7.3.8. OpenShift Container Platform レジストリーの統合

新規プロジェクトを作成します。

$ oc new-project <my_project>

レジストリープロジェクトを作成します。

$ oc new-project <registry_project>

サービスアカウントをレジストリープロジェクトに作成します。

$ oc create serviceaccount <my_serviceaccount> -n <registry_project>

registry-editor ロールを使用してイメージのプッシュおよびプルのパーミッションを付与します。

$ oc adm policy add-role-to-user registry-editor -z <my_serviceaccount> -n <registry_project>

プルパーミッションのみが必要な場合、registry-viewer ロールを使用できます。

サービスアカウントトークンを取得します。

$ TOKEN=$(oc sa get-token <my_serviceaccount> -n <registry_project>)

トークンをパスワードとして使用し、dockercfg シークレットを作成します。

$ oc create secret docker-registry <my_registry> \
  --docker-server=<myregistry.example.com> --docker-username=<notused> --docker-password=${TOKEN} --docker-email=<me@example.com>

dockercfg シークレットを使用し、シークレットをプル操作を実行するサービスアカウントにリンクして、イメージをレジストリーからプルします。イメージをプルするためのデフォルトのサービスアカウント名は default です。

$ oc secrets link default <my_registry> --for=pull

S2I 機能を使用してイメージをプッシュする場合、dockercfg シークレットは S2I Pod にマウントされるため、これをビルドを実行する適切なサービスアカウントにリンクする必要があります。イメージをビルドするために使用されるデフォルトのサービスアカウントの名前は builder です。

$ oc secrets link builder <my_registry>

buildconfig では、シークレットをプッシュまたはプル操作用に指定する必要があります。

"type": "Source",
"sourceStrategy": {
    "from": {
        "kind": "DockerImage",
        "name": "<myregistry.example.com/registry_project/my_image:stable>"
    },
    "pullSecret": {
        "name": "<my_registry>"
    },
...[OUTPUT ABBREVIATED]...
"output": {
    "to": {
        "kind": "DockerImage",
        "name": "<myregistry.example.com/registry_project/my_image:latest>"
    },
    "pushSecret": {
        "name": "<my_registry>"
    },
...[OUTPUT ABBREVIATED]...