブジェクトの例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: share-etc-pki-entitlement 

   1

   
     namespace: openshift-config-managed
   rules:
     - apiGroups:
         - ""
       resources:
         - secrets
       resourceNames:
         - etc-pki-entitlement
       verbs:
         - get
         - list
         - watch

   1

   Role CR の名前。

   RoleBinding オブジェクトの例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: share-etc-pki-entitlement 

   1

   
     namespace: openshift-config-managed
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: share-etc-pki-entitlement
   subjects:
     - kind: ServiceAccount
       name: csi-driver-shared-resource
       namespace: openshift-builds 

   2

   1

   RoleBinding CR の名前。

   2

   openshift-builds がインストールされている namespace の名前。

4. ビルドが実行される namespace に、builder および pipeline サービスアカウントの RoleBinding オブジェクトを作成します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: use-share-etc-pki-entitlement 

   1

   
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: use-share-etc-pki-entitlement
   subjects:
     - kind: ServiceAccount
       name: pipeline
     - kind: ServiceAccount
       name: builder

   1

   builder および pipeline サービスアカウントの RoleBinding CR の名前。

   注記

   SharedSecret オブジェクトを使用するサービスアカウントは、OpenShift コントローラーによって作成および管理されます。

5. buildah ビルドストラテジーを使用して SharedSecret オブジェクトをマウントします。以下の例を参照してください。

   $ oc apply -f -<<EOF
   apiVersion: shipwright.io/v1beta1
   kind: Build
   metadata:
     name: buildah-rhel
   spec:
     source:
       type: Git
         git:
         url: https://github.com/redhat-openshift-builds/samples
       contextDir: buildah-build
     strategy:
       name: buildah
       kind: ClusterBuildStrategy
     paramValues:
     - name: dockerfile
       value: DockerFile
     volumes:
     - csi:
         driver: csi.sharedresource.openshift.io
         readOnly: true 

   1

   
         volumeAttributes:
           sharedSecret: <sharedsecret_object_name> 

   2

   
       name: etc-pki-entitlement
     output:
       image: <output_image_location> 

   3

   
   EOF

   1

   ビルドで共有リソースをマウントするには、readOnly を true に設定する必要があります。

   2

   <sharedsecret_object_name> は、ビルドに含める SharedSecret オブジェクトの名前に置き換えます。

   3

   <output_image_location> は、ビルドしたイメージをプッシュする場所に置き換えます。